워드프레스에서 해킹, 봇, 스팸을 차단하는 간단 가이드 (초보자 친화적)
Source: Dev.to
Introduction
If you run a WordPress site, you’ve probably seen at least one of these:
- Strange login attempts at all hours
- Spam comments with random links
- “User registration” spam (even if you didn’t ask for it)
- Sudden traffic spikes that don’t look like real visitors
The important thing to understand is that most attacks are not personal. They are automated bots trying the same “easy doors” on thousands of sites per hour. Your goal is to stop looking like an easy target without becoming a security expert.
봇이 사이트를 공격하는 이유
봇은 인간처럼 생각하지 않습니다. 예측 가능한 위치를 반복적으로 스캔합니다:
- 일반적인 로그인 주소
- 일반적인 관리자 주소
- 사용 중인 워드프레스를 드러내는 일반적인 워드프레스 경로
- 특히 댓글과 같은 일반적인 폼 대상
같은 패턴이 웹 전반에 걸쳐 사용되기 때문에, 사이트 소유자가 잘못한 것이 없어도 많은 사이트가 공격을 받게 됩니다.
계층형 보호 (초보자 친화적)
수십 개의 플러그인을 설치하는 대신, 함께 작동하는 몇 가지 간단한 제어만 사용하세요. “계층형” 접근 방식은 각 계층이 서로 다른 유형의 공격을 차단한다는 의미입니다.
1. WordPress 기본 토론 설정 강화
이 설정은 무료이며 올바르게 구성하면 놀라울 정도로 효과적입니다.
권장 설정
- 링크가 너무 많은 댓글 보류 – 설정된 수 이상의 링크가 포함된 댓글을 검토합니다.
- 검토 및 차단 목록 사용 – 알려진 스팸 단어나 IP를 추가하여 원치 않는 댓글을 줄입니다.
- 첫 댓글 작성자에 대한 검토 활성화 – 새로운 댓글 작성자가 즉시 스팸을 게시하는 것을 방지합니다.
이 옵션이 어디에 있는지 잘 모를 경우, 공식 WordPress 문서의 Discussion Settings 화면을 참고하세요.
2. 안티 스팸 플러그인 추가
WordPress 설정도 도움이 되지만, 안티 스팸 플러그인은 더 강력한 필터를 제공합니다.
일반적인 선택
- Akismet – 자동으로 댓글을 검사하고 스팸을 필터링합니다. API 키가 필요하며, 상업적 사용 시 유료 플랜이 적용됩니다.
Akismet plugin page - Antispam Bee – 캡차 없이 스팸 댓글과 트랙백을 차단하고, 개인 데이터를 제3자에게 전송하지 않습니다.
Antispam Bee plugin page
실용적인 팁: 이미 많은 댓글 스팸을 받고 있다면, 이 플러그인 중 하나부터 시작하세요. 나중에 언제든 교체할 수 있지만, 아무 것도 하지 않으면 매주 시간을 낭비하게 됩니다.
3. 무차별 공격 방지 활성화
무차별 공격은 성공할 때까지 많은 비밀번호 시도를 반복합니다. 좋은 보안 도구는 시도를 제한하고 악용 행위를 차단합니다.
- Wordfence – 로그인 속도 제한 및 기타 무차별 공격 방지 기능을 제공합니다.
Wordfence plugin page
장점
- 로그인 공격 성공 가능성을 낮춥니다.
- 지속적인 봇 트래픽으로 인한 서버 부하를 줄입니다.
공격이 급증할 때 사이트가 느려진다면, 무차별 공격 방지 제어를 활성화하면 즉시 도움이 되는 경우가 많습니다.
봇이 찾는 대상 숨기기
많은 안티‑스팸 및 보안 설정은 봇이 도착한 후에 반응합니다. 사전 예방적 접근 방식은 봇이 프로그램된 명백한 대상을 제거하거나 숨기는 것입니다.
경로 숨김을 위한 WP Ghost
WP Ghost는 봇이 일반적으로 노리는 일반적인 WordPress 경로, 특히 댓글 URL을 변경하고 숨기는 데 중점을 둡니다.
이것이 도움이 되는 이유:
봇은 마치 모든 건물에서 같은 10개의 문을 시도하는 사람과 같습니다. 문이 기대한 위치에 없으면 많은 자동 스크립트가 실패하고 넘어갑니다.
댓글을 위한 WP Ghost 기능
- Safe Mode 또는 Ghost Mode 활성화
- 댓글 경로 변경
- 댓글 경로 숨기기
- 댓글 폼에 대한 무차별 대입 방지 활성화
간단한 WP Ghost 설정 흐름
- WP Ghost 설치 및 활성화
- 경로 보호를 위해 설계된 모드 활성화 (설정에 따라 Safe Mode 또는 Ghost Mode)
- 댓글 경로 변경 – 기본 게시 주소를 목표로 하는 자동 댓글 스팸을 감소시킵니다.
- 댓글 경로 숨기기 – 일반 WordPress URL에서 명백한 대상을 봇이 보지 못하게 합니다.
- 댓글 폼에 대한 무차별 대입 방지 활성화 – 반복 시도를 차단하고 봇 유입을 감소시킵니다.
- 일반 방문자처럼 테스트 – 게시물을 열고 테스트 댓글을 제출하여 실제 방문자는 댓글을 달 수 있지만 스팸 시도는 차단되거나 도전받는지 확인합니다.
최종 생각
WordPress의 기본 토론 설정을 강화하고, 신뢰할 수 있는 anti‑spam 플러그인을 추가하며, brute‑force 방지를 활성화하고, 필요에 따라 WP Ghost와 같은 도구로 일반 경로를 숨김으로써 깊은 보안 전문 지식 없이도 대부분의 자동화 공격을 차단할 수 있습니다. 이와 같은 계층형 접근 방식은 웹사이트 성장과 수익 창출에 집중하면서 스팸 공격자로부터 벗어날 수 있게 해줍니다.