워드프레스는 전 세계에서 가장 많이 사용되는 웹사이트 플랫폼인 만큼, 해커들이 가장 많이 노리는 타깃이기도 합니다. 관리만 잘하면 안전하게 운영할 수 있지만, 기본적인 워드프레스 보안 설정도 하지 않은 상태라면 어느 날 갑자기 스팸 페이지가 생기거나, 사이트 접속이 되지 않는 상황을 맞이하실 수도 있습니다.
이 글에서는 초보자 분들도 그대로 따라 하실 수 있도록 워드프레스 보안 설정 체크리스트를 기준으로 핵심 업데이트 관리 → 로그인 보안 → 계정·권한 관리 → HTTPS(SSL) 설정 → 파일·서버 보안 → 보안 플러그인 활용 → 백업·모니터링 순서로 정리했습니다. 한 번에 다 완벽하게 하려고 하기보다는, 체크리스트를 보시면서 한 단계씩 적용해 보시면 좋습니다.
1. 워드프레스 보안이 중요한 이유
먼저 워드프레스 보안 설정 체크리스트를 살펴보기 전에, 왜 보안에 신경 써야 하는지 대표적인 이유부터 짚어보겠습니다.
- 사이트 변조·스팸 페이지 삽입 – 모르는 사이에 도박·성인·피싱 페이지가 생겨 방문자와 검색엔진에 모두 나쁜 인상을 줄 수 있습니다.
- 개인정보·회원정보 유출 – 쇼핑몰·회원제 사이트라면, 보안 사고가 곧바로 법적 문제와 신뢰도 하락으로 이어질 수 있습니다.
- 검색엔진·브라우저 경고 – 악성코드가 발견되면, 크롬·네이버·구글에서 “이 사이트는 안전하지 않습니다” 경고가 뜰 수 있습니다.
- 복구 비용·시간 부담 – 해킹 후 복구하는 것보다, 미리 워드프레스 보안 설정을 해두는 것이 훨씬 적은 비용과 시간을 들입니다.
즉, 보안은 “문제가 생긴 뒤에 해결하는 일”이 아니라 처음부터 기본 설정을 잘해 두는 일이라고 보시면 됩니다.
2. 핵심 업데이트 관리 – 워드프레스·플러그인·테마 최신 유지
워드프레스 보안의 가장 기본은 코어·플러그인·테마를 항상 최신 상태로 유지하는 것입니다. 많은 해킹 공격이 “이미 알려진 취약점”을 노리기 때문에, 업데이트만 제때 해도 상당수 공격을 피해갈 수 있습니다.
- 관리자 대시보드 상단의 업데이트 알림을 수시로 확인합니다.
- 워드프레스 코어는 가능한 한 최신 메이저 버전으로 유지합니다.
- 사용하지 않는 플러그인·테마는 비활성화 후 삭제합니다.
- 업데이트 전에는 워드프레스 백업 방법 체크리스트에 따라 전체 백업을 한 번 생성해 두시는 것을 추천드립니다.
업데이트를 미루다가 한 번에 몰아서 진행하면 충돌 위험이 커질 수 있으니, “자주 조금씩” 업데이트하는 습관을 들이시는 것이 좋습니다.
3. 로그인 보안 강화 – 관리자 계정부터 단단하게
워드프레스 보안 설정 체크리스트에서 가장 먼저 손대야 하는 실질적인 부분이 바로 로그인 보안입니다. 관리자 계정을 노리는 무작위 공격(Brute Force Attack)을 막기 위한 기본 수칙들을 정리해 보겠습니다.
- ‘admin’ 아이디 사용 금지 – 아이디가
admin이라면, 새로운 관리자 계정을 만든 뒤 기존 admin 계정은 삭제하거나 권한을 낮춰 주세요. - 강력한 비밀번호 사용 – 대문자·소문자·숫자·특수문자를 섞어 최소 12자 이상으로 설정합니다. 다른 사이트와 비밀번호를 절대 동일하게 쓰지 마세요.
- 2단계 인증(2FA) 적용 – 인증 앱(예: Google Authenticator, Authy 등)을 활용해 로그인 시 추가 코드를 요구하는 방식입니다.
- 로그인 시도 횟수 제한 – “로그인 시도 제한” 기능을 제공하는 보안 플러그인을 사용해 여러 번 비밀번호를 틀릴 경우 일정 시간 차단되도록 설정합니다.
- 로그인 URL 변경(선택) –
/wp-login.php,/wp-admin대신 다른 주소로 로그인 페이지를 변경하는 플러그인도 있습니다.
이 단계만 적용해도 무작위 로그인 시도 공격에 대한 기본 방어선이 상당히 높아집니다.
4. 계정·권한 관리 – 최소 권한 원칙 지키기
워드프레스 보안 설정 체크리스트에서 종종 간과되는 부분이 바로 사용자 권한 관리입니다. 사이트 운영에 참여하는 사람이 늘어날수록, 불필요하게 높은 권한을 가진 계정이 생기기 쉽습니다.
- 관리자(Admin)는 꼭 필요한 사람만 – 모든 기능에 접근 가능한 계정은 최소한으로 유지합니다.
- 필요에 맞는 역할(Role) 부여 – 글만 작성하면 되는 경우 “필자/작성자”, 편집이 필요하면 “에디터” 권한을 사용합니다.
- 사용하지 않는 계정 삭제 – 퇴사자, 프로젝트 종료된 외주 계정 등은 바로 삭제합니다.
- 계정 공유 금지 – 한 계정을 여러 사람이 같이 사용하는 방식은 위험합니다. 로그인 기록·접근 내역 관리도 어려워집니다.
특히 쇼핑몰·회원제 사이트라면, 계정·권한 관리가 곧 개인정보 보호와도 연결되기 때문에 최소 권한 원칙을 꼭 지켜주시는 것이 좋습니다.
5. HTTPS(SSL) 적용 – 기본 중의 기본 보안 설정
HTTPS(SSL)는 사용자 브라우저와 서버 사이의 통신을 암호화하는 기술입니다. 이제는 보안뿐 아니라, 검색 노출·브라우저 신뢰도 측면에서도 필수입니다.
- 호스팅사에서 무료/유료 SSL 인증서를 발급받습니다.
- 워드프레스 일반 설정에서 사이트 주소(URL)를
https://로 변경합니다. - 기존
http주소를https로 자동 전환하기 위해 리다이렉트 설정 또는 관련 플러그인을 사용합니다. - 브라우저 주소창에서 자물쇠 아이콘이 정상적으로 표시되는지 확인합니다.
HTTPS는 워드프레스 보안 설정 체크리스트의 출발점이라고 보셔도 좋습니다. 특히 로그인 페이지, 결제 페이지, 회원정보 수정 페이지에서는 반드시 HTTPS가 적용되어 있어야 합니다.
6. 파일·폴더 권한 및 중요한 설정 파일 보호
워드프레스 설치 파일과 폴더의 권한 설정이 잘못되어 있으면, 공격자가 파일을 마음대로 수정하거나 악성 스크립트를 심을 위험이 높아집니다.
- 파일·폴더 권한 점검 – 일반적으로 폴더는 755, 파일은 644 권한이 권장됩니다. (구체적인 설정은 호스팅 환경에 따라 다를 수 있습니다.)
wp-config.php보호 – DB 접속 정보가 들어 있는 중요한 파일입니다. 상위 디렉터리로 이동하거나, 웹에서 접근되지 않도록 설정할 수 있습니다.- 디렉터리 목록 보기 방지 –
.htaccess등에Options -Indexes를 추가해 폴더 내부 파일 목록이 그대로 노출되지 않도록 합니다.
이러한 설정은 호스팅·서버 환경에 따라 방법이 조금씩 다르므로, 꼭 필요할 경우 호스팅사 가이드를 참고하시거나, 개발자·전문가의 도움을 받아 진행해 주시는 것이 안전합니다.
7. 보안 플러그인 활용 – 웹 방화벽·악성코드 검사
워드프레스 보안 설정 체크리스트에서 보안 플러그인은 “필수는 아니지만, 강력한 우군”입니다. 기본적인 설정 외에도 다음과 같은 기능을 제공하는 경우가 많습니다.
- 웹 애플리케이션 방화벽(WAF) – 알려진 공격 패턴을 차단해, 의심스러운 요청을 사전에 막아줍니다.
- 악성코드·파일 변경 탐지 – 워드프레스 코어·플러그인 파일이 비정상적으로 변경되었는지 확인합니다.
- 로그인 보안 강화 – 로그인 시도 제한, 2FA 연동, 로그인 알림 등 기능 제공
- 보안 로그 – 관리자 로그인, 파일 변경, 차단된 요청 등에 대한 로그를 남겨 나중에 원인 분석에 도움을 줍니다.
보안 플러그인은 너무 여러 개를 동시에 쓰기보다는, 신뢰할 수 있는 것 1~2개를 선택해 제대로 설정하는 것이 좋습니다.
8. 백업과 보안은 세트 – 사고 전 준비 필수
아무리 꼼꼼히 워드프레스 보안 설정을 해도 100% 완벽한 보안은 없습니다. 따라서 사고에 대비한 정기 백업은 보안 전략의 일부로 보셔야 합니다.
- 워드프레스 백업 방법 체크리스트를 따라 파일 + DB 전체 백업을 정기적으로 생성
- 백업 파일은 서버 외부(클라우드, 로컬 PC, 외장 하드 등)에 분산 보관
- 정기적으로 복원 테스트를 진행해, 실제로 문제가 생겼을 때 빠르게 되돌릴 수 있는지 확인
백업이 잘 되어 있다면, 설령 악성코드에 감염되더라도 “언제 시점으로 되돌릴지”만 결정하면 되기 때문에 복구 속도와 심리적인 부담이 훨씬 줄어듭니다.
9. 모니터링·로그 확인으로 이상 징후 조기 발견
마지막으로, 워드프레스 보안 설정 체크리스트에는 정기적인 모니터링도 포함되어야 합니다.
- 보안 플러그인 알림 – 관리자 이메일·알림을 활성화해, 로그인 시도 제한·파일 변경 등 주요 이벤트를 바로 확인
- 호스팅 로그 – 접속 로그·에러 로그에서 특정 IP의 과도한 요청 등 이상 징후가 없는지 확인
- 구글 서치 콘솔 보안 문제 – “보안 문제”·“수동 조치” 탭에서 악성 콘텐츠·해킹 징후 알림 여부를 확인
월 1회 정도만이라도 이런 모니터링 루틴을 가져가시면, 문제가 크게 번지기 전에 작은 징후 단계에서 대응하실 수 있습니다.
10. 워드프레스 보안 설정 체크리스트 한눈에 정리
이제 실제 운영에 바로 활용하실 수 있도록 워드프레스 보안 설정 체크리스트를 요약해 보겠습니다. 아래 항목을 하나씩 점검해 보세요.
- 워드프레스 코어·플러그인·테마를 최신 버전으로 유지하고 계신가요?
- 관리자 계정 아이디·비밀번호가 충분히 안전하며, 2단계 인증을 적용하셨나요?
- 필요 이상으로 높은 권한을 가진 계정은 없는지, 사용하지 않는 계정은 삭제하셨나요?
- 사이트에 SSL(HTTPS)이 적용되어 있고, 모든 페이지가 https 주소로 접속되나요?
- 파일·폴더 권한 설정,
wp-config.php보호, 디렉터리 목록 방지 등 기본 서버 보안을 점검하셨나요? - 신뢰할 수 있는 보안 플러그인을 1~2개 선택해, 웹 방화벽·로그인 보안·악성코드 검사를 설정하셨나요?
- 정기적인 전체 백업을 실시하고, 서버 외부에도 백업을 보관하고 계신가요?
- 보안 알림·로그·서치 콘솔을 통해 이상 징후를 정기적으로 확인하고 계신가요?
위 항목 중 대부분에 “예”라고 답하실 수 있다면, 이미 꽤 탄탄한 워드프레스 보안 환경을 갖추고 계신 것입니다. 아직 체크가 안 된 부분이 있더라도, 오늘은 로그인 보안, 내일은 백업과 SSL, 그다음은 보안 플러그인처럼 하나씩 채워 나가 보시면 좋습니다.
추가로, 워드프레스 백업 방법 체크리스트, 워드프레스 사이트 속도 최적화 방법과 함께 보안·백업·속도를 한 번에 정리해 두시면 앞으로 워드프레스 사이트를 훨씬 더 안정적으로 운영하실 수 있을 것입니다.