【備忘録】WordPressの不正ログインを防ぐために『XML-PRC』を無効化する

はじめに

WordPressのダッシュボードを確認したところ、何者かが不正ログインしようとしている形跡があった。

『XO Security』でログインページを変更する対策はしているが、それでもログイン失敗件数が減らないのはどういうことだろうか。調査と対策を行う必要がある。

調査

まずは、ログインログを確認した。

注目すべきは、失敗時のタイプが「XMLPRC」になっていることだ。「XMLPRC」で検索すると以下の記事を発見。

WordPressのXML-RPCとは？無効化して不正アクセスを防ぐ方法 – ワードプレステーマTCD

WordPressには「XML-RPC」という、遠隔からサイトを操作できる便利な機能があります。ただこの機能、セキュリティリスクになることもあります。

tcd-theme.com

外部からWordPressを操作する「XML-PRC」という仕組みがあって、それを利用して不正ログインしようとしているみたい。つまり、ログインページを変更するだけでは、不正ログインの対策として不十分ということだ。

対処法

自分は「XML-PRC」を利用してないので、無効にしてしまえば良い。『XO Security』の設定を確認したら、そのまんまな項目があった。ピンバックも無効化して問題ないだろう。

XML-PRCが無効化できてるか確認するためには「サイトURL/xmlrpc.php」にアクセスすれば良い。XML-PRCが有効なら「XML-RPC server accepts POST requests only.」、無効なら「504 Gateway Time-out」と表示されるはずだ。

最後に

１ヶ月過ぎたらログを確認して、効果があったか確認したい。