워드프레스 보안면에서 먼저 손볼 설정 방법
얼마 전 복구를 맡은 사이트는 보안 플러그인이 두 개나 깔려 있었는데, 정작 백업은 8개월 전 것이었습니다. 워드프레스 보안면에서 먼저 챙길 것은 경고창을 더 띄우는 기능이 아닙니다. 업데이트를 제때 하고, 관리자 계정을 지키고, 문제가 생겼을 때 되돌릴 수 있게 만드는 일입니다.
백업이 복구되는지 먼저 확인하세요
보안 설정을 바꾸기 전에 호스팅 관리 화면에서 자동 백업의 주기와 보관 기간을 확인합니다. 백업 항목에는 데이터베이스와 파일이 모두 들어가야 합니다. 데이터베이스만 있으면 글은 남아도 업로드한 이미지와 테마 파일을 잃을 수 있습니다. 파일만 있으면 화면은 떠도 글과 설정을 되살리기 어렵습니다.
글을 자주 올리는 사이트라면 하루 한 번, 변경이 드문 사이트라면 일주일에 한 번을 출발점으로 잡습니다. 보관본은 최소 2~3개를 남기고, 서버 장애에 대비해 같은 호스팅 계정 밖에도 한 벌을 둡니다. 호스팅에서 이 기능을 제공한다면 백업 플러그인을 추가할 이유는 적습니다. 제공하지 않는다면 무료로 쓸 수 있는 UpdraftPlus 같은 도구를 검토할 수 있습니다. 어느 쪽이든 백업 파일이 생성됐다는 알림만 믿지 말고, 별도 시험 환경에서 한 번 복원해야 합니다.
복원을 시험할 때는 글 한 편, 이미지 한 장, 관리자 로그인이 정상인지 확인합니다. 운영 중인 사이트에 바로 복원하면 최근 주문이나 댓글이 사라질 수 있습니다. 쇼핑몰이라면 특히 복원 시점 이후의 주문 데이터가 덮어써진다는 점을 먼저 계산해야 합니다.
업데이트는 밀리지 않게 운영하세요
관리자 화면의 ‘알림판 → 업데이트’에서 워드프레스 본체, 플러그인, 테마의 대기 항목을 봅니다. 저는 매주 같은 요일에 확인하고, 보안 수정이 포함된 업데이트는 더 빨리 처리합니다. 업데이트를 몇 달씩 미뤄 두면 알려진 취약점이 그대로 남습니다. 반대로 운영 사이트에서 플러그인 열 개를 한꺼번에 올리면 문제가 생겼을 때 원인을 찾기 어렵습니다.
작업 순서는 간단합니다. 먼저 백업을 만들고, 가능하면 시험 환경에서 적용합니다. 운영 사이트에서는 플러그인을 하나씩 업데이트한 뒤 로그인, 글 화면, 문의 양식, 결제 기능처럼 실제로 쓰는 경로를 확인합니다. 문제가 생기면 바꾼 항목부터 되돌립니다. 플러그인 화면의 ‘자동 업데이트 활성화’는 항목별로 켤 수 있습니다. 구조가 단순한 사이트는 꾸준히 관리되는 플러그인부터 켜고, 결제나 예약처럼 장애 영향이 큰 기능은 알림을 받아 직접 확인하며 업데이트하는 편이 낫습니다.
쓰지 않는 플러그인과 테마는 비활성화만 하지 말고 삭제합니다. 비활성화한 플러그인도 서버에 파일이 남아 있습니다. 단, 현재 테마와 자식 테마의 관계를 먼저 확인하세요. 사용 중인 부모 테마를 지우면 화면이 깨질 수 있습니다. 워드프레스의 ‘도구 → 사이트 건강’에서도 업데이트 실패나 서버 설정 경고가 있는지 확인할 수 있습니다.
관리자 계정에는 이중 인증을 거세요
‘사용자 → 모든 사용자’에서 관리자 권한을 가진 계정부터 확인합니다. 글만 쓰는 사람에게 관리자 권한을 줄 필요는 없습니다. 작성자는 글 작성에 필요한 역할을 주고, 퇴사자나 외주 작업자의 계정은 작업이 끝나면 회수합니다. 관리자 계정마다 다른 긴 비밀번호를 쓰고, 여러 사람이 한 계정을 공유하지 않는 것도 기본입니다. 누가 무엇을 바꿨는지 추적하기 쉬워집니다.
이중 인증이 없다면 무료 플러그인 Two-Factor를 설치한 뒤 각 관리자가 ‘사용자 → 프로필’에서 인증 앱 방식을 설정할 수 있습니다. 이미 Wordfence Security를 쓰고 있다면 그 안의 로그인 보안 기능을 먼저 확인하세요. 같은 목적의 플러그인을 또 설치할 필요는 없습니다. 설정 후에는 현재 로그인 창을 닫기 전에 다른 브라우저에서 새 로그인을 시험합니다. 복구 코드는 비밀번호와 별도로 보관하세요. 휴대전화를 잃어버렸을 때 코드를 찾지 못하면 관리자도 들어가지 못합니다.
외부 도구와 연동했다면 프로필의 ‘애플리케이션 비밀번호’ 목록도 확인합니다. 이름을 모르는 항목이나 더는 쓰지 않는 연동의 비밀번호는 폐기합니다. 이 비밀번호는 일반 관리자 로그인용이 아니라 외부 프로그램이 사이트에 접근할 때 쓰입니다.
설정을 더하기 전에 접속 경로를 확인하세요
호스팅 관리 화면에서 보안 연결 인증서가 정상인지, 사이트 방문과 관리자 로그인이 암호화된 연결로 열리는지 확인합니다. 인증서가 만료됐거나 일부 화면만 암호화된다면 계정 설정에 앞서 해결해야 합니다. 호스팅에서 제공하는 방화벽과 로그인 시도 제한도 확인하되, 같은 차단 기능을 여러 플러그인에서 겹쳐 켜지는 마세요. 정상 사용자까지 잠기면 운영자가 복구하느라 시간을 더 씁니다.
파일 권한이나 서버 설정 파일은 인터넷에 떠도는 숫자를 그대로 복사해 바꾸지 않습니다. 호스팅 방식에 따라 필요한 권한이 달라서, 잘못 바꾸면 업로드와 업데이트가 멈출 수 있습니다. 특별한 문제가 없다면 호스팅의 기본 설정을 유지하고, 변경이 필요할 때만 백업과 원래 값을 기록한 뒤 진행합니다.
제가 운영 사이트를 점검할 때 먼저 보는 것은 설치된 보안 플러그인 수가 아닙니다. 어제 백업으로 복원할 수 있는지, 지난주에 업데이트를 확인했는지, 관리자 계정이 누구 손에 있는지입니다. 이 세 가지가 잡혀 있으면 새 기능을 더하기 전에도 사고 가능성과 복구 시간을 꽤 줄일 수 있습니다.
