ハッカーが不正にウェブサイトにアクセスするために使用する一般的な手法は、「ブルートフォース」と呼ばれます。この手法を使用して、ハッカーはウェブサイトの脆弱性をスキャンするように設計されたソフトウェアを使用し、それらを悪用してアクセスを取得します。当社では、悪意のあるリクエストを積極的にブロックするため、ウェブサイトのセキュリティにSucuriを使用しています。これらのブルートフォースボットが悪用しようとする一般的な侵入口の1つは、著者スキャンを実行することです。この記事では、WordPressで著者スキャンをブロックすることにより、ブルートフォースを抑止する方法を示します。
注：Limit Login AttemptとGoogle Authenticatorを使用している場合、ブルートフォース攻撃に対してはかなり保護されています。
まず、これらのブルートフォース攻撃が何をしようとしているのかを理解しましょう。まず、ブログのユーザー名または著者IDを見つけようとします。WordPressにサインインするために使用されるユーザー名と著者名は同じであることがよくあります。ユーザー名を見つけると、パズルの50％が解決されます。次に、さまざまなパスワードの組み合わせを試して、パスワードを解読するためにサイトをブルートフォースします。
ウェブサイトでの著者スキャンをブロックするには、WordPressのルートディレクトリにある.htaccessファイルにこのコードを追加するだけです。
# BEGIN block author scans
RewriteEngine On
RewriteBase /
RewriteCond %{QUERY_STRING} (author=\d+) [NC]
RewriteRule .* - [F]
# END block author scans
これにより、ボットがウェブサイトで著者スキャンを実行することがブロックされます。ウェブサイトのユーザーは引き続き著者ページにアクセスできますが、ボットはアクセスできなくなります。
このヒントがお役に立てば幸いです。これはブルートフォース攻撃を防ぐものではないことを強調したいと思います。これは、ハッカーを抑止するために取ることができる注意深いステップにすぎません。誰かが必死にあなたのサイトを攻撃したい場合、彼らはそれを実行する方法を見つけるでしょう。Sucuriを使用し、定期的にWordPressのバックアップを維持することを強くお勧めします。追伸：Sucuriを使用する5つの理由はこちらです。
このヒントは次の方から送信されました：イアン・アームストロング
ジュリアン
こんにちは。著者スキャンをブロックするコードにより、一部のページで404エラーが発生しました。このコードを.htaccessファイルから削除した後、ページは正常に読み込まれました。このコードを2つのサイトで使用しましたが、結果は全く同じでした。
このチュートリアルは5年前に公開されたものですが、更新を検討していただけますか？
WPBeginnerサポート
将来的にこの記事を更新することを検討します。
管理者
サンカール
これにより、検索エンジンやAdsenseのクローラーもブロックされますか？
WPBeginnerサポート
いいえ、ブロックしません。クエリ文字列を使用してボットが著者URLにアクセスしようとした場合にのみブロックします。検索エンジンやAdSenseのクローラーは、サイト上のリンクにアクセスしてページをクロールします。すでにパーマリンクを使用している場合、著者URLは /author/Sanskar のようなリンクで検索エンジンからアクセス可能になります。
管理者
ナウ
こんにちは
IISサーバーではどうでしょうか？
Mert Can
こんにちは、
このリンクをブロックするにはどうすればよいですか？誰かが私のウェブサイトをハッキングしようとしています。
http://example.com/?author=1
ありがとう、
ランド
こんにちはwpbeginner様
コードが機能するかどうかを確認するにはどうすればよいですか？コードを.htaccessファイルの最後に追記しました。
ありがとう
フランシス
素晴らしいチュートリアルです。
ジガル・ドーシ
really easy to add the htc access file.
thanks for the info, guys
キース・デイビス
皆さん、これありがとうございます。
.htaccess に追加するのが簡単で良いですね。
Limit Loginsを使用しており、最近Simple Firewallという素晴らしいプラグインを見つけました。これはログインパネルにGASPチェックボックスを追加します。
Sucuriの使用については皆さんに同意します。よく考えるとかなり安価で、複数のサイトで使用すると、サイトあたりの価格はさらに安くなります。
ジンブル
ブログの著者とサイト管理者に同じユーザーを使用することはありません。著者のリンクとユーザー名は簡単に見つけられるからです。通常、管理者は22文字以上のユーザー名と22文字以上のパスワードを持ち、推測が非常に難しいメールアドレスを使用しています。推測するには何年もかかります。また、Limit Loginプラグインも使用しています。Google Authenticatorは、WordPressモバイルアプリでウェブサイトにログインできなくなるため使用していません。
ラフル
とても役に立ちました。この素晴らしいスニペットをありがとう、IanとWPBeginner。