wordpressに不正アクセス

　ここ数日、Wordpressに不正アクセスが試みられ、プラグイン「limit login attempts」がそれを検知して、不正ログインしようとした相手をその度に24時間ブロックしている。その通知が届いているわけだ。

　攻撃する側は機械でそれを行っているので、アク禁が解ければまたやってくる。その手段は、IDが「admin」で、手当たり次第にパスワードを当てはめてくるもの。Wordpressはかつては初期設定でのIDは「admin」がデフォだったらしく、そのままIDを変更しないで使っている人も多いようだ。自分の場合はデフォで「admin」ではないIDが割り当てられていて、それを使っている。パスワードに至っては安全性重視で自動作成されたクソ長いやつを変えずに使っているが、今回のような攻撃を受けた場合にはそれが非常に機能している。デメリットとしてはパスは複雑かつ長いので、覚えられないことだろうか。実際頭で覚えていない。だからパスワードの記録は絶対に無くしてはならない。

　最低限の対策としては、ユーザー名に「admin」を使うのは絶対に避けた方がよい。覚えやすく間違えにくいのでそれでやってしまいがちだが、攻撃者にとっては格好の餌食になってしまう。そして「limit login attempts」等のセキュリティのプラグインを入れる。
　あまりしつこいようなら、攻撃者のアクセスを完全にブロックしてしまうプラグインを入れようと思う。数日様子見してみよう。