워드프레스 사이트는 해킹 시도가 점점 정교해지는 2025년에도 여전히 공격의 표적입니다. 실제로 중소기업 웹사이트의 43%가 공격 대상이 되고 있으며, 그중 14%만이 제대로 보호되고 있다는 통계가 있습니다. 이 글에서는 워드프레스 사이트 보안 강화 방법과 실전 경험, 최신 플러그인 활용법, 그리고 꼭 실천해야 할 관리 팁을 구체적으로 안내합니다.
강력한 비밀번호와 2단계 인증으로 계정 보호하기
워드프레스 사이트의 첫 관문은 로그인 보안입니다. 저는 예전에 ‘admin’ 계정을 그대로 두었다가 무차별 대입 공격을 당한 적이 있습니다. 이 경험을 계기로, 관리자 계정명을 변경하고, 16자리 이상의 복잡한 비밀번호로 교체했죠. 여기에 Google Authenticator 플러그인을 설치해 2단계 인증을 활성화하니, 이후로는 로그인 시도 경고가 거의 사라졌습니다.
비밀번호 관리 꿀팁
- 비밀번호는 영문, 숫자, 특수문자를 조합해 12자 이상으로 설정하세요.
- 비밀번호 관리 앱을 활용하면 매번 기억하지 않아도 됩니다.
- 2단계 인증(2FA) 플러그인은 필수입니다.
워드프레스 보안 플러그인으로 실시간 위협 차단하기
보안 플러그인은 워드프레스 보안 강화의 핵심입니다. 실제로 Wordfence Security, Sucuri Security, iThemes Security 같은 플러그인은 악성 코드 탐지, 방화벽, 로그인 시도 제한 등 다양한 방어 기능을 제공합니다. 저도 Wordfence를 설치한 이후, 하루에도 수십 번씩 차단되는 공격 로그를 직접 확인할 수 있었습니다. 무료 버전만으로도 기본적인 보호가 가능하지만, 트래픽이 많거나 민감 정보가 있다면 유료 업그레이드를 추천합니다.
| 플러그인명 | 주요 기능 | 무료/유료 | 사용 난이도 |
|---|---|---|---|
| Wordfence | 방화벽, 멀웨어 탐지, 실시간 차단 | 무료/유료 | 쉬움 |
| Sucuri Security | 웹 방화벽, 모니터링, 복구 지원 | 무료/유료 | 보통 |
| iThemes Security | 로그인 제한, 파일 변경 감지 | 무료/유료 | 쉬움 |
워드프레스 코어, 테마, 플러그인 최신 상태 유지하기
사이트가 해킹당한 사례 중 절반 이상이 오래된 플러그인이나 테마, 워드프레스 코어의 취약점 때문이었습니다. 저 역시 플러그인 업데이트를 미루다가, 악성코드가 삽입되어 복구에 며칠을 허비한 적이 있습니다. 자동 업데이트를 활성화하면 이런 문제를 예방할 수 있습니다.
- 워드프레스 코어, 테마, 플러그인은 항상 최신 버전으로 유지하세요.
- 사용하지 않는 플러그인과 테마는 즉시 삭제하세요.
- 업데이트 전에는 반드시 백업을 해두세요.
SSL 인증서와 HTTPS 적용으로 데이터 암호화하기
SSL 인증서는 사이트와 방문자 간의 데이터를 암호화해줍니다. 구글도 HTTPS를 사용하는 사이트에 SEO 가산점을 주고 있습니다. 저는 무료 SSL(예: Let’s Encrypt)을 적용한 후, 고객 문의 폼에서 개인정보 유출 우려가 사라졌고, 신뢰도도 높아졌다는 피드백을 받았습니다.
- SSL 인증서 적용은 필수입니다.
- 모든 페이지가 HTTPS로 접속되는지 확인하세요.
- SSL 미적용 시 브라우저에서 ‘안전하지 않음’ 경고가 표시될 수 있습니다.
정기적인 백업과 보안 점검으로 위기 대비하기
백업은 ‘보험’과도 같습니다. 실제로 한 번은 플러그인 충돌로 사이트가 먹통이 되었지만, 미리 설정해둔 자동 백업 덕분에 10분 만에 복구할 수 있었습니다. 백업 플러그인(UpdraftPlus, BackWPup 등)을 활용하면 설정이 쉽고, 구글 드라이브나 외부 서버에 안전하게 저장할 수 있습니다. 또한, WPScan 같은 보안 점검 도구로 취약점을 정기적으로 체크하세요.
- 최소 주 1회 이상 자동 백업을 권장합니다.
- 백업 파일은 외부 클라우드에 저장하세요.
- 보안 점검 도구로 취약점을 주기적으로 확인하세요.
관리자 계정과 로그인 페이지 보호하기
‘admin’ 계정명은 해커의 첫 번째 타깃입니다. 저는 관리자 계정명을 변경하고, WPS Hide Login 플러그인으로 로그인 페이지 URL을 숨겼습니다. 그 결과, 불필요한 로그인 시도가 70% 이상 줄었습니다. 또한, XML-RPC 비활성화로 불필요한 외부 접근도 차단할 수 있습니다.
- 관리자 계정명은 고유하게 설정하세요.
- 로그인 페이지 URL을 변경해 자동화 공격을 막으세요.
- XML-RPC 기능은 필요 없으면 반드시 비활성화하세요.
“보안은 한 번에 완성되는 것이 아니라, 일상 속 습관입니다. 오늘 바로 실천하세요.”