WordPressサイトのセキュリティ向上をお考えですか？
ハッカーはあなたのサイトに侵入しようとマルウェアをアップロードすることができます。これらのディレクトリのPHPコードを無効化することで、マルウェアの実行を阻止することができます。
この投稿では、.htaccessファイルを使ってWordPressのPHP実行を無効化する方法を紹介する。
なぜWordPressの特定のディレクトリでPHPの実行を無効化するのか？
デフォルト設定では、WordPressは特定のディレクトリを書き込み可能にしており、ユーザーやサイトの他の投稿者がテーマ、プラグイン、画像、動画を簡単にアップロードできるようになっています。
しかし、この機能が悪用される可能性があります。例えば、ハッカーがWordPressサイトにバックドアアクセスファイルやマルウェアをアップロードするために使用することができます。
これらの悪意のあるファイルは、WordPressのコアファイルとして偽装されていることがよくあります。これらのファイルは主にPHPで書かれており、バックグラウンドで実行され、サイトのあらゆる側面にアクセスすることができます。
怖そうでしょう？
ご心配なく。簡単に解決できます。PHPを必要としないディレクトリでのPHPの実行を無効化するだけです。そうすることで、そのディレクトリ内では PHP ファイルが実行されなくなります。
.htaccessファイルを使ってPHPの実行を無効化することで、WordPressのセキュリティを向上させる方法を見てみよう。
.htaccessファイルを使ってWordPressの特定のディレクトリでPHPの実行を無効化する
ほとんどのWordPressサイトは、ルートフォルダーに.htaccessファイルを持っています。
この強力な設定ファイルは、管理エリアのパスワード保護、ディレクトリ閲覧の無効化、SEOフレンドリーなURL構造の生成などに使用されます。
初期設定では、.htaccessファイルはWordPressサイトのルートフォルダにありますが、WordPressの内部ディレクトリに追加の.htaccessファイルを作成して使用することもできます。
バックドアアクセスファイルからサイトを保護するには、.htaccessファイルを作成し、サイトの/wp-includesと /wp-content/uploadsディレクトリにアップロードする必要があります。
Windowsの場合はメモ帳、Macの場合はテキストエディットなどのテキストエディターを使って、コンピューター上に新規ファイルを作成します。ファイルを.htaccessとして保存し、その中に以下のコード・スニペットを貼り付ける：
<Files *.php>
deny from all
</Files>
そのファイルをコンピューターに保存してください。
次に、このファイルをWordPressホスティングサーバーの /wp-includesフォルダと/wp-content/uploadsフォルダにアップロードする必要があります。
FTPクライアントまたはホスティングアカウントのcPanelダッシュボードのファイルマネージャーアプリを使用してアップロードできます。
上記のコードを含む.htaccessファイルを追加すると、これらのディレクトリでPHPスクリプトが実行されなくなります。
Sucuriを使ってWordPressのバックドアをチェックする
この.htaccessのトリックを使用すると、WordPressのセキュリティを強化することができますが、すでにハッキングされているWordPressサイトを修復することはできません。
バックドアは巧妙に偽装されており、すでに目に見えるところに非表示になっていることもある。
あなたのサイトにバックドアの可能性がないかチェックしたい場合は、Sucuriを有効化する必要があります。
Sucuriは、市場で最高のWordPressセキュリティプラグインです。可能性のある脅威、疑わしいコード、マルウェア、脆弱性についてあなたのサイトをスキャンします。
また、サイトと不審なトラフィックの間にファイアウォールを追加することで、ほとんどのハッキングの試みを効果的にブロックします。
最も重要なことは、WordPressサイトがハッキングされた場合、それを一掃してくれることです。さらに詳しく知りたい方は、Sucuriのレビューをご覧ください。
さらに詳しくは、ハッキングされたWordPressサイトのバックドアの発見と修正に関するガイドをご覧ください。
WordPressのセキュリティを向上させるエキスパートガイド
特定のディレクトリでPHPの実行を無効化することでWordPressのセキュリティを向上させる方法はお分かりいただけたと思いますが、他のセキュリティテクニックについても学んでみてはいかがでしょうか。
WordPressのセキュリティを向上させるためのベストガイドをいくつかご紹介します：
- 究極のWordPressセキュリティガイド（ステップバイステップ）
- WordPressのセキュリティ監査の方法（完全なチェックリスト）
- WordPressサイトの潜在的な悪意のあるコードをスキャンする方法
- マルウェアやハッキングを検出するためのベストWordPressセキュリティスキャナー
- WordPressで2要素認証を追加する方法（無料方法）
- WordPressのログイン画面にセキュリティの質問を追加する方法
- WordPressのセキュリティ・キーとは？
この投稿で、WordPressの特定のディレクトリでPHPの実行を無効化し、サイトのセキュリティを強化する方法をご理解いただけたでしょうか。また、無料のビジネスメールアドレスを作成する方法や、サイトを成長させるために必要なWordPressプラグインを専門家がピックアップした記事もご覧ください。
If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.
Syed Balkhi says
Hey WPBeginner readers,
Did you know you can win exciting prizes by commenting on WPBeginner?
Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
You can get more details about the contest from here.
Start sharing your thoughts below to stand a chance to win!
Mrteesurez says
I see this as a great form of securing a website by disabling PHP execution in folders. According to this article, only two directories are secured, what of others ? Have they secured naturally or hackers don’t need it during the attempt ?
WPBeginner Support says
Other sections of your site’s files normally require stricter access or have php files that are required to work for your site to work.
管理者
Jiří Vaněk says
Thanks for these safety tips. I have created an htaccess file and will upload it to FTP. I have a website on my own server, so the question of security is entirely up to me. Thanks for the next step in making my WordPress a little more secure again.
Unarine Leo Netshifhefhe says
I also have this alert on my Updraft plugin where backups are not happening can this be due to htaccess?
“Backup directory could not be created…
The folder exists, but your webserver does not have permission to write to it. You will need to consult with your web hosting provider to find out how to set permissions for a WordPress plugin to write to the directory. (wp-content/updraft)”
WPBeginner Support says
That looks to be a file/folder permissions issue, you would want to reach out to your hosting provider and they can help, you can also take a look at our guide below:
https://www.wpbeginner.com/beginners-guide/how-to-fix-file-and-folder-permissions-error-in-wordpress/
管理者
Brian Prom says
FYI: you have a typo in your code snippet for the .htaccess snippet.
Using your code snippet as is (without the closing /) breaks image loading.
WPBeginner Support says
Thank you for pointing that out, our code should be fixed
管理者
Vitor Gonçlaves says
I’ve found some .php files in the uploads folder created by plugins. Can I assume this won’t cause a problem, or do I have to analyse each plugin individually?
WPBeginner Support says
If you reach out to your plugins they can let you know the specifics for those files.
管理者
nirbo says
Thanks for the information
WPBeginner Support says
You’re welcome
管理者
cliff denney says
thank you very much
WPBeginner Support says
You’re welcome
管理者
Suman Samanta says
Great writing! You have a flair for informational writing. Your content has impressed me beyond words. I have a lot of admiration for your writing. Thank you for all your valuable input on this topic.
WPBeginner Support says
Thank you, glad you enjoy our writing
管理者
Thato says
Guys i think i have messed up my htaccess file, my website is completely not displaying images
WPBeginner Support says
Hey Thato,
You can download your .htaccess file to your computer as a backup and then delete it from your website. Go to WordPress admin area Settings » Permalinks and click on the save changes button. This should regenerate your .htaccess file.
管理者
Shawn Rebelo says
Do not do wp-content.
Do wp-content/uploads.
And this:
order allow,deny
deny from all
May very on servers.
Hardik says
Does it affect the uploads file to upload on webpages?
I found that after uploading this htaccess file to the folder many of images from many posts are not displaying.
Chuck Cochems says
Yeah, denying access to php files in the includes directory breaks the site because including actually obeys .htaccess restrictions.
But the restriction on the uploads directory is very smart, and this should be there .BY DEFAULT in the uploads directory, and there’s no good reason for it not to be present.
Stan says
What’s the method for IIS servers?
Thanks,
KOnnie says
ZOMG! can’t you just disable write access to /wp-includes folder?
Why fight with consequences when you can prevent the cause?
Jonathan Hodgson says
Wouldn’t this stop wordpresss being able to update the files in core updates?
Jeff Wigal says
You can also put this in your Apache virtualhost, which will accomplish the same thing:
Order allow,deny
Deny from all
anton says
how to implement this code if we have combination of lower case and upper case on file extention for example on.php on my website its work but it s not working if the file named with.PHp ,.PHP .PhP or combination of them,the backdoor script still executed
Thank you
Timothée Moulin says
You can put this in your .htaccess file
Order Deny,Allow
Deny from All
Shams says
Hi Syed,
Thanks for such an informative post and in fact it provides a great solution for saving WordPress from hackers.
Vladimir says
Hi!
I followed all your instructions in this article, but Its not working…
Thanks
Aurélien Debord says
A so useful post with such good and quick tips.
Thanks
Ramon says
I created an .htaccess file in the wp-includes folder. Site looked oke but my WYSIWYG editor in the admin pages wasn’t working. Had to remove the .htaccess file again. (WP 3.9.1)
Wes says
I also found my wp-includes folder full of php files and I can’t see how using that .htaccess file in there wouldn’t break something. I did use it in the uploads dir.
Editorial Staff says
It does break it sometimes (depending on the plugin you are using), but not all the time.
管理者
Red says
forgive my bad english…
i followed all your instructions in this article, but when i go my dashboard to add a newpost, my post section was messed up. … i suspect the .htaccess was the problem.
when i deleted it, the post was fine.
Editorial Staff says
Which directory did you upload the .htaccess file that caused this issue?
管理者
Chris says
I added the .htaccess file to my wp-includes and didn’t have any problems. Thanks a lot of the tips.
Brad says
I tried this in my /wp-includes/ directory, which is full of php files. Of course I could no longer access the site. Did you really mean to include the includes directory for use with the .htaccess file?
Did you maybe mean /wp-includes/images ?
Editorial Staff says
Nope. We meant /wp-includes/ folder. We have this on our wp-includes folder. If for some reason it is breaking your site, then delete the .htaccess file from your wp-includes folder.
管理者
Brad says
Strange, my wp-includes folder has over 90 php files in it. And it does break the site. I took it back out immediately.
But I did put it in the /wp-content/uploads/ folder and its works just fine there. Thanks for responding
Alfred says
Putting an htaccess file denying access to php files in a directory full of php files does seem rather odd. I assume it’s because these files are normally only included, not executed directly. If that’s true, wouldn’t it be better to just deny access to the entire directory?