초보자를 위한 워드프레스 보안관 설정 방법
얼마 전 작은 쇼핑몰 사이트를 복구했는데, 문제는 해킹보다 방치였습니다. 워드프레스 코어는 1년 넘게 업데이트가 멈춰 있었고, 보안 플러그인은 깔려 있었지만 알림 메일만 보내는 상태였습니다. 이런 사이트를 보면 늘 같은 생각이 듭니다. 보안은 거창한 장비보다 기본 설정을 꾸준히 지키는 쪽이 훨씬 강합니다.
보안관이라는 키워드로 들어온 분들은 대개 워드프레스 보안 플러그인이나 보안 설정 방법을 찾고 있을 겁니다. 저는 보안관을 특정 플러그인 하나로만 보지 않습니다. 로그인 보호, 파일 수정 차단, 백업, 업데이트, 권한 관리까지 묶어서 사이트를 지키는 운영 방식으로 보는 게 맞습니다.
보안관을 깔기 전에 먼저 확인할 것
보안 플러그인을 설치하기 전에 현재 사이트 상태부터 봐야 합니다. 이미 캐시 플러그인, 방화벽 플러그인, 로그인 제한 플러그인이 여러 개 깔려 있다면 보안관을 하나 더 얹는 순간 충돌이 날 수 있습니다. 특히 로그인 주소 변경, XML-RPC 차단, 관리자 페이지 접근 제한은 여러 플러그인이 동시에 건드리면 접속 자체가 막히는 경우가 있습니다.
- 워드프레스 코어가 최신인지 확인합니다.
- PHP 버전은 최소 8.1 이상을 권합니다.
- 사용하지 않는 테마와 플러그인은 삭제합니다.
- 관리자 계정 이름이 admin이면 새 계정을 만들고 기존 계정을 없앱니다.
- 백업 플러그인이 정상 작동하는지 먼저 테스트합니다.
여기서 중요한 건 백업입니다. 보안 설정은 사이트의 문을 잠그는 작업입니다. 그런데 문을 잘못 잠그면 운영자도 못 들어갑니다. 설정을 바꾸기 전에는 파일과 데이터베이스 백업을 둘 다 받아야 합니다. 자동 백업만 믿지 말고 복원까지 한 번 확인하는 게 안전합니다.
보안관 기본 설정은 이렇게 잡습니다
처음부터 모든 기능을 켜면 안 됩니다. 보안 플러그인은 강하게 걸수록 오탐도 늘어납니다. 방문자가 적은 블로그라면 괜찮아 보여도, 주문이나 문의가 들어오는 사이트에서는 정상 사용자가 막히면 바로 손해가 됩니다.
로그인 실패 제한
로그인 실패 제한은 가장 먼저 켭니다. 저는 보통 5회 실패 시 30분 잠금으로 시작합니다. 공격이 잦은 사이트라면 3회 실패, 1시간 잠금도 쓸 수 있습니다. 다만 사내에서 여러 명이 같은 공유 인터넷을 쓰는 환경이라면 너무 강하게 잡지 않는 게 낫습니다. 한 명이 비밀번호를 틀렸는데 같은 사무실 전체가 잠길 수 있습니다.
관리자 알림
관리자 로그인 알림은 켜는 편이 좋습니다. 다만 모든 로그인마다 메일을 받으면 나중에는 안 읽게 됩니다. 새 관리자 계정 생성, 플러그인 활성화, 테마 파일 변경 같은 이벤트 위주로 받는 설정이 실무에서는 더 낫습니다. 알림은 많이 받는 것보다 바로 판단할 수 있게 받는 게 중요합니다.
파일 편집 차단
워드프레스 관리자 화면에서 테마와 플러그인 파일을 직접 수정하는 기능은 꺼두는 걸 권합니다. 운영 중인 사이트에서 이 기능을 쓸 일은 거의 없습니다. 잘못 저장하면 흰 화면이 뜨고, 공격자가 관리자 계정을 얻었을 때 피해가 커집니다. wp-config 파일에서 파일 편집 차단 값을 넣는 방식이 가장 단순합니다.
무료 플러그인으로 충분한 경우
개인 블로그, 회사 소개 사이트, 작은 포트폴리오 사이트라면 유료 보안 플러그인부터 살 필요는 없습니다. 무료 플러그인으로 로그인 제한, 기본 방화벽, 악성 파일 검사, 관리자 알림 정도는 충분히 처리됩니다. 보안관 플러그인을 쓰든, Wordfence나 Solid Security 같은 대안을 쓰든 중요한 건 기능을 겹치지 않게 두는 겁니다.
- 로그인 보호는 한 플러그인에서만 켭니다.
- 방화벽 기능도 한 곳에서만 관리합니다.
- 백업은 보안 플러그인에 맡기기보다 전용 백업 플러그인을 쓰는 편이 낫습니다.
- 스팸 차단은 보안 플러그인보다 댓글·폼 전용 도구가 더 안정적일 때가 많습니다.
유료 기능이 필요한 경우도 있습니다. 쇼핑몰, 회원제 사이트, 예약 사이트처럼 개인정보와 결제가 얽히면 실시간 방화벽, 취약점 알림, 국가 차단, 상세 로그가 도움이 됩니다. 하지만 방문자 하루 100명인 정보성 블로그라면 유료 결제보다 업데이트 주기와 백업 체계를 먼저 잡는 게 맞습니다.
잘못 건드리면 사이트가 막히는 설정
보안 설정 중에는 조심해야 할 항목이 있습니다. 로그인 주소 변경이 대표적입니다. 주소를 바꾸면 무작위 로그인 공격은 줄어들지만, 운영자가 주소를 잊거나 캐시 플러그인과 충돌하면 관리자 접속이 안 됩니다. 이 기능을 쓸 때는 변경한 주소를 따로 기록하고, FTP나 호스팅 파일 관리자에 접근할 수 있는 상태에서 켜야 합니다.
XML-RPC 차단도 마찬가지입니다. 요즘 일반 블로그에서는 꺼도 되는 경우가 많습니다. 그런데 모바일 앱으로 글을 쓰거나 외부 발행 도구, 일부 Jetpack 기능을 쓰고 있다면 갑자기 연결이 끊길 수 있습니다. 기능을 모르면 전면 차단보다 제한 모드가 낫습니다.
국가 차단은 더 신중해야 합니다. 한국 방문자만 받는 사이트라면 해외 접속 차단이 효과적일 수 있습니다. 하지만 검색엔진, 결제 모듈, 외부 모니터링 서비스가 해외 서버를 쓰면 문제가 생깁니다. 차단 후에는 검색 노출, 결제 테스트, 문의 폼 전송까지 확인해야 합니다.
운영 중에는 이 기준만 지켜도 사고가 줄어듭니다
보안관 설정을 끝냈다고 보안이 끝난 건 아닙니다. 워드프레스 사고는 대부분 어느 날 갑자기 생기지 않습니다. 오래된 플러그인, 방치된 계정, 실패한 백업, 너무 많은 관리자 권한이 쌓이다가 터집니다.
- 관리자 계정은 꼭 필요한 사람에게만 줍니다.
- 비밀번호는 최소 12자 이상으로 만들고 재사용하지 않습니다.
- 플러그인은 매달 한 번 이상 업데이트합니다.
- 업데이트 전에는 자동 백업 시간을 확인합니다.
- 3개월 이상 쓰지 않은 플러그인은 비활성화가 아니라 삭제합니다.
제가 운영 사이트에 두는 기준은 단순합니다. 기능 하나를 추가할 때마다 속도, 보안, 유지보수 비용이 같이 늘어나는지 봅니다. 보안관도 마찬가지입니다. 많이 켜는 게 잘 지키는 게 아닙니다. 내 사이트 구조에 맞는 기능만 켜고, 백업과 업데이트를 꾸준히 굴리는 쪽이 오래 갑니다.
