管理画面のアクセス制限チェックリスト

最低ラインは、「管理画面が、誰でも開ける状態ではない」——ここさえ超えていれば、無差別のログイン試行はほぼ止まります。

• 管理画面のURLを洗い出しているか（/wp-admin/、/wp-login.php、/admin、phpMyAdmin等の管理ツールも）
• その管理画面を「誰が・どこから」触るかを整理したか
• 固定IPから触るなら、IP制限（allow / Require ip）をかけているか
• 接続元が変わるなら、Basic認証をかけているか
• Basic認証を使う場所が、HTTPSになっているか
• プロキシ・CDNを挟んでいる場合、実IPの扱い（realip / mod_remoteip）を確認したか
• X-Forwarded-For を信頼する範囲を、自分のプロキシだけに限定しているか
• admin-ajax.php・REST API・Webhookなど、巻き込んで壊れるものを確認したか
• パスワードファイル（.htpasswd）を公開ディレクトリの外に置いているか
• 設定変更の前にバックアップを取り、反映前に文法チェック（nginx -t 等）をしたか
• 反映後、別のブラウザで「自分が入れること」と「表側が壊れていないこと」を確認したか
• 締め出されたときに戻れる経路（SSH・コンソール）を残しているか

全部に○が付かなくても大丈夫です。まずは1か所、扉を一枚置くところから始めましょう。