ハッカーがウェブサイトに不正アクセスするために使用する一般的な手法は、「ブルートフォース」と呼ばれます。この手法を使用して、ハッカーは脆弱性をスキャンし、それらを悪用してアクセスを取得するように設計されたソフトウェアを使用します。私たちはウェブサイトのセキュリティのためにSucuriを使用しています。なぜなら、彼らは悪意のあるリクエストを積極的にブロックしてくれるからです。これらのブルートフォースボットが試みる一般的な侵入口の1つは、著者スキャンを実行することです。この記事では、WordPressで著者スキャンをブロックすることにより、ブルートフォースを抑制する方法を説明します。
注意：Limit Login AttemptとGoogle Authenticatorを使用している場合、ブルートフォース攻撃に対してはかなり保護されています。
まず、これらのブルートフォース攻撃が何をしようとしているのかを理解しましょう。まず、ブログのユーザー名または著者IDを見つけようとします。WordPressにサインインするために使用されるユーザー名と著者名は同じであることがよくあります。ユーザー名を見つけると、パズルの50％が解決されます。次に、さまざまなパスワードの組み合わせを試して、パスワードを解読するためにサイトをブルートフォースします。
ウェブサイトでの著者スキャンをブロックするには、WordPressのルートディレクトリにある.htaccessファイルにこのコードを追加するだけです。
# BEGIN block author scans
RewriteEngine On
RewriteBase /
RewriteCond %{QUERY_STRING} (author=\d+) [NC]
RewriteRule .* - [F]
# END block author scans
これにより、ボットがウェブサイトで著者スキャンを実行することがブロックされます。ウェブサイトのユーザーは引き続き著者ページにアクセスできますが、ボットはアクセスできなくなります。
このヒントがお役に立てば幸いです。これはブルートフォース攻撃を防ぐものではないことを強調しておきます。これは、ハッカーを思いとどまらせるための注意喚起的なステップにすぎません。誰かがどうしてもあなたのサイトを攻撃したいと思えば、必ず方法を見つけるでしょう。Sucuriの使用と定期的なWordPressバックアップを強くお勧めします。追伸：Sucuriを使用する5つの理由はこちらをご覧ください：Sucuriを使用する5つの理由。
このヒントは、Ian Armstrong から送信されました。
Julian
こんにちは。著者スキャンをブロックするコードにより、一部のページで404エラーが発生しました。このコードを.htaccessファイルから削除した後、ページは正常に読み込まれました。このコードを2つのサイトで使用しましたが、結果は全く同じでした。
このチュートリアルは5年前に公開されたものですが、更新を検討していただけますか？
WPBeginnerサポート
将来的にこの記事を更新することを検討します。
管理者
Sanskar
これにより、検索エンジンやAdsenseのクローラーもブロックされますか？
WPBeginnerサポート
いいえ、ブロックしません。クエリ文字列を使用してボットが著者URLにアクセスしようとした場合にのみブロックします。検索エンジンやAdSenseのクローラーは、サイト上のリンクにアクセスしてページをクロールします。すでにパーマリンクを使用している場合、著者URLは /author/Sanskar のようなリンクで検索エンジンからアクセス可能になります。
管理者
naw
こんにちは
IISサーバーではどうでしょうか？
Mert Can
こんにちは、
このリンクをブロックするにはどうすればよいですか？誰かが私のウェブサイトをハッキングしようとしています。
http://example.com/?author=1
ありがとう、
lando
こんにちはwpbeginner様
コードが機能するかどうかを確認するにはどうすればよいですか？コードを.htaccessファイルの最後に追記しました。
ありがとう
Francis
素晴らしいチュートリアルです。
Jigar Doshi
really easy to add the htc access file.
thanks for the info, guys
キース・デイビス
皆さん、これありがとうございます。
.htaccess に追加するのが簡単で良いですね。
Limit Loginsを使用しており、最近Simple Firewallという素晴らしいプラグインを見つけました。これはログインパネルにGASPチェックボックスを追加します。
Sucuriの使用については皆さんに同意します。よく考えるとかなり安価で、複数のサイトで使用すると、サイトあたりの価格はさらに安くなります。
Zimbrul
ブログの著者とサイト管理者に同じユーザーを使用することはありません。著者のリンクとユーザー名は簡単に見つけられるからです。通常、管理者は22文字以上のユーザー名と22文字以上のパスワードを持ち、推測が非常に難しいメールアドレスを使用しています。推測するには何年もかかります。また、Limit Loginプラグインも使用しています。Google Authenticatorは、WordPressモバイルアプリでウェブサイトにログインできなくなるため使用していません。
ラフル
とても役に立ちました。この素晴らしいスニペットをありがとう、IanとWPBeginner。