サイトのセキュリティに保護の層をもう一つ追加する方法をお探しですか？二要素認証（2FA）が最適な方法かもしれません。2FAは従来のログイン認証情報と併用できるため、パスワードを知られてしまった場合でも、権限のないユーザーがアカウントにログインすることをさらに困難にできます。
2FAを有効にするとサイトのセキュリティにどのようなメリットがあるのか、またハッカーの攻撃をどのように阻止できるのかを見ていきましょう。
ハッキングされると重大な結果を招きます
複雑なアルゴリズムやソーシャルエンジニアリングなどの手段を駆使し、ハッカーは脆弱なサイトに侵入して悪意のある行為を実行できます。こうした行為には、ブラックハットリンク構築（自分のサイトへのバックリンクを作成すること）やアフィリエイトリンクの置き換え、悪意のあるコードの追加、インストール済みのWordPressプラグインの機能停止、スパムコンテンツの生成、WordPressユーザーを有害なサイトへリダイレクトすることなどがあります。
これらの活動のほとんどは、堅牢なWordPressセキュリティプラグインを使ってサイトを常時監視していない限り、発見が困難です。こうした脆弱性を発見・解決できないままにすると、検索エンジンのランキングが低下したり、ウイルス対策サービスプロバイダーによってブラックリストに登録されたりして、コンテンツ、ブログ、WooCommerceストア、またはビジネスサイトへのトラフィックが実質的に遮断される可能性があります。
その場合、サイトからマルウェアやスパムを手作業で削除し、禁止措置に対する異議申し立てを行う必要があります。あるいは、代行業者に依頼して作業してもらうための費用を支払わなければなりません。
サイトのセキュリティは強固なパスワードだけではありません
ハッカーやサイバー犯罪者がますます高度化する中、従来のユーザー名とパスワードだけではサイトを保護するのに十分ではありません（特に、複数のアカウントでパスワードを使い回す習慣がある場合はなおさらです）。ログインするすべての場所で強力なパスワードを使っている場合でも（実際にはそうしていない人がほとんどですが）、パスワードのデータはどこかに保存されなければなりません。そのサーバーが侵害されると、ログイン情報が誰でも見られる状態になってしまいます。データが秘密のままでも、ログイン試行回数を無制限に許可しているサイトでは、攻撃者が総当たり攻撃によってパスワードを割り出してしまう可能性があります。
本質的に、どれほど強力なパスワードでも、「単一段階」の認証と呼ばれるものにすぎません。ログインページでパスワードを入力すると、サイトはログインを許可します。これでは障害が発生した際の単一障害点が生じます。
追加の認証段階を加えると、セキュリティの層がもう一つ増えます。パスワードは1つより2つのほうがよいですよね？しかし、実際にはそうでもありません。2つのパスワードには、1つの場合と同じ脆弱性があるためです。解読に少し時間がかかるだけにすぎません。
ログインのセキュリティを本当の意味で向上させるには、認証要素という観点で考え始める必要があります。これらは互いに重複する脆弱性を持たない、まったく異なる認証方法のカテゴリーで、大きく3つの定義に分けられます。
- あなた自身に関するもの: あなた固有の要素。たとえば指紋、顔認証、さらにはDNAなどです。もちろん、これらを偽造するのは非常に困難で、紛失したり忘れたりすることもありません。
- あなたが持っているもの: 従来（少なくともデジタルの世界では）これはキーチェーン型の認証デバイスや専用のHOTP認証デバイスなどを意味していました。しかし現在では、携帯電話で利用できるもの、つまり実際に手元に携帯電話がある場合にアクセスできるものを指すことが一般的です。たとえば、電話、テキストメッセージで送られるパスコード、プッシュ通知、AuthyやGoogle Authenticatorなどのモバイルアプリがあります。これらはすべて、ログイン手続きを完了するために一定時間内に入力する必要があるワンタイムパスワード（OTP）をユーザーに提供します。
- あなたが知っているもの: これは一般的にはパスワードを意味しますが、最初に飼ったペットの名前や、育った街の通りの名前などに関するセキュリティ質問も含まれます。このようにセキュリティについて考えると、「セキュリティ質問」には実際には重要な2番目の要素が含まれておらず、単に別の種類のパスワードにすぎないことが分かります。そのため、2FAへの大規模な移行が進んでいます。
これをWordPressの二要素認証に当てはめると（WordPressサイト上で顧客のDNAデータベースを作成して保存することに成功していない限り）、2FA対応アカウントにログインする際、ユーザーはスマートフォンなどのデバイスで生成された追加情報（通常はTOTPの6桁の確認コード）の入力を求められます。
ユーザープロフィールで2FAを設定すると、ログインするたびに使用するか、30日に1回入力するかを選択できます。
起こる前にハッキングを阻止しましょう
2FAを有効にすると、多くの時間や心労、労力を節約できます。WordPressのログイン認証情報を使って第三者がサイトを乗っ取る可能性も、2FAによって最小限に抑えられます。自分のデバイス（おそらく常に手の届くところにあり、特に携帯電話である場合）で生成された確認コードがなければ、他の誰もアカウントにログインできないためです。
2FAは、Jetpackのスパムフィルタリングと総当たり攻撃への保護を組み合わせることで、さまざまなサイバー攻撃からあなたとサイト訪問者を守り、訪問者が意図したとおりにサイトを体験できるようにします。
Secure Sign Onを使用して2FAを有効にする
WordPress.comのSecure Sign Onを有効化すると、自分でホスティングしているWordPress.orgサイトへの登録とログインを、WordPress.comの認証情報を使って安全かつ迅速に行えるようになります。
次のWordPress.comの2段階認証ページにアクセスして、アカウントで2FAを設定します。本人確認のため、電話番号の入力を求められます（SMS、またはDuo、Authy、もしくはGoogle Authenticatorアプリなどの認証アプリを使用します。これらはすべてiPhoneとAndroidの両方で利用できます）。
SMSでの確認を選択すると、7桁のコードが携帯電話に表示されます。ログインフォームの該当する欄にこの番号を入力し、有効化をクリックします。
認証アプリでの確認を選択した場合は、画面に表示されたQRコードを認証アプリでスキャンしてください。追加のセキュリティ対策として自動的に更新される6桁のコードが表示されます。表示された空欄にコードを入力して、有効にする。
WordPressアカウントで2FAを有効にすると、あなたのバックアップコードのコピーを保存するよう求められます。認証アプリに問題が発生した場合やデバイスを紛失した場合は、これらのコードを使ってアカウントに再度ログインできます。
サイトを悪意ある人の手に渡さないために
Equifax、Uber、Yahoo!で起こり得ることは、誰にでも起こり得ます。2要素認証を有効にして保護をさらに強化し、苦労して構築したサイトのコンテンツが悪意ある攻撃の被害に遭うのを防ぎましょう。
Jetpackサイトには、他にどのようなセキュリティ対策を実施していますか？コメント欄でヒントを共有してください！
Jetpack 