워드프레스 보안과 자동 백업 설정

워드프레스 보안은 보안 플러그인 하나를 설치하는 것으로 끝나지 않습니다. 관리자 계정, 업데이트, 로그인 보호를 점검하고 자동 백업을 외부 저장소에 보관한 뒤 실제로 복구할 수 있는지 확인해야 합니다.

이 글은 워드프레스를 처음 운영하는 분도 따라 할 수 있도록 관리자 화면에서 들어가는 위치와 정상적으로 완료됐을 때 보이는 결과를 함께 설명합니다. 서버 명령이 필요한 작업은 마지막의 선택 단계로 분리했습니다.

어떤 설정도 해킹이나 데이터 손실을 완전히 막는다고 보장할 수는 없습니다. 중요한 것은 사고 가능성을 줄이고, 문제가 발생했을 때 정상 상태로 돌아갈 준비를 갖추는 것입니다.

먼저 알아둘 용어

용어	쉬운 설명
백업	현재 사이트의 글과 파일을 나중에 되돌릴 수 있도록 복사해 두는 작업입니다.
복구	문제가 생긴 사이트를 저장해 둔 백업 시점으로 되돌리는 작업입니다.
데이터베이스	글, 페이지, 댓글, 사용자와 설정 정보가 저장되는 공간입니다.
사이트 파일	테마, 플러그인과 업로드한 이미지처럼 서버 폴더에 저장되는 자료입니다.
외부 저장소	사이트 서버가 아닌 Google Drive, Dropbox 또는 별도 저장 서버를 말합니다.
2단계 인증	비밀번호 외에 휴대전화 인증번호 등을 한 번 더 확인하는 로그인 방식입니다.

데이터베이스와 사이트 파일을 모두 백업해야 완전한 복구가 가능합니다. 글만 저장하고 이미지를 백업하지 않거나, 파일만 저장하고 데이터베이스를 빠뜨리면 원래 상태로 돌아가지 못할 수 있습니다.

이번 글에서 진행할 순서

관리자 계정을 확인하고 비밀번호를 변경합니다.
워드프레스, 테마와 플러그인을 안전하게 업데이트합니다.
반복 로그인 시도를 제한합니다.
UpdraftPlus로 첫 수동 백업을 만듭니다.
자동 백업 일정과 외부 저장소를 연결합니다.
백업 파일이 실제로 생성됐는지 확인합니다.
복구 위치와 안전한 복구 시험 방법을 알아봅니다.

STEP 1. 관리자 계정 확인하기

관리자 계정은 플러그인 설치, 사용자 변경과 사이트 설정을 모두 할 수 있습니다. 사용하지 않는 관리자 계정을 그대로 두면 불필요한 로그인 통로가 늘어납니다.

https://내도메인/wp-admin으로 접속해 로그인합니다.
왼쪽 메뉴에서 사용자 → 모든 사용자를 누릅니다.
사용자 목록의 역할 열에서 관리자가 몇 명인지 확인합니다.
글만 작성하는 계정은 관리자 대신 편집자 역할을 사용하는 것이 적절한지 검토합니다.
본인 계정은 사용자 → 프로필에서 새 비밀번호 설정 영역을 확인합니다.

비밀번호는 다른 사이트와 공유하지 말고 길고 고유하게 만드세요. 비밀번호 관리 프로그램을 사용하면 복잡한 비밀번호를 직접 외우지 않아도 됩니다. 계정을 삭제할 때는 해당 사용자의 글을 다른 사용자에게 배정할지 묻는 화면이 나오므로, 글까지 함께 삭제하지 않도록 주의합니다.

2단계 인증을 사용할 수 있다면 켜기

사용 중인 보안 플러그인이나 호스팅 서비스가 2단계 인증을 제공한다면 관리자 계정부터 활성화합니다. 설정 후에는 로그아웃하기 전에 복구 코드를 안전한 곳에 저장하고, 시크릿 창에서 새 인증 방식으로 로그인이 되는지 시험하세요.

STEP 2. 업데이트 전에 백업부터 만들기

업데이트는 알려진 보안 문제를 수정하지만 테마나 플러그인끼리 충돌할 수도 있습니다. 따라서 백업 → 업데이트 → 사이트 확인 순서로 진행합니다.

관리자 화면에서 알림판 → 업데이트를 누릅니다.
워드프레스, 플러그인과 테마에 표시된 업데이트 항목을 확인합니다.
먼저 이 글의 STEP 4에 따라 수동 백업을 만듭니다.
플러그인을 한꺼번에 모두 선택하지 말고 중요한 플러그인부터 하나씩 업데이트합니다.
업데이트할 때마다 홈페이지, 대표 글과 관리자 화면을 확인합니다.

사용하지 않는 플러그인과 테마는 비활성 상태라도 취약점 관리 대상이 될 수 있습니다. 기본 테마 하나처럼 문제 확인에 필요한 항목을 제외하고, 확실히 사용하지 않는 것은 삭제를 검토하세요.

STEP 3. 반복 로그인 시도 제한하기

자동화 프로그램이 여러 비밀번호를 반복 입력하는 공격을 줄이기 위해 로그인 실패 횟수를 제한할 수 있습니다. InsideJoJo에는 Limit Login Attempts Reloaded 플러그인이 설치되어 있습니다.

관리자 화면에서 플러그인 → 설치한 플러그인을 누릅니다.
Limit Login Attempts Reloaded가 활성 상태인지 확인합니다.
왼쪽 메뉴의 설정 → Limit Login Attempts 또는 플러그인이 만든 같은 이름의 메뉴를 엽니다.
잠금 기록과 반복 실패 알림이 있는지 확인합니다.

실패 허용 횟수를 지나치게 낮게 설정하면 본인도 잠길 수 있습니다. 로그인 제한은 강한 비밀번호와 2단계 인증을 대신하지 않으며 함께 사용하는 보조 기능입니다.

STEP 4. UpdraftPlus로 첫 수동 백업 만들기

InsideJoJo에는 UpdraftPlus가 설치되어 있지만 점검 당시 자동 백업 일정과 외부 저장소가 설정되지 않았고, 실제 백업 파일도 아직 없었습니다. 플러그인을 활성화한 것만으로 백업이 완료되는 것은 아닙니다.

관리자 화면에서 설정 → UpdraftPlus 백업을 누릅니다.
상단의 백업/복원 탭을 엽니다.
지금 백업 버튼을 누릅니다.
팝업에서 데이터베이스 포함과 파일 포함 항목을 모두 선택합니다.
다시 지금 백업을 눌러 작업을 시작합니다.
진행 표시가 끝날 때까지 페이지를 닫지 않습니다.

완료되면 같은 화면 아래의 기존 백업 목록에 백업 날짜와 데이터베이스, 플러그인, 테마, 업로드, 기타 항목이 표시됩니다. 빨간 오류 문구 없이 각 항목 버튼이 나타나면 첫 번째 확인을 마친 것입니다.

STEP 5. 자동 백업 일정 설정하기

설정 → UpdraftPlus 백업에서 상단의 설정 탭을 누릅니다.
파일 백업 일정에서 사이트 변경 빈도에 맞는 주기를 선택합니다.
데이터베이스 백업 일정도 선택합니다.
보관할 백업 개수를 입력합니다.
아래의 변경 사항 저장을 누릅니다.

정보형 블로그의 시작 예시로는 파일은 매주, 데이터베이스는 매일, 최근 백업 4개 보관을 생각할 수 있습니다. 이것은 모든 사이트의 정답이 아닙니다. 매일 이미지를 올리거나 쇼핑 주문·회원 데이터가 자주 바뀐다면 더 짧은 주기가 필요합니다.

STEP 6. 외부 저장소 연결하기

백업을 사이트와 같은 서버에만 저장하면 서버 디스크가 고장 나거나 계정이 침해됐을 때 원본과 백업을 함께 잃을 수 있습니다. 따라서 외부 저장소에 한 벌을 보관합니다.

UpdraftPlus의 설정 탭에서 원격 저장소 선택 영역을 찾습니다.
Google Drive, Dropbox 또는 사용 중인 저장소 아이콘 하나를 선택합니다.
화면 아래의 변경 사항 저장을 누릅니다.
표시되는 인증 링크를 눌러 저장소 계정으로 로그인하고 접근을 허용합니다.
완료 후 워드프레스로 돌아와 연결 성공 안내를 확인합니다.

연결만 하고 끝내지 말고 STEP 4의 수동 백업을 한 번 더 실행하세요. 외부 저장소에 새 백업 폴더와 파일이 실제로 생성됐는지 직접 확인해야 합니다.

STEP 7. 백업이 정상인지 확인하기

UpdraftPlus의 기존 백업 목록에 최근 날짜가 표시된다.
데이터베이스, 플러그인, 테마, 업로드와 기타 파일 항목이 있다.
외부 저장소에서도 같은 시간의 백업 파일을 찾을 수 있다.
백업 실패 이메일이나 빨간 오류 문구가 없다.
보관 개수가 설정한 수보다 계속 늘어나지 않는다.

자동 백업은 워드프레스의 예약 작업이 방문이나 서버 작업에 의해 실행되는 구조라 정확히 같은 분에 시작되지 않을 수 있습니다. 며칠 뒤 다시 관리자 화면에 들어가 최근 백업 날짜가 자동으로 갱신됐는지 확인하세요.

STEP 8. 복구 위치와 순서 알아두기

백업 파일이 있다고 해서 복구 준비가 끝난 것은 아닙니다. 관리자 화면에 접속할 수 있는 상황이라면 다음 위치에서 복구를 시작할 수 있습니다.

설정 → UpdraftPlus 백업 → 백업/복원으로 이동합니다.
기존 백업 목록에서 되돌릴 날짜를 정확히 확인합니다.
해당 백업 오른쪽의 복원 버튼을 누릅니다.
데이터베이스, 플러그인, 테마, 업로드 등 복구할 항목을 선택합니다.
안내를 읽고 다음 단계로 이동합니다.

운영 중인 사이트에서 연습 삼아 복원 버튼을 끝까지 실행하지 마세요. 복구 시험은 별도의 테스트 주소나 스테이징 사이트에서 진행하는 것이 안전합니다. 복원하면 선택한 백업 시점 이후에 작성한 글과 설정이 사라질 수 있습니다.

관리자 화면 자체가 열리지 않는 장애에서는 플러그인 화면만으로 복구할 수 없습니다. 이 경우 호스팅 업체의 서버 백업, SSH·SFTP 파일 접근과 데이터베이스 복원 정보가 필요합니다. 호스팅 고객센터의 복구 절차와 연락 방법도 미리 저장해 두세요.

STEP 9. 직접 서버를 운영할 때 추가로 확인할 것

이 단계는 일반 웹호스팅 사용자가 아니라 Ubuntu 서버에 직접 SSH로 접속해 관리하는 경우에 해당합니다.

비밀번호 대신 SSH 키 로그인을 우선 사용합니다.
방화벽에서 실제로 필요한 SSH, HTTP와 HTTPS 연결만 허용합니다.
운영체제와 PHP, Nginx의 보안 업데이트도 정기적으로 확인합니다.
WordPress 로그인 제한은 서버 SSH 공격을 막아 주지 않으므로 Fail2ban 같은 서버 보호도 별도로 검토합니다.
백업 파일을 웹에서 직접 내려받을 수 있는 공개 폴더에 두지 않습니다.

InsideJoJo 서버 점검 시 WordPress 로그인 제한은 활성화되어 있었지만 서버의 Fail2ban 서비스는 작동 중이 아니었습니다. 다만 Fail2ban은 설정을 잘못하면 관리자 자신의 접속도 차단할 수 있으므로 서버 로그와 SSH 접속 대안을 준비한 뒤 적용해야 합니다.

관리자 파일 편집 기능 끄기

FTP나 SSH로 파일을 관리할 수 있다면 워드프레스 관리자 화면의 테마·플러그인 파일 편집기를 끌 수 있습니다. 서버의 wp-config.php에서 ‘그만 편집하세요’라는 안내 줄 위에 다음 값을 추가합니다.

define( 'DISALLOW_FILE_EDIT', true );

저장 후 관리자 화면의 외모와 플러그인 메뉴에서 파일 편집기 항목이 보이지 않으면 적용된 것입니다. 서버 파일 수정이 익숙하지 않다면 직접 진행하지 말고 관리자에게 요청하세요.

문제가 생겼을 때 대처 순서

문제	먼저 할 일
플러그인 업데이트 후 오류	방금 업데이트한 플러그인을 비활성화하고 사이트 확인
관리자 로그인이 차단됨	잠금 시간이 끝날 때까지 기다리고 비밀번호 재설정 확인
자동 백업이 생성되지 않음	UpdraftPlus 설정, 원격 저장소 인증과 오류 기록 확인
외부 저장소에 파일이 없음	저장소 재인증 후 수동 백업으로 전송 시험
사이트 전체가 열리지 않음	최근 변경 중단, 호스팅·서버 로그 확인 후 검증된 백업 복구 검토
복구 후 최신 글이 사라짐	복구 시점 이후 데이터는 별도 백업에서 확인하고 추가 작업 중단

초보자용 최종 체크리스트

사용하지 않는 관리자 계정이 없다.
관리자 계정은 고유한 비밀번호와 가능한 경우 2단계 인증을 사용한다.
업데이트 전 수동 백업을 만든다.
데이터베이스와 사이트 파일을 모두 백업한다.
자동 백업 일정이 저장되어 있다.
백업 한 벌을 외부 저장소에 보관한다.
외부 저장소에 실제 파일이 생성됐는지 확인했다.
복구 메뉴 위치와 호스팅 문의 방법을 알고 있다.
운영 사이트가 아닌 별도 환경에서 복구 시험을 계획한다.

업데이트 전 사이트 속도와 캐시를 먼저 점검하려면 워드프레스 속도 최적화: 캐시·이미지·Redis 적용 순서를 확인하세요. 서버에 HTTPS를 적용하는 과정은 워드프레스 HTTPS 적용 가이드에서 확인할 수 있습니다.

공식 참고 자료

다음 편: 워드프레스 SEO 운영 체크리스트에서 글을 발행하기 전과 발행한 후에 확인할 항목을 초보자 기준으로 정리하겠습니다.

워드프레스 구축·운영 시리즈

현재 단계와 연결되는 앞뒤 글을 순서대로 확인할 수 있습니다.

이전 편: 9편: 이미지·캐시·Redis 속도 최적화
전체 흐름: 워드프레스 설치부터 SEO·애드센스 준비까지 보기

워드프레스 보안과 자동 백업 설정: 복구까지 준비하기