워드프레스 보안 체크리스트

워드프레스는 전 세계 웹사이트의 40% 이상을 구동하는 만큼 자동화된 봇 공격의 첫 번째 표적입니다. 기본 설정 그대로 운영하면 무차별 로그인 시도, 취약한 플러그인 악용, 사용자 계정 열거, XML-RPC 증폭 공격에 그대로 노출됩니다. 이 체크리스트는 로그인 보안부터 파일 권한, 노출 최소화, 백업·HTTPS까지 실무에서 가장 효과가 큰 하드닝 항목을 한곳에 모아 점검할 수 있게 합니다.

각 항목을 체크하면 준비도(%)가 실시간으로 계산되고 정상/주의/위험 상태로 표시됩니다. 모든 처리는 브라우저 안에서만 일어나며 입력값이나 체크 상태는 외부로 전송되지 않습니다. 신규 사이트 오픈 전 점검이나 정기 보안 감사에 활용하세요.

왜 워드프레스 하드닝이 필요한가

대부분의 워드프레스 침해는 제로데이가 아니라 방치된 기본 설정과 업데이트되지 않은 플러그인에서 시작됩니다. 공격자는 /wp-login.php에 무차별 대입을 시도하고, /wp-json/wp/v2/users로 사용자명을 수집하며, 알려진 취약점이 있는 플러그인을 스캔합니다. 하드닝은 이런 자동 공격의 표면을 줄이는 작업입니다.

우선순위로 보는 핵심 조치

• 로그인 보안: 2단계 인증(2FA), 로그인 시도 제한, 강력한 비밀번호가 가장 비용 대비 효과가 큽니다.
• 업데이트: 코어·플러그인·테마를 최신으로 유지하고 사용하지 않는 플러그인/테마는 삭제하세요.
• 파일 보호: wp-config.php 접근 차단과 DISALLOW_FILE_EDIT로 관리자 화면 코드 편집을 막습니다.
• 노출 최소화: 버전 정보 숨김, 불필요한 XML-RPC 차단, REST API 사용자 열거 차단.
• 복구 대비: 자동 백업과 전 구간 HTTPS는 사고 발생 시 피해를 결정적으로 줄입니다. 응답에 보안 헤더가 제대로 적용됐는지는 보안 헤더 점검으로, 콘텐츠 보안 정책은 CSP 생성기로 보강하세요.

권한 설정 기준

일반적으로 디렉터리는 755, 파일은 644, wp-config.php는 640 또는600으로 설정합니다. 웹서버가 쓰기 권한을 가진 디렉터리는 최소화하고, 절대 777을 사용하지 마세요.