WordPressサイトで最低限必要と思われるセキュリティとスパム対策機能です。
ログインセキュリティ
不正ログインを防ぐための機能です
ログインをメールアドレスに限定する
ユーザー名＋パスワードでのログインを禁止し、ユーザーの投稿一覧URLからユーザー名を推察されての不正ログインを防止します
本機能を有効に使うためには、サイトのメールアドレスと管理ユーザーのメールアドレスを異なるものにする必要があります
ログインヒント文字列を変更する
ログイン失敗時の以下のメッセージを「ログインに失敗しました」へ統一し、エラー詳細が分からないようにします。
- 「エラー: ユーザー名 ___ は、このサイトに登録されていません。ユーザー名が不明な場合は、代わりにメールアドレスを入力してください。」
- 「エラー: ユーザー名 ___ のパスワードが間違っています。 パスワードをお忘れですか ?」
ユーザースラグを変更する
ユーザーの投稿一覧URL中に表示されてしまうユーザー名を別名に変える機能です
ログインをメールアドレスに限定する機能と併用することで、ログインセキュリティをさらに強化できます
ユーザー登録セキュリティ
ユーザー登録時の制限事項を追加する機能です
ユーザー名の最低長を設定
標準で最低4文字となっている登録時のユーザー名を最低6文字以上に変更します
ユーザー名の制限
設定画面内のブラックリストに追加した文字列、および以下のユーザー名での登録を禁止します
「www」「web」「root」「admin」「main」「invite」「administrator」
サイト全体のセキュリティ
WordPressサイトのセキュリティアップに役立つ機能です
XML-RPC API通信を無効にする
XML-RPCを使ったリモート接続やリモート投稿機能を無効にします
REST APIを無効にする
必要外のREST API接続を無効にし、情報の漏洩を防ぎます
具体的には、以下の通信以外できないようになります。
- 投稿や固定ページ、サイト内部の処理用に使用されるREST API通信
- oembedでの埋め込みに必要な通信
- Jetpackプラグインの動作に必要な通信
- Contact Form7プラグインの動作に必要な通信
- Redirectionプラグインの動作に必要な通信
WPバージョン情報を削除
HTMLソースコードに出力されるCSSやJSの読み込みタグから、WordPressのバージョン情報を削除します。
Generatorタグを削除
HTMLソースコード上に出力されるGeneratorタグを削除し、WordPressバージョンが分からないようにします。
スパム対策
WordPressサイトにありがちなスパム行為への対策機能です
コメントスパムの排除
コメント入力項目にダミー項目（ハニーポット）を追加し、機械的に投稿されるコメントにエラーを返します
ユーザー登録スパムの排除
ユーザー登録フォームへダミー項目（ハニーポット）を設け、機械的にユーザー登録を行う迷惑行為を防ぎます
ブルート フォース攻撃の回避
ログインフォームを開かずにログイン試行を行う行為を排除し、ブルートフォースアタックによるサーバーへの負荷を軽減します
SSL通信設定
すべてのコンテンツを301リダイレクトする
すべての投稿・固定ページで非SSL(http://～)プロトコルでのアクセスがあった時、SSL(https://～)プロトコルでのアクセスとして転送します。
セキュリティヘッダーの追加
HSTS（Hypertext Strict Transport Security）を設定し、入力したデータが傍受されたりするのを防止します。
