보안은 한 번의 설정이 아니라 점검 습관이다
워드프레스 관리자 화면을 다시 열었을 때 업데이트 알림이 남아 있었다. 업데이트가 곧바로 위험하다는 뜻은 아니지만, 사이트 운영자는 무엇이 업데이트 대상인지 확인하고, 백업·호환성·복구 계획을 함께 살펴볼 필요가 있다. WordPress 공식 보안 문서는 보안을 완벽한 상태가 아니라 위험을 줄이는 과정으로 설명하며, 코어·플러그인·테마를 최신 상태로 유지하고 신뢰할 수 없는 출처의 확장 기능을 피하라고 안내한다.1
이 글은 특정 플러그인을 설치하라는 목록이 아니다. ronytwins.com처럼 소규모 워드프레스 사이트를 운영할 때, 변경 전에 확인할 기본 순서를 정리한 기록이다.
1. 업데이트 전에는 복구 경로부터 확인한다
코어·테마·플러그인 업데이트 전에는 마지막 백업 날짜와 복구 방법을 적어 둔다. 자동 업데이트든 수동 업데이트든, 문제가 생겼을 때 이전 상태로 돌아갈 방법이 없으면 단순한 업데이트도 운영 위험이 될 수 있다. WordPress 공식 문서도 신뢰할 수 있는 호스팅의 백업·복구 체계와 정기적인 백업 계획을 강조한다.1
2. 관리자 계정은 최소 권한으로 관리한다
관리자 권한 계정은 필요한 사람에게만 부여하고, 강한 비밀번호와 다단계 인증을 사용한다. 비밀번호는 실제 이름, 사이트 이름, 짧은 단어 조합을 피하는 편이 좋다.1 다른 사람에게 글 작성만 맡기는 경우에는 관리자 계정을 공유하지 말고 역할을 분리한다.
3. 사용하지 않는 플러그인과 테마는 목록에서 끝내지 않는다
비활성화된 확장 기능도 버전과 출처를 점검한다. 정말 사용하지 않는 플러그인·테마는 백업과 호환성 확인 후 삭제 후보로 분류한다. 반대로 필요한 기능이라면 공식 저장소나 신뢰할 수 있는 개발사에서 받았는지 확인하고, 업데이트 기록을 남긴다.1
4. 변경 로그를 남긴다
이번 사이트 정비에서는 광고 클릭 경고 제거, 개인정보처리방침 문의처 보완, 푸터 소셜 링크 제거처럼 변경한 항목과 원본을 따로 기록했다. 이런 작은 변경 로그는 나중에 화면이 달라졌을 때 원인을 찾고 되돌리는 데 도움이 된다. 보안 작업도 날짜, 변경 대상, 백업 위치, 확인 결과를 한 줄씩 남기는 습관이 좋다.
| 점검 항목 | 확인 질문 | 기록할 내용 |
|---|---|---|
| 코어·테마·플러그인 | 업데이트가 있는가 | 버전, 변경일, 호환성 확인 |
| 백업 | 복구 파일이 있는가 | 마지막 백업일, 보관 위치 |
| 계정 | 불필요한 관리자가 있는가 | 사용자 역할, MFA 여부 |
| 확장 기능 | 출처·용도가 명확한가 | 유지·교체·삭제 후보 |
| 로그인·문의 경로 | 실제 연락처가 연결되는가 | 테스트 날짜, 결과 |
5. 고급 서버 설정은 검증 없이 복사하지 않는다
파일 권한, wp-config.php, 서버 규칙, 관리자 경로 제한 같은 항목은 호스팅 환경에 따라 다르게 동작한다. WordPress 공식 문서도 관리 영역을 과도하게 제한하면 일부 기능이 깨질 수 있음을 설명한다.1 따라서 인터넷의 설정 코드를 그대로 붙여 넣기보다, 백업을 만들고 호스팅사 문서나 기술 지원 기준을 확인한 뒤 적용한다.
마무리
보안은 공포를 키우는 목록이 아니라 운영 위험을 줄이는 반복 점검이다. 다음 업데이트 알림을 볼 때는 즉시 모두 누르기보다, 백업·변경 로그·호환성 확인을 먼저 하자. 그리고 사이트 구조와 공개 페이지의 신뢰 정보도 함께 점검하면 운영 품질을 더 안정적으로 관리할 수 있다.