모두
모두콘텐츠
얼마 전 관리하던 사이트에서 플러그인 업데이트가 두 달 넘게 밀린 걸 봤습니다. 담당자는 보안 플러그인이 켜져 있으니 괜찮을 거라고 생각했더군요. 워드프레스에서 더 위험한 건 점검할 사람이 없어서 업데이트 알림을 계속 넘기는 상황입니다. 여러 사람이 사이트를 운영한다면 월 1회라도 보안회, 즉 보안 점검 회의를 짧게 잡는 편이 낫습니다. 준비할 자료는 많지 않습니다. 복구 가능한 백업, 밀린 업데이트, 관리자 계정, 서버 상태만 확인하면 됩니다.
백업 파일부터 실제로 열어본다
보안회 첫 항목은 백업입니다. 업데이트나 보안 설정을 바꾸다가 사이트가 멈추면 되돌릴 수 있어야 합니다. 워드프레스 백업에는 글과 설정이 담긴 데이터베이스, 이미지와 테마·플러그인 등이 담긴 파일이 함께 필요합니다. 둘 중 하나만 있으면 화면은 떠도 이미지가 빠지거나 최신 글이 사라질 수 있습니다.
호스팅에서 자동 백업을 제공한다면 보관 기간과 복원 절차를 먼저 확인합니다. 예를 들어 백업을 7일 보관하는데 오류를 2주 뒤에 발견했다면 복원할 시점이 없습니다. 사이트 변경이 잦다면 데이터베이스는 매일, 파일은 주 1회 백업을 출발점으로 잡고 실제 게시 빈도에 맞춰 조정합니다. 백업본은 사이트가 있는 서버 밖에도 한 벌 두는 게 좋습니다.
호스팅 백업이 부족할 때는 UpdraftPlus 무료판으로 예약 백업을 걸 수 있습니다. 다만 백업 플러그인까지 추가하기 전에 호스팅 기능부터 확인합니다. 어느 방식을 쓰든 월 1회는 시험용 환경에서 복원을 끝까지 해봐야 합니다. 파일이 생성됐다는 표시만으로는 데이터베이스를 읽고 화면을 띄울 수 있는지 알 수 없습니다.
업데이트는 미룬 이유까지 확인한다
관리자 화면의 대시보드 → 업데이트에서 워드프레스 본체, 테마, 플러그인의 대기 목록을 봅니다. 저는 항목 이름 옆에 현재 버전, 새 버전, 마지막 점검 날짜, 업데이트를 미룬 이유를 적습니다. 목록이 길어도 장애를 걱정해 전부 그대로 두면 취약한 코드도 계속 남습니다. 워드프레스 공식 보안 안내 역시 본체와 설치된 테마·플러그인을 최신 상태로 유지하는 일을 우선으로 둡니다.
업데이트 전에는 백업을 만들고 복원 수단을 확인합니다. 방문자가 적은 시간에 항목을 하나씩 올린 뒤 첫 화면, 글 화면, 로그인, 문의 양식과 결제 기능을 확인합니다. 결제나 예약처럼 매출에 닿는 기능은 시험용 환경에서 먼저 확인하는 편이 안전합니다. 특히 PHP 버전까지 같은 날 바꾸면 장애 원인을 찾기 어려우니 작업을 나눕니다.
자동 업데이트는 플러그인별로 켤 수 있습니다. 대시보드의 플러그인 목록에서 해당 항목의 자동 업데이트를 활성화하고, 알림 메일을 실제로 읽을 사람에게 보내는지 확인합니다. 영향이 작은 플러그인은 자동으로 관리할 수 있지만 결제·회원 기능은 사이트 상황에 맞춰 검증 시간을 잡습니다. 사용하지 않는 플러그인과 테마는 비활성화 상태로 쌓아두지 말고 삭제합니다. 삭제 전에는 해당 기능과 데이터가 정말 필요 없는지 확인해야 합니다.
관리자 계정과 로그인 경로를 줄인다
사용자 → 모든 사용자에서 관리자 권한을 가진 계정을 먼저 셉니다. 글만 쓰는 사람에게 관리자 권한이 필요하지는 않습니다. 작성자는 자신의 글을 다루는 역할로 바꾸고, 퇴사자나 외주 작업자의 계정은 작업 종료 후 처리합니다. 계정을 삭제할 때 기존 글을 함께 지우는 선택지가 나오므로 글을 다른 사용자에게 이전할지 먼저 결정해야 합니다.
관리자 계정에는 각자 다른 긴 비밀번호와 이중 인증을 적용합니다. 무료 Two Factor 플러그인으로 사용자별 인증 수단을 설정할 수 있고, 여러 사용자에게 설정을 요구하는 기능이 필요하면 WP 2FA 무료판도 대안입니다. 둘을 동시에 설치할 이유는 없습니다. 먼저 관리자 한 명에게 적용해 새 브라우저에서 로그인되는지 확인한 다음 나머지 계정으로 넓힙니다. 복구 코드는 사이트 밖의 안전한 곳에 보관합니다. 이 과정을 건너뛰면 휴대전화를 잃어버렸을 때 관리자도 접속하지 못할 수 있습니다.
호스팅 계정도 같은 날 점검합니다. 워드프레스 관리자 계정만 보호하고 호스팅 계정 비밀번호를 여러 사람이 공유하면 백업과 파일에 그대로 접근할 수 있습니다. 누가 호스팅과 데이터베이스에 접근할 수 있는지도 보안회 기록에 남깁니다.
서버 설정은 바꾸기 전에 복구 경로를 적는다
도구 → 사이트 건강에서 치명적인 문제와 권장 사항을 확인합니다. 자동 업데이트가 실패했다면 예약 작업이나 서버 권한 문제를 살펴봅니다. PHP 버전이 오래됐다면 호스팅에서 지원하는 버전과 현재 테마·플러그인의 호환성을 확인한 뒤 시험용 환경에서 올립니다. 숫자만 높여 두는 작업은 운영 점검이 아닙니다.
파일 권한도 무턱대고 바꾸지 않습니다. 일반적인 설정에서 디렉터리 755, 파일 644를 많이 쓰지만 호스팅 방식에 따라 소유자와 필요한 권한이 다릅니다. 업로드 오류를 없애려고 폴더에 777을 주는 건 피해야 합니다. 워드프레스 공식 파일 권한 안내도 서버 구성을 확인하지 않은 일괄 변경을 경계합니다. 권한을 손대야 한다면 현재 값을 기록하고, 파일 관리자나 SFTP로 되돌릴 수 있는지부터 확인합니다.
관리자 화면의 테마·플러그인 파일 편집을 쓰지 않는 사이트라면 설정 파일에 DISALLOW_FILE_EDIT 값을 true로 두는 방법도 있습니다. 설정 파일을 잘못 고치면 사이트가 바로 멈출 수 있으니 백업본과 서버 접속 수단을 확보한 뒤 적용합니다. 이 설정 하나로 악성 파일 업로드까지 막히는 것은 아닙니다.
보안회 기록은 한 장이면 충분합니다. 백업 복원 확인 날짜, 남은 업데이트와 담당자, 관리자 계정 수, 발견한 오류와 다음 점검 날짜를 적습니다. 제 경험상 보안 플러그인을 하나 더 까는 것보다 이 기록을 매달 다시 열어보는 습관이 사이트를 오래 안정적으로 굴립니다.
