.htaccessでxoopsのスパムユーザー登録対策

自分が裏方やっているxoopsで構築したサイトで数年前から海外からスパムのようなユーザー登録が毎日何十件(いや100件以上か?)とあり、色々な方法でアクセス制限を掛けてきたんだけど、月に1万ホスト以上からのアクセスがあるので、あまり効果がなく、誤ってスパム登録ではないユーザーを削除してしまう事故も起きてしまい頭を痛めていました。

.htaccessで海外からの全てのアクセスを遮断するのは簡単だけど、海外からサイトにアクセスするユーザーも少なからずいるし、遮断したいのは新規ユーザー登録の時にアクセスするregister.phpだけなんですよね。

契約しているさくらのサーバーでも以下のような対策を取ってくれたんだけど、これはスパムというよりセキュリティ対策で契約ユーザーが特定のファイルを設定出来るようにはなっていませんでした。

http://support.sakura.ad.jp/manual/rs/others/ipfilter.html

この記事を書くにあたって再度↑このページにアクセスして読んでみたら、今見たらヒントになる記述があるんですね~。でも、その時は気づかなかった。

xoops関連のサイトでこのスパムに悩まされている人が多いみたい。XUGJも調べてみたけど新しいバージョンだと対策取れるみたいですがウチのは古いので出来ないし、何だか難しそう。

http://www.xugj.org/modules/QandA/index.php?topic_id=2380

そんなわけで.htaccessについて色々探してみたところ以下のサイトの記述を参考に.htaccessを設定してみたら、それ以降スパムユーザー登録がぱったり無くなりました。

http://www.be-webdesigner.com/technotes/server/htaccess/access_deny.htm

記述内容はこんな感じ。

 ここで制限を掛けたいファイルを指定

<Files ~ “^register\.php$”>
Order deny,allow
Deny from all
allow from .jp
</Files>

意味はregister.phpというファイルについて全てのアクセスを遮断するが.jpは許可するという内容です。

日本のホストで.jpではないのもあると思うので、許可したいホストがあればallowの方へ追加していきます。

次に海外からユーザー登録したい方がいた場合、どうするか…なんですがアクセス制限の対象になった場合、何も設定しないと403 Forbiddenが表示されてしまいます。これを指定したページに飛ばすように設定して起きます。飛ばす方法は調べればすぐにわかるので、ここでは省略します。

飛ばすページにはスパム対策のため海外からのユーザー登録に制限を掛けているので登録希望の方はサイト管理者に連絡するように書き、ホスト名がわからない人もいるので自分のホストが調べられるwebページをリンクしておきます。登録する側からすれば余計な手間がかかることになりますが本気で登録したい人は連絡してくれるだろうと思います。

まあ、今これだけSNSが普及しているので従来のコミュニティサイトは下火で、海外からのユーザー登録というのはレアケースになるのかもしれませんが。

 

今回自分も色々苦労したので、もし他の方のお役に立てればと思い記事にしてみました。

Advertisements

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s