WordPressをサブディレクトリで運用することは、メインサイトのルートディレクトリをクリーンに保ちつつ、特定のパスにWordPressサイトを展開できる柔軟な方法です。しかし、この運用形態では、通常のWordPressインストールとは異なるルーティング設定が必要となり、さらにパフォーマンス最適化やセキュリティ強化のための細やかな設定が求められます。これらの実現において中心的な役割を果たすのが、Webサーバーの設定ファイルである「.htaccess」です。
.htaccessファイルは、ディレクトリごとのアクセス制御やリライトルール、キャッシュ設定などを柔軟に記述できる強力なツールであり、WordPressのサブディレクトリ運用においてはまさにその真価を発揮します。本記事では、ルートディレクトリとWordPressがインストールされたサブディレクトリ、それぞれの.htaccessファイルに記述すべきルーティングの肝となる設定から、サイトの高速化に貢献するキャッシュ・圧縮設定、さらにはWordPressを外部からの脅威から守るための多層的なセキュリティ強化策まで、具体的なコード例と共に詳しく解説します。
これらの設定を適切に施すことで、WordPressのサブディレクトリ運用をシームレスかつ高速、そしてセキュアに実現できます。各設定の意図を理解し、自身の環境に合わせて慎重に適用することで、より安定したWebサイト運営が可能となるでしょう。
WordPressをサブディレクトリで運用！.htaccessによるルーティング設定の全貌
WordPressをサブディレクトリ（例: https://example.com/xxx/）で運用する際、最も重要なのが正しいルーティング設定です。これは、ユーザーが https://example.com/ にアクセスした際に、WordPressがインストールされている xxx ディレクトリにリクエストを適切に誘導し、サイト全体がスムーズに機能するようにするために不可欠です。この複雑なルーティングを実現するのが、ルートディレクトリに配置された .htaccess ファイルの役割となります。
ルートディレクトリ（/var/www/html/）にある .htaccess ファイルには、まず mod_rewrite モジュールを利用したリライトルールを記述します。ここで肝となるのは、RewriteEngine On と RewriteBase / の設定に続き、ファイルやディレクトリとして存在しないリクエストをすべて /xxx/index.php へルーティングする RewriteRule です。具体的には、RewriteCond %{REQUEST_FILENAME} !-f と RewriteCond %{REQUEST_FILENAME} !-d で「ファイルでもディレクトリでもない」ことを確認した上で、RewriteRule . /xxx/index.php [L] によってWordPressのエントリポイントである index.php に処理を委ねるように設定します。これにより、メインドメインへのアクセスがシームレスにWordPressへと引き継がれます。
一方、WordPressが実際にインストールされているサブディレクトリ（/var/www/html/xxx/）にも、WordPress本体が生成する .htaccess ファイルが存在します。このファイルは、WordPress自身のパーマリンク構造を正しく機能させるために必要です。ここでも RewriteEngine On と RewriteBase /xxx/ が設定され、同様にファイルやディレクトリとして存在しないリクエストを /xxx/index.php へとリライトします。これは、サブディレクトリ内のWordPressが自身のURL構造を正しく解釈し、投稿やページへのアクセスを適切に処理するために不可欠な設定です。
これら二つの .htaccess ファイルが連携することで、WordPressのサブディレクトリ運用におけるルーティングは完璧に機能します。ルートの .htaccess が外部からのリクエストをWordPressのサブディレクトリへと正確に渡し、サブディレクトリ内の .htaccess がWordPress内部のパーマリンク構造を適切に処理します。この多段階のルーティング設定により、ユーザーはあたかもルートドメイン直下にあるかのようにWordPressサイトを閲覧でき、サイト運営者はルートディレクトリを他の用途に利用できるという柔軟性を享受できるのです。
サイト高速化の秘訣！.htaccessで実現するWordPressのキャッシュ・圧縮最適化
Webサイトの表示速度は、ユーザーエクスペリエンスとSEOランキングの両方に大きな影響を与えます。WordPressサイトの高速化には様々なアプローチがありますが、.htaccess を利用したキャッシュ設定と圧縮設定は、サーバーサイドで手軽に、かつ非常に効果的にパフォーマンスを向上させる手段です。これらの設定を適切に行うことで、リソースのロード時間を大幅に短縮し、ユーザーが快適にサイトを閲覧できる環境を提供できます。
まず、ブラウザキャッシュの設定は、一度訪問したユーザーが再訪した際に、CSS、JavaScript、画像ファイルなどの静的リソースをブラウザ側に保存させることで、サーバーへのリクエスト数を減らし、表示速度を向上させます。.htaccess では、mod_expires モジュールと mod_headers モジュールを用いてこれを実現します。ExpiresByType ディレクティブを使って各MIMEタイプ（例: text/css, image/jpeg）に対してキャッシュ期間を「1年間」などと長く設定することで、リソースの再ダウンロードを最小限に抑え、サイトのロード時間を劇的に短縮することが可能です。また、Cache-Control ヘッダを設定することで、プロキシサーバーでのキャッシュも促し、広範囲での高速化を図ります。
次に重要なのが、Gzip圧縮の設定です。mod_deflate モジュールを利用することで、HTML、CSS、JavaScript、XMLなど、テキストベースのコンテンツをサーバーからブラウザに送信する際に圧縮し、ファイルサイズを大幅に削減できます。これにより、ネットワーク転送量が減少し、結果としてページの読み込み時間が短縮されます。SetOutputFilter DEFLATE を有効にし、AddOutputFilterByType で圧縮対象となるMIMEタイプを指定することで、効率的なデータ転送を実現します。古いブラウザへの対応や、既に圧縮されている画像ファイルなどを再圧縮しないための除外設定も忘れずに行うことで、最適な圧縮効果が得られます。
さらに、細かな最適化として、FileETag None と Header unset ETag の設定でETag（エンティティタグ）を無効化することも推奨されます。ETagはキャッシュの検証に使用されますが、サーバー環境によっては非効率になる場合があり、無効化することでキャッシュの正確性を向上させることがあります。また、Header set Connection keep-alive を設定することで、HTTP接続を維持し、複数のリクエストを同じ接続で処理できるようになり、接続のオーバーヘッドを削減します。これらのキャッシュと圧縮、そしてその他の微調整を組み合わせることで、WordPressサイトのパフォーマンスは格段に向上し、訪問者に快適なブラウジング体験を提供できるようになります。
WordPressを堅牢に！.htaccessで実装する多層的なセキュリティ強化設定
WordPressはその普及率の高さゆえに、常にサイバー攻撃の標的となりやすいという宿命を背負っています。そのため、サーバーレベルでのセキュリティ強化は、WordPressサイトを運用する上で極めて重要です。.htaccess ファイルは、Webサーバーの挙動を細かく制御できるため、様々な脅威からWordPressを保護するための多層的なセキュリティ対策を講じるのに最適なツールです。これにより、悪意のあるアクセスや攻撃からサイトを堅牢に守ることができます。
まず、基本的なセキュリティ対策として、ディレクトリインデックスの表示禁止 (Options -Indexes) は必須です。これにより、公開すべきでないファイルやディレクトリ構造が外部に晒されるのを防ぎます。また、危険なHTTPメソッド（TRACE, TRACK, DEBUGなど）のリクエストを拒否する設定や、ETagを無効化してサーバーのinode情報などが外部に漏れるのを防ぐ設定も、情報漏洩のリスクを低減するために有効です。さらに、バックアップファイル（.bak, .zip, .sqlなど）や開発関連ファイル（composer.json, .gitなど）への直接アクセスを遮断する設定は、これらの機密情報が悪用されるのを防ぎます。
WordPressに特化したセキュリティ設定も複数存在します。例えば、XML-RPC API (xmlrpc.php) を使用しない場合は、DDoS攻撃やブルートフォース攻撃の温床となる可能性があるため、このファイルへのアクセスを完全に拒否することが強く推奨されます。また、WordPressの最も重要な設定ファイルである wp-config.php への直接アクセスも禁止することで、設定情報の漏洩を防ぎます。さらに、アップロードディレクトリ (wp-content/uploads/) 内でのPHPスクリプトの実行を禁止することで、アップロードされた悪意のあるファイルによる攻撃を防ぎます。同様に、wp-includes ディレクトリ内のPHPファイルへの直接アクセスも禁止することで、WordPressのコアファイルが不正に実行されるのを防ぎます。
これらの対策に加えて、ドットから始まるファイル（.htaccess, .user.ini など）へのアクセスを拒否するルールや、バージョン管理システム（.git, .svnなど）のメタディレクトリへのアクセスをブロックするルールも、サイトの脆弱性を減らすために非常に有効です。mod_rewrite を利用して、これらの特定のパターンに一致するリクエストを強制的に拒否（403 Forbidden）することで、サーバーのセキュリティレベルを飛躍的に向上させることができます。これらの多層的なセキュリティ設定を.htaccessに組み込むことで、WordPressサイトは一般的な攻撃手法から強固に保護され、安心して運用できる環境が実現します。
本記事では、WordPressをサブディレクトリで運用する際の .htaccess の活用法について、ルーティング、高速化、セキュリティ強化の3つの側面から詳細に解説しました。ルートディレクトリとサブディレクトリ、それぞれの .htaccess が連携することで、メインドメインからのアクセスをWordPressへとシームレスに誘導し、クリーンなURL構造を維持できることをご理解いただけたかと思います。
また、キャッシュ設定やGzip圧縮といった最適化戦略により、サイトの表示速度が向上し、ユーザー体験が改善されるだけでなく、SEOにも好影響を与えることが示されました。そして、ディレクトリリストの禁止、危険なメソッドの拒否、WordPress特有の機密ファイルへのアクセス制限など、多岐にわたるセキュリティ強化策を講じることで、WordPressサイトが様々なサイバー攻撃から守られ、より堅牢な運用が可能になることを強調しました。
.htaccess は非常に強力なツールである反面、誤った設定はサイトの動作に重大な影響を及ぼす可能性があります。そのため、本記事で紹介した設定を適用する際は、必ずバックアップを取り、慎重にテストを行うことを強くお勧めします。各設定の意図を深く理解し、自身の環境に合わせて適切にカスタマイズすることで、WordPressサブディレクトリ運用のメリットを最大限に引き出し、安全で高速なWebサイトを構築・運用できるようになるでしょう。
