워드프레스 블로그 보안 기본 세팅: 1인 운영자가 꼭 해야 할 것과 안 해도 되는 것

워드프레스 보안 글은 대개 “해야 할 20가지” 목록으로 끝나는데, 1인 운영 블로그에서 실제로 효과가 있는 항목은 다섯 개 안쪽입니다. 나머지는 대기업 사이트 기준이거나, 보안 플러그인 유료 플랜을 팔기 위한 항목입니다. 결론부터 말하면 로그인 보호·자동 업데이트·백업 세 가지만 제대로 해두면 개인 블로그가 당하는 공격의 대부분은 막힙니다. 아래 내용은 워드프레스 공식 문서와 각 플러그인·호스팅사가 공개한 기능 설명을 근거로 정리한 것이며, 특정 유료 제품의 실측 성능을 주장하지는 않습니다.

개인 블로그가 실제로 당하는 공격은 세 가지뿐이다

보안을 과하게 걱정하는 사람들은 보통 “누가 내 블로그를 노리겠나”와 “뚫리면 끝장이다” 사이를 오갑니다. 둘 다 전제가 틀렸습니다. 개인 블로그를 노리는 공격은 표적 공격이 아니라 자동화된 무차별 스캔이기 때문에, 방문자가 하루 10명이어도 공격 시도는 매일 들어옵니다. 동시에 그 공격은 정교하지 않아서 기본 방어만 있어도 대부분 걸러집니다.

실제로 들어오는 공격은 성격상 셋으로 나뉩니다. 첫째, 로그인 무차별 대입입니다. /wp-login.php에 admin·사이트명 같은 흔한 아이디와 흔한 비밀번호를 초당 수십 번 던지는 방식입니다. 둘째, 알려진 취약점을 가진 플러그인·테마 스캔입니다. 특정 플러그인의 구버전에 취약점이 공개되면 그 버전을 쓰는 사이트를 전 세계에서 긁어 찾습니다. 셋째, 스팸 댓글과 가짜 회원가입입니다. 이건 침입이 아니라 오염이지만, 방치하면 검색 품질 평가와 애드센스 심사에 모두 불리합니다.

이 분류가 중요한 이유는 방어 수단의 우선순위가 여기서 바로 나오기 때문입니다. 첫째는 로그인 설정으로, 둘째는 업데이트로, 셋째는 댓글 설정으로 막힙니다. 셋 다 돈이 들지 않습니다. 반대로 많은 보안 플러그인이 전면에 내세우는 방화벽 룰셋이나 멀웨어 실시간 스캔은 이 세 가지를 이미 해둔 뒤에야 의미가 생기는 2차 방어선입니다. 순서를 거꾸로 하면 월 구독료를 내면서 정작 비밀번호는 그대로인 상태가 됩니다.

호스팅이 해주는 것과 내가 해야 하는 것을 먼저 가른다

보안 항목을 혼자 다 떠안으려 하기 전에, 쓰고 있는 호스팅이 이미 처리하는 영역을 확인해야 합니다. 관리형 워드프레스 호스팅은 상당 부분을 서버 단에서 처리하고, 저가 공유 호스팅은 거의 해주지 않습니다. 같은 보안 플러그인이 어떤 환경에서는 필수고 어떤 환경에서는 중복인 이유가 여기 있습니다.

항목	관리형 워드프레스 호스팅	일반 공유 호스팅	내가 해야 하면 비용
서버 단 방화벽(WAF)	대개 포함	미포함이 일반적	플러그인 무료 플랜으로 일부 대체
자동 코어 업데이트	포함(강제인 경우도 있음)	워드프레스 기본 설정에 의존	설정만 하면 0원
일일 자동 백업	대개 포함	유료 옵션이거나 없음	플러그인+클라우드 저장소
멀웨어 스캔·치료	상위 플랜에 포함	미포함	유료 구독 영역
SSL 인증서	포함	무료 인증서 제공이 보통	0원
침해 시 복구 지원	지원 창구 있음	사실상 본인 책임	시간 또는 외주비

표에서 갈리는 지점은 백업과 복구 지원입니다. 공유 호스팅을 쓰면서 백업을 자동화하지 않은 상태가 개인 블로그에서 가장 흔하고 가장 위험한 조합입니다. 침해 자체보다 되돌릴 수 있는 지점이 없다는 것이 치명적이기 때문입니다. 어떤 주기로 무엇까지 백업할지는 워드프레스 블로그 백업하는 법에서 다뤘고, 호스팅 등급별로 어디까지 포함되는지는 워드프레스 호스팅 고르는 법에서 비교해 뒀습니다. 보안 플러그인을 고르기 전에 이 두 가지를 먼저 확인하면 중복 지출을 줄일 수 있습니다.

로그인 보호: 가장 값싸고 효과가 큰 구간

투입 대비 효과로만 보면 여기가 압도적입니다. 비용은 0원이고 설정 시간은 20분 남짓인데, 앞서 말한 공격 세 가지 중 가장 빈도가 높은 하나를 거의 없앱니다.

관리자 아이디를 admin으로 두지 않는 것이 첫 번째입니다. 무차별 대입은 아이디를 모르면 성립하지 않는데, admin은 아이디를 공짜로 알려주는 셈입니다. 이미 admin으로 만들어 뒀다면 새 관리자 계정을 만들고 기존 계정을 삭제하는 식으로 바꿀 수 있습니다. 주의할 점은 글 작성자가 그 계정으로 묶여 있다면 삭제 시 글을 새 계정으로 넘기는 옵션을 선택해야 한다는 것입니다.

두 번째는 2단계 인증입니다. 비밀번호가 유출돼도 인증 앱의 6자리 코드가 없으면 로그인이 안 되므로, 사실상 무차별 대입을 무력화합니다. 다만 1인 운영에서 흔히 놓치는 함정이 있습니다. 복구 코드를 따로 보관하지 않으면 휴대폰을 바꾸거나 잃었을 때 자기 블로그에서 잠겨 버립니다. 이 경우 DB를 직접 건드려 플러그인을 비활성화해야 하는데, 서버 접근에 익숙하지 않으면 그 자체가 반나절 사고가 됩니다. 2단계 인증을 켜는 날 복구 코드를 비밀번호 관리자에 같이 넣어두는 것까지가 한 세트입니다.

세 번째는 로그인 시도 제한입니다. 같은 IP에서 5회 실패하면 일정 시간 차단하는 방식으로, 대부분의 보안 플러그인 무료 플랜에 포함돼 있습니다. 반면 자주 권장되는 로그인 URL 변경은 효과가 제한적입니다. 자동 스캐너를 줄이는 효과는 있지만 보안 자체를 올려주진 않고, URL을 잊으면 본인이 못 들어가는 위험이 생깁니다. 2단계 인증을 켰다면 굳이 함께 할 이유는 크지 않습니다.

업데이트: 자동을 어디까지 켜고 어디서 멈출까

알려진 취약점 공격은 거의 전부 업데이트를 안 한 구버전을 노립니다. 즉 업데이트가 보안의 본체입니다. 그런데 자동 업데이트를 전부 켜면 광고 코드나 테마 커스터마이징이 깨져 사이트가 멈출 위험이 생깁니다. 그래서 전부 켜기와 전부 끄기 사이에서 선을 그어야 합니다.

대상	권장 설정	이유	깨졌을 때 영향
워드프레스 코어 보안 패치	자동 켜기	보안 패치는 기능 변경이 거의 없다	낮음
코어 메이저 버전	수동(백업 후)	테마·플러그인 호환성 문제 발생 지점	높음
보안·백업 플러그인	자동 켜기	구버전 자체가 위험 요인	낮음
광고·SEO 관련 플러그인	수동	광고 코드·메타 출력이 바뀔 수 있다	수익에 직결
테마	수동(자식 테마 사용)	직접 수정분이 덮어써진다	높음
안 쓰는 플러그인·테마	업데이트 대신 삭제	비활성 상태여도 취약점은 남는다	—

마지막 줄이 가장 자주 빠지는 항목입니다. 비활성화만 해둔 플러그인은 파일이 서버에 그대로 남아 있어서, 취약점이 공개되면 활성 여부와 무관하게 공격 경로가 됩니다. 테스트해 보고 안 쓰기로 한 플러그인은 비활성화가 아니라 삭제가 맞습니다. 설치 목록을 어디까지 줄이는 게 적당한지는 워드프레스 필수 플러그인 고르는 법에서 기준을 정리해 뒀습니다. 플러그인 수를 줄이는 것은 보안과 속도를 동시에 개선하는 드문 조치입니다.

광고 관련 플러그인을 수동으로 두라고 한 이유도 분명합니다. 업데이트 과정에서 광고 코드 삽입 위치가 바뀌거나 ads.txt 출력이 달라지면, 사이트는 멀쩡해 보이는데 수익만 조용히 떨어집니다. 이런 변화는 며칠 뒤 수익 보고서를 보고 알게 되는 경우가 많아서, 업데이트 날짜를 기록해 두는 습관이 생각보다 큰 도움이 됩니다.

스팸 댓글은 보안이 아니라 수익 문제다

스팸 댓글을 방치하면 서버가 뚫리지는 않지만 다른 비용이 발생합니다. 도박·성인·불법 약품 링크가 본문 아래 쌓이면 검색 평가가 내려가고, 애드센스 정책 위반 소지도 생깁니다. 심사 중인 블로그라면 이것만으로 거절 사유가 될 수 있습니다.

해법은 간단한 편입니다. 댓글 수동 승인을 켜고, 스팸 필터 플러그인 하나를 붙이고, 외부 링크가 포함된 댓글은 자동 보류로 돌리면 대부분 정리됩니다. 댓글을 운영할 계획이 없다면 아예 끄는 것도 충분히 합리적인 선택입니다. 1인 블로그에서 댓글이 트래픽을 만들어주는 경우는 드물고, 관리 부담과 위험만 남기 쉽습니다. 사이트 쪽 원인으로 광고 정책 문제가 생기는 경로는 애드센스 무효 트래픽, 왜 생기고 어떻게 막나에서도 다뤘는데, 스팸 유입과 봇 트래픽은 원인이 겹치는 경우가 많습니다.

해킹당한 뒤의 실제 비용

보안 투자를 얼마나 할지 정하려면 사고가 났을 때 드는 비용을 알아야 합니다. 개인 블로그 기준으로 가장 큰 손실은 데이터가 아니라 시간과 색인입니다.

전형적인 전개는 이렇습니다. 악성 코드가 삽입되면 방문자 브라우저에 경고가 뜨거나, 검색 결과에 “이 사이트는 해킹되었을 수 있습니다” 표시가 붙습니다. 이 단계에서 트래픽은 즉시 떨어지고 광고 수익도 함께 멈춥니다. 복구하려면 감염 파일을 찾아 지우고, 백업으로 되돌리고, 비밀번호를 전부 교체하고, 서치콘솔에서 재검토를 요청해야 합니다. 재검토 결과가 반영되는 데도 며칠이 걸립니다. 즉 복구 자체는 하루라도 정상 상태로 돌아오는 데는 1~2주가 걸리는 구조입니다.

여기서 백업 유무가 결과를 완전히 갈라놓습니다. 최근 백업이 있으면 되돌리고 패치하는 작업이고, 없으면 글을 하나씩 살려내는 작업이 됩니다. 광고 계정이 정지까지 간 경우에는 사이트 복구와 별개로 소명 절차가 필요하고, 그 경로는 애드센스 계정 정지됐을 때 대처법에 정리해 뒀습니다. 전체 운영 흐름에서 보안이 어디에 들어가는지는 워드프레스 애드센스 수익형 블로그 완전 가이드의 초기 세팅 장을 함께 보면 순서가 잡힙니다.

안 해도 되는 것: 과잉 보안의 비용

보안 글이 잘 말해주지 않는 부분입니다. 과한 설정은 공짜가 아니고, 속도와 운영 편의를 깎습니다.

보안 플러그인 두 개 이상 설치는 거의 항상 손해입니다. 방화벽 룰셋이 충돌해 정상 요청이 차단되거나, 로그인 관련 기능이 서로를 막아 접속 자체가 안 되는 일이 생깁니다. 하나만 쓰는 편이 안전합니다. 실시간 멀웨어 스캔을 상시 켜두는 것도 공유 호스팅에서는 재고할 만합니다. 스캔은 CPU를 쓰고, 그만큼 응답이 느려집니다. 주 1회 예약 스캔으로 낮추면 체감 속도가 달라지는 경우가 많습니다. 광고를 붙인 사이트에서 속도가 수익에 어떻게 연결되는지는 워드프레스 블로그 속도 올리는 법에서 다뤘습니다.

해외 IP 전면 차단도 흔한 과잉입니다. 공격이 줄긴 하지만 검색엔진 크롤러나 성능 측정 도구가 함께 막혀 색인이 흔들릴 수 있습니다. 차단은 관리자 로그인 경로로 범위를 좁히는 쪽이 부작용이 적습니다. 마지막으로 워드프레스 버전 숨기기나 파일 편집기 비활성화 같은 항목은 해도 손해는 없지만, 효과를 기대하고 시간을 쓸 만한 항목은 아닙니다. 버전을 숨겨도 스캐너는 다른 지표로 추정합니다. 이런 항목에 쓸 시간이 있다면 백업이 실제로 복원되는지 한 번 시험해 보는 편이 훨씬 남습니다. 백업은 생성 여부보다 복원 성공 여부가 본질인데, 그걸 한 번도 확인하지 않은 블로그가 대다수입니다.

이럴 땐 이걸 고르세요

지금 막 블로그를 만들었다면 — 강한 비밀번호, admin 아닌 아이디, 2단계 인증, 코어 보안 패치 자동 업데이트까지 네 개만 하세요. 보안 플러그인은 아직 필요 없습니다. 글이 10편도 안 되는 단계에서는 잃을 것보다 설정 실수로 막힐 위험이 더 큽니다.

글이 30편을 넘고 검색 유입이 생겼다면 — 백업 자동화를 가장 먼저 붙이세요. 이 시점부터는 사고의 비용이 복구 시간이 아니라 색인 손실로 계산됩니다. 그다음이 보안 플러그인 하나입니다.

저가 공유 호스팅을 쓰고 있다면 — 서버 단 방어가 없다고 가정하고 로그인 보호와 백업을 직접 챙기세요. 멀웨어 스캔은 예약 실행으로 돌리고, 리소스 여유가 없으면 생략해도 앞의 두 가지보다 우선순위가 낮습니다.

관리형 호스팅 상위 플랜을 쓰고 있다면 — 보안 플러그인 구독을 추가하기 전에 호스팅 기능 목록을 먼저 확인하세요. WAF·백업·스캔이 이미 포함돼 있다면 플러그인은 로그인 보호 용도로만 쓰면 충분합니다.

이미 침해 흔적을 발견했다면 — 플러그인부터 깔지 말고 순서를 지키세요. 비밀번호 전체 교체 → 백업으로 복원 → 코어·플러그인 최신화 → 서치콘솔 재검토 요청입니다. 감염된 상태에서 백업을 새로 만들면 감염본을 보관하게 됩니다.

댓글을 운영할 계획이 없다면 — 토론 설정에서 댓글을 끄는 쪽이 스팸 필터를 붙이는 쪽보다 간단하고 안전합니다. 나중에 필요해지면 언제든 다시 켤 수 있습니다.

자주 묻는 질문

Q. 무료 보안 플러그인만으로 충분한가요?
A. 개인 블로그 규모에서는 대체로 충분합니다. 무료 플랜에도 로그인 시도 제한, 기본 방화벽 룰, 파일 변경 감지 같은 핵심 기능이 들어 있습니다. 유료 플랜의 차이는 주로 룰셋 업데이트 속도와 감염 시 치료 지원인데, 이는 사고가 났을 때의 편의이고 사고 확률 자체를 크게 바꾸지는 않습니다. 같은 돈을 쓸 수 있다면 백업 저장소나 더 나은 호스팅에 먼저 쓰는 편이 효과가 큽니다.

Q. 자동 업데이트를 켜두면 사이트가 깨질까 걱정됩니다.
A. 위험을 구간별로 나누면 해결됩니다. 보안 패치와 보안·백업 플러그인은 자동으로 둬도 호환성 문제가 거의 없습니다. 반면 코어 메이저 버전, 테마, 광고·SEO 관련 플러그인은 수동으로 두고 백업 직후에 올리는 게 안전합니다. 또 테마는 자식 테마를 쓰고 있어야 업데이트로 수정분이 사라지지 않습니다. 업데이트가 두려워 전부 끄는 선택이 가장 위험한 쪽이라는 점은 분명합니다.

Q. 2단계 인증을 켰다가 로그인이 안 되면 어떻게 하나요?
A. 복구 코드를 보관해 두면 그걸로 들어갈 수 있습니다. 복구 코드도 없다면 FTP나 파일 관리자로 해당 플러그인 폴더 이름을 바꿔 비활성화한 뒤 로그인하고, 다시 설정하는 방법이 일반적입니다. 이 작업이 부담스럽다면 2단계 인증을 켜는 시점에 복구 코드와 함께 호스팅 파일 접근 방법까지 메모해 두세요. 설정 자체보다 잠겼을 때의 경로를 미리 아는 것이 중요합니다.

Q. 해킹을 당하면 애드센스 계정도 정지되나요?
A. 자동으로 정지되지는 않습니다. 다만 침입자가 광고 코드를 조작하거나 리디렉션·악성 광고를 삽입한 경우에는 정책 위반으로 판정될 수 있습니다. 침해를 확인하면 광고 코드가 원래 상태인지 함께 점검하고, 필요하면 광고를 일시적으로 내린 뒤 복구하는 편이 안전합니다. 사이트가 깨끗해진 다음에 광고를 다시 올리는 순서가 분쟁 소지를 줄입니다.

함께 보면 좋은 글

작성자: 제립 (개인 블로거) · 문의: choi31102@gmail.com · 이 글의 기능 설명은 워드프레스 공식 문서와 각 호스팅·플러그인 제공사가 공개한 자료를 기준으로 정리한 것이며, 포함 기능과 플랜 구성은 수시로 바뀌므로 결제 전에 공식 페이지를 직접 확인하시기 바랍니다.