워드프레스 보안 기본: 블로그 운영자가 먼저 해 둘 6가지

공식 문서는 관리자 사용자명으로 admin 을 쓰지 말라고 안내합니다. 자동화된 로그인 공격은 흔한 사용자명과 비밀번호 조합을 반복해서 넣어 보는 방식이기 때문입니다.

워드프레스에서는 이미 만든 사용자명을 바꿀 수 없습니다. 그래서 새 관리자 계정을 만든 뒤 기존 계정을 지우는 방법을 씁니다. 계정을 삭제할 때 글을 다른 사용자에게 넘기는 선택지가 있으니, 글이 함께 지워지지 않게 꼭 확인하세요.

비밀번호는 이름, 사용자명, 사이트 이름을 변형한 것, 사전에 있는 단어, 짧은 것, 숫자나 글자만으로 된 것을 피합니다. 비밀번호 관리자로 길고 다른 사이트와 겹치지 않는 비밀번호를 만들어 두는 것이 가장 쉽습니다.

1. 1사용자 > 새로 추가에서 admin 이 아닌 사용자명으로 계정을 만들고 역할을 관리자로 지정합니다.
2. 2로그아웃한 뒤 새 계정으로 로그인이 되는지 확인합니다.
3. 3사용자 > 모든 사용자에서 기존 admin 계정을 삭제합니다.
4. 4삭제 확인 화면에서 모든 글과 링크를 새 계정에 넘기는 항목을 고르고 삭제를 확정합니다.

2단계 인증은 비밀번호에 휴대폰 앱 같은 두 번째 확인 수단을 더하는 방식입니다. 공식 문서는 모든 관리자 계정에 2단계 인증을 켜라고 권하며, 워드프레스 코어에는 이 기능이 없어서 플러그인으로 추가해야 한다고 설명합니다.

플러그인 > 새로 추가에서 two factor 나 2단계 인증으로 검색하면 여러 플러그인이 나옵니다. 공식 문서에는 Two-Factor, Wordfence, Duo 등이 예로 올라 있습니다. 최근 업데이트 날짜와 사용자 수를 보고 고르세요.

문자(SMS) 인증은 안전한 통신 수단이 아니라는 점도 공식 문서에 적혀 있습니다. 가능하면 인증 앱 방식을 쓰고, 휴대폰을 잃어버렸을 때 쓸 백업 코드를 따로 보관하세요.

• 호스팅이나 CDN에서 로그인 시도 횟수 제한을 제공하면 켜 둡니다. 공식 문서는 플러그인보다 서버 앞단에서 막는 쪽을 더 권합니다.
• xmlrpc.php 는 로그인 공격이 자주 노리는 곳입니다. 모바일 앱이나 Jetpack처럼 쓰는 곳이 없다면 막는 것을 검토합니다.
• 로그인 주소를 바꾸는 방법은 잡음을 줄일 수는 있지만 이것만으로 방어가 되지는 않습니다.
• 공용 와이파이에서 관리자 화면에 로그인하는 일은 피하고, 사이트 전체를 HTTPS로 운영합니다.

보안 문제가 고쳐진 새 버전이 나오면 그 취약점을 노리는 정보도 대부분 공개됩니다. 그래서 오래된 버전일수록 공격받기 쉽고, 공식 문서도 오래된 워드프레스는 보안 업데이트를 받지 못한다고 안내합니다.

업데이트는 알림판 > 업데이트 화면에서 코어, 플러그인, 테마, 번역을 한 번에 확인할 수 있습니다. 워드프레스 5.5부터는 플러그인과 테마마다 자동 업데이트를 따로 켤 수 있습니다.

업데이트 전에는 백업이 있는지 먼저 확인하세요. 백업 주기와 보관 위치는 별도 글에서 자세히 다룹니다.

1. 1플러그인 > 설치된 플러그인 화면의 자동 업데이트 열에서 플러그인별로 자동 업데이트를 켭니다. 여러 개를 골라 일괄 작업으로 한 번에 켤 수도 있습니다.
2. 2외모 > 테마에서 테마를 누르면 뜨는 상세 창의 자동 업데이트 링크로 테마 자동 업데이트를 켭니다.
3. 3자동 업데이트 결과는 관리자 이메일로 옵니다. 실패 메일이 오면 알림판 > 업데이트에서 직접 업데이트합니다.
4. 4자동 업데이트가 계속 안 되면 도구 > 사이트 건강에서 오류 메시지가 있는지 확인합니다.

공식 문서는 쓰지 않는 플러그인은 시스템에서 삭제하라고 안내합니다. 비활성화만 해 두면 파일은 서버에 그대로 남아 있습니다.

플러그인과 테마는 WordPress.org 디렉터리나 잘 알려진 회사에서만 받으세요. 출처가 불분명한 유료 테마 무료 배포본은 공식 문서가 경고하는 대표적인 경우입니다.

관리자 화면의 테마·플러그인 파일 편집기는 로그인에 성공한 공격자가 가장 먼저 쓰는 도구 중 하나입니다. 파일을 대시보드에서 고칠 일이 없다면 wp-config.php 에 아래 한 줄을 넣어 편집기를 끄세요.

1. 1플러그인 > 설치된 플러그인에서 지금 쓰지 않는 플러그인을 찾습니다.
2. 2비활성화를 누른 뒤 나타나는 삭제 링크로 지웁니다.
3. 3외모 > 테마에서 쓰지 않는 테마를 눌러 상세 창 아래의 삭제로 지웁니다. 자식 테마를 쓰고 있다면 부모 테마는 남겨 둡니다.

define( 'DISALLOW_FILE_EDIT', true );

관리자 계정이 많을수록 뚫릴 수 있는 입구도 늘어납니다. 공식 문서는 관리자 수를 줄이고, 평소 작업에는 권한이 더 좁은 역할을 쓰라고 권합니다.

외주 작가나 함께 글 쓰는 사람에게 관리자를 주는 경우가 많은데, 글만 쓰면 되는 사람에게는 아래 역할로 충분합니다. 역할은 사용자 > 모든 사용자에서 바꿀 수 있습니다.

• 관리자: 플러그인·테마 설치, 사용자 관리까지 모든 기능을 씁니다. 운영자 본인만 두는 것이 좋습니다.
• 편집자: 다른 사람의 글까지 발행하고 관리할 수 있습니다.
• 글쓴이: 자기 글을 발행하고 관리합니다.
• 기여자: 자기 글을 쓰고 고칠 수 있지만 발행은 못 합니다. 검수 후 올리는 외주 원고에 맞습니다.
• 구독자: 자기 프로필만 관리합니다.

공식 FAQ는 막연히 '해킹당했다'고 보기보다 어떤 증상이 보이는지부터 정리하라고 안내합니다. 아래 신호 중 하나라도 보이면 대응을 시작하세요.

청소가 끝나면 비밀번호를 한 번 더 바꿔야 합니다. 발견 직후에 바꾼 비밀번호도 감염된 상태에서 바꾼 것이기 때문입니다. 혼자 해결하기 어렵다면 WordPress.org 포럼의 해킹·악성코드 게시판이나 호스팅사에 도움을 요청하세요.

1. 1당황하지 말고 기록합니다. 무엇을 보고 해킹이라고 판단했는지, 언제 발견했는지, 최근 설치한 플러그인이나 바꾼 설정이 있는지 적습니다.
2. 2보안 스캐너 플러그인과 외부 검사 사이트로 사이트를 검사하고, 관리자 화면에 접속하는 내 컴퓨터도 백신으로 전체 검사합니다.
3. 3호스팅사에 연락해 같은 서버의 다른 피해나 조치 사항이 있는지 확인합니다.
4. 4워드프레스 관리자, FTP/SFTP, 호스팅 관리 화면, 데이터베이스 비밀번호를 모두 바꿉니다. 다른 사용자 계정도 포함합니다.
5. 5wp-config.php 의 보안 키를 새 값으로 바꿔 로그인해 있는 모든 사람을 강제로 로그아웃시킵니다.
6. 6지금 상태 그대로 한 번 더 백업해 둡니다. 감염된 사본이라도 나중에 원인을 찾을 때 필요합니다.
7. 7악성 파일을 찾아 지우거나 깨끗한 백업으로 복원합니다. .htaccess 와 index.php 처럼 모든 페이지에 영향을 주는 파일을 특히 확인합니다.
8. 8코어, 플러그인, 테마를 최신으로 올리고 비밀번호를 한 번 더 바꿉니다.
9. 9서치 콘솔 보안 문제 보고서에 경고가 떴다면 모든 문제를 해결한 뒤 검토 요청을 보냅니다.

• 구글·빙 같은 검색엔진이나 백신 프로그램이 사이트를 위험하다고 표시합니다.
• 호스팅사가 사이트를 정지했거나 악성코드 배포 경고를 보냈습니다.
• 만든 적 없는 사용자 계정이 생기는 등 허락하지 않은 변경이 보입니다.
• 방문자가 사이트 접속 시 백신 경고가 뜬다고 알려 옵니다.
• 브라우저로 열었을 때 눈에 보이게 화면이 바뀌어 있습니다.