設定画面の場所

管理画面の左メニューに「CloudSecure WP Security」が出ます。その中に機能ごとの画面があり、それぞれで有効／無効を切り替えて保存します。

管理画面の左メニュー「CloudSecure WP Security」→ 各機能の名前 → 有効／無効を選ぶ → 「設定を変更」

画面の表記は版によって少し違うことがあります。手元の画面と照らし合わせて読んでください（この記事は版 1.4 系で確かめています）。

有効化しただけではオフの機能

2段階認証（いちばんのおすすめ）

パスワードが漏れても、スマホがなければログインできなくなります。ほかの機能は「攻撃の回数を減らす」守りですが、2段階認証は「パスワードを知られても入れない」守りです。効果の大きさが違うので、まずこれを入れるのがおすすめです。

スマホに認証アプリ（Google Authenticator、Microsoft Authenticator など）を入れてから、次の流れで設定します。

1. 左メニュー「CloudSecure WP Security」→「2段階認証」で有効にして保存
2. 画面の案内に従って QR コードを表示し、スマホの認証アプリで読み取る
3. アプリに出た6桁の数字を入力して登録する
4. 一度ログアウトし、パスワード＋6桁の数字でログインできるか確かめる

ハマりやすい点：スマホを機種変更したり、アプリを消したりすると、6桁の数字が出せなくなります。機種変更の前には、認証アプリの引き継ぎをしておきましょう。万一ログインできなくなったときに備えて、FTP やサーバーパネルのファイルマネージャーでプラグインのフォルダ名を変える（プラグインを止める）方法も、覚えておくと安心です。

WAF（入れてよい）

Xserver にはサーバー側の WAF もありますが、プラグインの WAF を重ねても問題ありません。

ただし、WAF はまれに、普通の操作を攻撃と間違えて止めることがあります。オンにしたら、記事の保存・公開、問い合わせフォームの送信など、ふだん使う操作を一通り試してください。

ログインURL変更（任意）

ログイン画面の URL を推測されにくくして、総当たり攻撃の回数そのものを減らします。

オンにすると新しいログイン URL が表示されるので、必ずブックマークしておきます。忘れると自分もログイン画面にたどり着けなくなります。2段階認証を入れていれば、こちらは必須ではありません。

管理画面アクセス制限・画像認証（任意）

どちらも守りを足す機能ですが、2段階認証とログイン無効化が効いていれば、なくても十分です。画像認証は、ログインのたびに手間が増えるのが欠点です。コメントスパムに困っているなら、コメント欄にだけ入れるのもよいと思います。

REST API 無効化

外から REST API を使っている場合は、オンにしないでください。オンにすると、次のようなものが動かなくなることがあります。

• アプリケーションパスワードを使って、外部のツールやスクリプトから記事を投稿する仕組み
• REST API を使うプラグインやアプリ

例外にするプラグインを指定する欄もあります（初期値は oEmbed、Contact Form 7、Akismet）。ただ、外部から投稿する仕組みを使っているなら、オフのままにしておくのが無難です。

なお、2段階認証はログイン画面にかかる機能です。アプリケーションパスワードを使った REST API での投稿には、ふつう影響しません。それでも、設定を変えたら一度投稿を試して確かめておくと安心です。

ほかのセキュリティプラグインとの併用

SiteGuard WP Plugin など、ほかのセキュリティプラグインと同時に動かすと、ログインURL変更などがぶつかることがあります。CloudSecure WP Security に切り替えるなら、先に古いほうを停止してから有効にします。

サイトの引っ越し・複製のとき

All-in-One WP Migration などでサイトを丸ごと書き出すと、CloudSecure WP Security の設定も一緒にコピーされます。コピー先でログインURLや2段階認証がそのまま効いて、管理画面に入れなくなることがあります。

書き出す前に一時的に停止し、終わったら必ず有効に戻します。この「戻す」を忘れやすいので注意してください。ときどきプラグインの一覧を開いて、有効のままになっているか確かめるのがおすすめです。