워드프레스 보안 기본 설정과 관리자 계정 점검

보안 플러그인 하나가 사이트를 대신 지켜주지는 않습니다. 업데이트되지 않은 코드, 공유 관리자 계정과 복원할 수 없는 백업이 더 큰 위험이 될 수 있습니다. 백업과 업데이트를 확보한 뒤 계정·접속·확장 기능·서버 권한 순서로 기본 위험을 줄이세요.

변경 전에 파일과 데이터베이스 전체 백업을 만들고 서버 밖에도 보관합니다. 백업 생성 성공 표시뿐 아니라 최근 사본을 내려받을 수 있고 복원 절차를 알고 있는지 확인하세요. 보안 사고가 생기면 손상된 상태를 덮어쓰기 전에 증거와 최신 데이터를 보존해야 하므로 복구 경로가 우선입니다.

호스팅 계정, 도메인 등록기관, 관리자 이메일도 WordPress와 함께 보호해야 합니다. 사이트 관리자 비밀번호만 바꿔도 도메인이나 호스팅 계정을 빼앗기면 접속과 파일을 통제할 수 없습니다.

WordPress 코어, 테마와 플러그인의 최신 안정 버전을 유지합니다. 사용하지 않는 테마·플러그인은 비활성화만 하지 말고 필요한 기본 테마 하나를 제외해 삭제합니다. 공식 WordPress 저장소 또는 신뢰할 수 있는 공급자에서만 내려받고, 오랫동안 업데이트가 없거나 지원이 끝난 확장 기능은 대체 계획을 세웁니다.

자동 업데이트는 사이트 중요도와 테스트 환경에 맞게 사용하세요. 무조건 모두 끄거나 켜는 대신 백업, 업데이트 알림, 스테이징 검증과 장애 시 되돌리는 담당 순서를 정합니다.

사람마다 별도 계정을 만들고 필요한 최소 역할만 부여합니다. 글만 쓰는 사람에게 관리자 권한을 주거나 여러 명이 하나의 계정을 공유하면 변경 책임을 확인하기 어렵습니다.

기존 admin 계정을 단순히 표시 이름만 바꾸는 것은 로그인 이름 변경과 다릅니다. 새 관리자 계정을 만든 뒤 콘텐츠 소유권을 이전하고 불필요한 계정을 정리하는 방식이 관리 화면에서 더 안전할 수 있습니다.

관리자 로그인과 공개 페이지가 HTTPS로 열리고 HTTP 요청은 대표 HTTPS 주소로 이동해야 합니다. 인증서 오류나 혼합 콘텐츠가 없는지 로그아웃 브라우저에서도 확인합니다. 서버에 접속할 때는 가능한 경우 암호화된 SFTP나 호스팅 파일 관리자를 사용하고 평문 FTP는 피하세요.

관리자 로그인 주소를 숨기는 것만으로 핵심 보안이 완성되지는 않습니다. 무차별 로그인 시도를 줄이는 제한, 강한 인증과 업데이트를 함께 적용해야 합니다.

필요하지 않다면 관리자 화면에서 테마·플러그인 PHP 파일을 직접 편집하는 기능을 제한하는 방안을 검토합니다. 이 설정은 wp-config.php와 서버 접근이 필요할 수 있으므로 호스팅 문서를 확인하고 변경 전 백업하세요.

파일 권한은 WordPress가 필요한 위치만 쓸 수 있게 합니다. 모든 폴더에 광범위한 쓰기 권한을 주는 방식은 피하고, wp-config.php, 플러그인과 코어 파일의 소유자·권한을 호스팅 권장값과 비교합니다. 서버 구성마다 계정과 실행 사용자가 다르므로 숫자만 복사해 일괄 변경하지 않습니다.

모르는 관리자, 예상하지 않은 리디렉션, 검색 결과의 스팸 페이지나 갑작스러운 파일 변경이 보이면 플러그인만 돌리고 끝내지 않습니다. 사이트를 보존하고 호스팅에 로그와 격리를 요청한 뒤, 깨끗한 백업과 업데이트된 구성으로 복구할 계획을 세웁니다. 영향을 받은 비밀번호와 인증 키도 안전한 기기에서 교체합니다.