워드프레스 폴더 구조 보안: "wp-includes" 폴더 접근 차단하기

워드프레스 폴더 구조 보안을 위해 "wp-includes" 폴더에 대한 직접 접근을 차단하는 가장 안전한 방법은 폴더 전체를 무작위로 차단하는 대신 이 폴더 내의 PHP 파일들이 외부에서 실행되는 것을 막고 디렉토리 목록 생성을 차단하는 것입니다. wp-includes는 워드프레스 코어가 작동하는 데 필요한 JavaScript, CSS 및 일부 정적 파일을 포함하고 있기 때문에, 폴더 전체에 대한 접근을 차단하면 사이트 디자인, 편집기 또는 플러그인 기능에 문제를 일으킬 수 있습니다. 올바른 접근 방식은 Apache를 사용하는 경우 .htaccess 규칙으로, Nginx를 사용하는 경우 서버 블록 내의 location 규칙으로 PHP 접근을 직접 차단하고, 이후 사이트를 403/404 응답과 중요한 페이지 테스트로 검증하는 것입니다.

워드프레스 보안에서 가장 흔한 실수 중 하나는 단지 강력한 비밀번호나 보안 플러그인에 의존하는 것입니다. 하지만 공격자들은 대부분 코어 파일이 위치한 디렉토리, 오래된 플러그인, 잘못된 파일 권한 및 열린 디렉토리 목록을 스캔합니다. wp-includes 폴더 역시 이러한 스캔의 목표 중 하나입니다. 이 가이드에서는 실제 호스팅 환경에서 적용 가능한 단계별로 wp-includes 접근을 어떻게 제한할 수 있는지, 어떤 규칙이 사이트를 망칠 수 있는지, Apache 및 Nginx를 위한 예시 구성, 테스트 방법 및 유지관리 체크리스트를 찾을 수 있습니다. 워드프레스 사이트를 더 안전한 인프라에서 운영하기 위해 WordPress 호스팅 및 일반 보호 계층을 위한 SSL 인증서 옵션을 고려할 수 있습니다.

wp-includes 폴더란 무엇이며 왜 보호해야 하는가?

wp-includes는 워드프레스 코어의 기본 라이브러리를 포함하는 주요 디렉토리 중 하나입니다. 테마 시스템, 블록 편집기, REST API 구성 요소, 미디어 처리, 클래스, 함수 및 다양한 JavaScript 파일이 이 구조 내에 포함됩니다. 간단히 말해 wp-includes는 워드프레스의 엔진 룸 중 하나이며, 사용자가 직접 방문해야 하는 콘텐츠 영역이 아닙니다.

일반 방문자는 site.com/wp-includes/와 같은 주소를 열 필요가 없습니다. 그러나 페이지 소스 코드에는 wp-includes 하위의 일부 정적 자원이 표시될 수 있습니다. 예를 들어, 워드프레스의 기본 스크립트 파일, 이모지 스크립트 또는 편집기 구성 요소가 이 디렉토리에서 로드될 수 있습니다. 따라서 보안 조치를 취할 때 목표를 올바르게 설정해야 합니다: 정적 파일이 실행되는 것을 방해하지 않으면서 PHP 파일에 대한 직접 웹 접근을 차단해야 합니다.

이 구분은 전문적인 워드프레스 폴더 구조 보안 접근 방식의 핵심입니다. 폴더를 무작위로 차단하는 것은 단기적으로 안전해 보일 수 있지만, 라이브 사이트에서 하얀 페이지, 깨진 관리 패널, 작동하지 않는 블록 편집기 또는 오류가 있는 테마 표시와 같은 문제를 초래할 수 있습니다. 목표는 워드프레스가 필요로 하는 파일을 보호하면서 공격 표면을 좁히는 것입니다.

wp-includes 접근을 차단하면 어떤 이점이 있는가?

wp-includes 폴더에서 직접 PHP 실행을 막는 것만으로 모든 공격을 멈출 수는 없지만 공격 표면을 상당히 줄일 수 있습니다. 특히 악성 소프트웨어에 감염된 사이트에서는 공격자들이 접근 가능한 디렉토리에 악성 PHP 파일을 업로드하거나 기존 파일을 호출하려고 시도합니다. wp-includes 하위의 PHP 파일들이 웹을 통해 직접 실행되는 것을 금지하는 것은 이러한 시나리오에서 추가적인 장벽을 제공합니다.

이 조치는 다음과 같은 이점을 제공합니다:

코어 PHP 파일의 직접 URL 호출을 제한합니다.
디렉토리 목록이 열려 있으면 폴더 내용의 표시를 방지하는 데 도움을 줍니다.
자동화된 봇 스캔에 대한 불필요한 정보 유출을 줄입니다.
보안 플러그인이 없더라도 웹 서버 수준에서 보호를 제공합니다.
WAF, SSL, 최신 PHP 및 파일 권한과 함께 계층화된 보안을 강화합니다.

여기서 중요한 점은 이 과정이 보안 계층이라는 것입니다. 구식 플러그인, 약한 관리자 비밀번호 또는 해킹당한 FTP 계정이 있는 경우 wp-includes 규칙만으로는 충분하지 않습니다. 보안은 호스팅 인프라, 애플리케이션, 사용자 관리 및 정기적인 유지 관리의 조합입니다. 안전한 기반을 위해 안전한 웹 호스팅 및 도메인 관리 시 추가 보호를 위한 도메인 보안 내용에 링크를 제공할 수 있습니다.

wp-includes 차단 시 가장 흔한 실수

폴더 전체를 차단하기

가장 흔한 실수는 wp-includes 폴더에 오는 모든 HTTP 요청을 403으로 차단하는 것입니다. 이 방법은 처음에는 논리적으로 보일 수 있지만, 워드프레스가 이 디렉토리에서 일부 정적 자원을 로드하기 때문에 예상치 못한 문제가 발생할 수 있습니다. 예를 들어, 블록 편집기가 열리지 않거나 일부 JavaScript 파일이 로드되지 않거나 프론트엔드에서 작은 그러나 중요한 디자인 손상이 나타날 수 있습니다.

규칙을 테스트 하지 않고 라이브에 배포하기

.htaccess 또는 Nginx 구성에서 단 하나의 문자 오류조차도 500 Internal Server Error를 발생시킬 수 있습니다. 특히 트래픽이 많은 사이트에서는 규칙을 직접 라이브에 배포하는 것이 위험합니다. 먼저 파일의 백업을 받고, 가능하면 스테이징 환경에서 테스트한 후, 라이브에 통제된 방식으로 이동해야 합니다. Hostragons 인프라에서 스테이징이나 백업 옵션이 사용된다면 웹 호스팅 백업을 자연스러운 내부 링크로 추가할 수 있습니다.

보안 플러그인에 전적으로 의존하기

보안 플러그인은 유용하지만 웹 서버 수준의 규칙은 더 이른 단계에서 작동합니다. 요청이 PHP에 도달하기 전에 Apache 또는 Nginx에 의해 차단되면 리소스 소비도 줄어듭니다. 따라서 플러그인을 사용하더라도 기본 서버 규칙을 무시해서는 안 됩니다.

적용 전 체크리스트

wp-includes 접근을 제한하기 전에 간단한 준비 작업을 하는 것은 중단 위험을 심각하게 줄입니다. 아래의 체크리스트는 특히 라이브 워드프레스 사이트에서 권장됩니다:

현재 .htaccess 또는 Nginx 구성을 백업하세요.
워드프레스 코어, 테마 및 플러그인을 업데이트하세요.
PHP 버전이 지원되고 안전한 버전인지 확인하세요.
파일 권한을 확인하세요: 폴더는 일반적으로 755, 파일은 644여야 합니다.
wp-config.php 및 .htaccess와 같은 중요한 파일의 쓰기 권한을 불필요하게 열어 두지 마세요.
캐시, CDN 또는 보안 플러그인을 사용 중이라면 변경 후 캐시 정리 계획을 세우세요.
관리 패널, 홈페이지, 게시물 페이지, 연락처 양식 및 결제 페이지와 같은 중요한 영역을 테스트할 리스트를 만드세요.

이 준비 작업은 약 10-15 분이 걸리며, 잘못된 규칙으로 인해 발생할 수 있는 몇 시간의 중단을 예방할 수 있습니다. 기업 사이트에서는 변경을 낮은 트래픽 시간대에 수행하는 것이 더 안전합니다.

Apache 서버에서 .htaccess로 wp-includes PHP 접근 차단하기

Apache를 사용하는 공유 호스팅에서 가장 일반적인 방법은 .htaccess 파일입니다. 워드프레스 메인 디렉토리에 있는 .htaccess 파일에 추가된 올바른 규칙은 wp-includes 내의 특정 PHP 호출을 차단할 수 있습니다. 작업을 시작하기 전에 파일의 복사본을 컴퓨터에 다운로드하거나 호스팅 패널의 파일 관리자에서 백업을 만드세요.

디렉토리 목록 차단하기

또 다른 중요한 설정은 디렉토리 목록 생성을 차단하는 것입니다. 서버에서 디렉토리 목록 생성이 열려 있다면 사용자들은 일부 폴더의 내용을 볼 수 있습니다. 메인 .htaccess 파일에 다음 행을 추가하는 것으로 일반적으로 충분합니다:

Options -Indexes

이 행은 인덱스 파일이 없는 폴더에서 파일 목록의 표시를 차단합니다. 현대 호스팅에서는 대부분 기본적으로 꺼져 있지만, 확인하는 것은 좋은 보안 관행입니다.

변경 후 테스트

규칙을 추가한 후 다음 테스트를 수행하세요:

site주소.com/wp-includes/ 주소를 열어보세요; 디렉토리 목록이 표시되지 않아야 합니다.
wp-includes 하위의 알려진 PHP 파일을 직접 호출해보세요; 403 또는 404를 받아야 합니다.
홈페이지, 블로그 게시물 및 관리 패널을 확인하세요.
브라우저 개발자 도구에서 Console 및 Network 탭에서 404/403 자원 오류가 있는지 확인하세요.
캐시 플러그인이나 CDN을 사용 중이라면 캐시를 정리하세요.

모든 테스트가 성공적이라면 규칙은 생산 환경에서 안전하게 유지될 수 있습니다. 500 오류가 발생하면 가장 빠른 해결책은 추가한 행을 제거하고 백업 .htaccess 파일을 복원하는 것입니다.

Nginx 서버에서 wp-includes PHP 접근 차단하기

Nginx를 사용하는 VPS, 전용 또는 관리형 서버 환경에서는 .htaccess가 작동하지 않습니다. 규칙을 Nginx 사이트 구성 파일, 일반적으로 서버 블록 내에 추가해야 합니다. 이 작업을 위해서는 SSH 접근 및 구성 파일을 수정할 권한이 필요합니다. 확실하지 않은 경우 호스팅 지원팀에 도움을 요청하는 것이 더 안전합니다.

Nginx 사용 시 주의할 점

규칙을 올바른 서버 블록에 추가했는지 확인하세요; 동일한 서버에서 여러 사이트가 있을 수 있습니다.
CDN이나 리버스 프록시를 사용하는 경우 실제 테스트는 CDN 캐시를 정리한 후에 수행하세요.
PHP-FPM 구성에서 필요한 파일만 처리하고 있는지 확인하세요.
로그 파일을 확인하세요: access.log 및 error.log는 잘못된 규칙을 빠르게 보여줍니다.

Nginx 환경에서 잘못된 location 순서는 예상치 못한 결과를 초래할 수 있습니다. 따라서 규칙이 워드프레스 퍼머링크 및 PHP 처리 블록과 충돌하지 않는지 확인해야 합니다.

방법 비교

아래 표는 wp-includes 접근을 제한하기 위해 사용되는 주요 방법을 요약합니다:

방법 비교
방법	적합한 환경	장점	주의할 점
.htaccess 규칙	Apache 및 LiteSpeed 호스팅	빠르게 적용 가능하며, 공유 호스팅에서 접근 가능	잘못된 문법이 500 오류를 유발할 수 있음
Nginx location 규칙	VPS, 전용, 관리형 서버	서버 수준에서 강력하고 성능이 뛰어남	SSH 및 구성 지식 필요
보안 플러그인	기술 지식이 제한된 사용자	인터페이스를 통해 쉽게 관리 가능	모든 규칙이 서버 수준에서 적용되지 않을 수 있음
WAF 및 CDN	트래픽이 많은 사이트 또는 공격을 받는 사이트	봇, 무차별 대입 및 악성 요청을 조기에 필터링	잘못된 규칙이 실제 사용자를 차단할 수 있음
파일 권한	모든 워드프레스 사이트	기본 보안 위생	단독으로 URL 접근을 차단하지 않음

실제로 가장 좋은 결과는 이러한 방법들을 함께 사용하는 것입니다. 예를 들어 Apache 호스팅에서 .htaccess 규칙, 올바른 파일 권한, 최신 워드프레스 코어, SSL 및 정기적인 백업이 결합될 때 계층화된 방어가 형성됩니다. 호스팅 인프라에서 방화벽과 격리도 중요하기 때문에 기업 호스팅 선택은 중요한 사이트에서 차이를 만들 수 있습니다.

파일 권한 및 소유권 설정

wp-includes 접근을 차단하는 것은 파일 권한이 잘못되면 불완전하게 됩니다. 워드프레스에서 일반적으로 인정되는 권한은 폴더에 대해 755, 파일에 대해 644입니다. 이 값은 웹 서버가 파일을 읽을 수 있도록 허용하면서 불필요한 쓰기 권한을 줄입니다. 일부 특수 호스팅 환경에서는 다른 사용자 및 그룹 구성이 있을 수 있으므로 패널의 권장 사항도 고려해야 합니다.

특히 777 권한은 심각한 보안 위험입니다. 한 폴더에 누구나 쓸 수 있도록 하는 것은 악성 파일 업로드 시나리오를 용이하게 합니다. wp-content/uploads와 같이 써야 할 폴더에서도 PHP 실행을 차단해야 합니다. wp-includes는 일반적으로 워드프레스 업데이트 이외에는 사용자에 의해 쓰일 수 없어야 합니다.

보안 감사에서 다음 값을 확인할 수 있습니다:

wp-includes 폴더: 일반적으로 755
wp-includes 내의 PHP 파일: 일반적으로 644
wp-config.php: 가능하면 600 또는 호스팅 구조에 맞는 더 제한된 권한
.htaccess: 일반적으로 644, 수정 후 불필요한 쓰기 권한 없이

이 설정은 모든 서버에서 동일하게 작동하지 않을 수 있습니다. 잘못된 권한은 사이트가 업데이트를 하지 못하게 하거나 파일을 읽지 못하게 할 수 있습니다. 변경 후 워드프레스 건강 검사 및 오류 로그를 검토해야 합니다.

보안 플러그인이 이 작업을 수행할 수 있나요?

Wordfence, iThemes Security와 같은 보안 플러그인은 일부 하드닝 규칙을 자동으로 제안할 수 있습니다. 이러한 플러그인은 무차별 대입 보호, 파일 변경 모니터링, 악성 코드 스캔 및 로그인 보안과 같은 영역에서 유용합니다. 그러나 wp-includes 접근 차단에 대해 플러그인이 무엇을 하는지 반드시 확인해야 합니다.

일부 플러그인은 .htaccess 파일에 자동으로 규칙을 추가합니다. 일부는 애플리케이션 수준에서만 보호를 제공합니다. 애플리케이션 수준의 보호는 요청이 워드프레스로 도달한 후에 작동하므로 서버 수준의 차단만큼 조기에 적용되지 않습니다. 따라서 전문적인 접근 방식은 플러그인과 서버 구성을 함께 평가하는 것입니다.

보안 플러그인을 사용하고 있다면 다음 검사를 수행하세요:

플러그인이 .htaccess 또는 Nginx 규칙을 추가하는지 확인하세요.
같은 작업을 수행하는 두 개의 서로 다른 규칙이 충돌하지 않는지 확인하세요.
플러그인 업데이트 후 보안 설정이 변경되지 않았는지 확인하세요.
성능 영향을 측정하기 위해 캐시 및 서버 리소스 사용을 모니터링하세요.

여러 보안 플러그인을 동시에 사용하는 것은 대부분 좋은 생각이 아닙니다. 충돌하는 방화벽, 로그인 및 rewrite 규칙은 성능을 저하시키거나 잘못된 차단을 초래할 수 있습니다.

wp-includes 보호 테스트: 실용적인 시나리오

애플리케이션이 성공적으로 작동하는지 확인하기 위해 사이트가 열리는 것만으로는 충분하지 않습니다. 아래의 7단계 실용 테스트는 소규모 비즈니스 사이트에서 전자상거래 프로젝트에 이르기까지 대부분의 워드프레스 설치에 적용할 수 있습니다:

1. 홈 페이지를 비공식 탭에서 열고 시각적 손상이 있는지 확인합니다.
2. 블로그 게시물, 카테고리 페이지 및 검색 결과 페이지를 방문합니다.
3. wp-admin 패널에 로그인하고 블록 편집기 및 미디어 라이브러리를 엽니다.
4. 브라우저 개발자 도구에서 Console 탭을 확인합니다.
5. Network 탭에서 wp-includes 하위의 정적 파일들이 불필요하게 차단되지 않았는지 확인합니다.
6. wp-includes 하위에서 직접 PHP 파일 호출을 시도합니다; 403 또는 404 응답을 기대합니다.
7. 서버 오류 로그에서 새로운 반복 오류가 있는지 검토합니다.

이 테스트는 약 5분이 걸리며 잘못된 구성을 빠르게 포착합니다. 특히 WooCommerce와 같은 결제 프로세스가 있는 사이트에서는 장바구니, 결제 및 사용자 계정 페이지도 별도로 테스트해야 합니다. 라이브 수익을 생성하는 사이트에서는 작은 JavaScript 차단만으로도 전환율에 영향을 미칠 수 있습니다.

추가 워드프레스 폴더 구조 보안 조치

wp-includes 보호는 좋은 출발점이지만, 워드프레스 보안을 전체적으로 고려해야 합니다. 아래의 추가 조치는 공격 표면을 더욱 줄입니다:

워드프레스 버전을 숨기려 하지 말고 코어를 최신 상태로 유지하세요.
사용하지 않는 테마와 플러그인은 완전히 삭제하세요.
관리 사용자 이름을 예측하기 어려운 형태로 만드세요.
이중 인증을 사용하세요.
XML-RPC를 사용하지 않는 경우 접근을 제한하세요.
wp-login.php에 대해 비율 제한 또는 추가 인증을 적용하세요.
자동 백업 및 복원 테스트를 정기적으로 수행하세요.
사이트 전체에서 HTTPS를 사용하세요; SSL 없이는 로그인 정보가 위험에 처할 수 있습니다.

SSL은 wp-includes 접근을 직접 차단하지 않지만, 사용자 세션, 양식 데이터 및 관리 패널 트래픽에 대한 기본 보안을 제공합니다. 따라서 워드프레스 보안 가이드에서는 SSL이 항상 첫 번째 계층 중 하나입니다. 이 시점에서 SSL 인증서 구매 및 무료 SSL 설치 링크를 콘텐츠 내에 자연스럽게 배치할 수 있습니다.

전문 지원이 필요한 시점은?

간단한 Apache 호스팅에서 .htaccess 규칙을 추가하는 것은 대부분 사용자에게 관리 가능한 작업입니다. 그러나 맞춤형 Nginx 구성, 다중 사이트 네트워크, WooCommerce 매장, 높은 트래픽 뉴스 사이트 또는 기업 포털이 관련되어 있다면 전문적인 지원을 받는 것이 더 바람직할 수 있습니다. 왜냐하면 보안 규칙은 기술적으로만 올바른 것이 아니라 비즈니스 연속성 측면에서도 안전하게 적용되어야 하기 때문입니다.

전문 지원을 추천하는 상황은 다음과 같습니다:

서버에서 여러 워드프레스 사이트를 호스팅하고 있는 경우.
Nginx, Varnish, CDN 및 WAF를 함께 사용하는 경우.
최근 변경 후 403, 404 또는 500 오류가 증가하는 경우.
사이트가 이전에 악성 코드에 감염된 적이 있는 경우.
결제, 회원 가입 또는 개인 데이터를 처리하는 시스템을 운영하는 경우.

안전한 호스팅 인프라, 올바른 격리, 정기적인 백업 및 전문가 지원은 워드프레스 보안의 보이지 않지만 중요한 부분입니다. 인프라를 선택할 때는 단순히 디스크 공간뿐만 아니라 백업, 방화벽, PHP 버전 지원, SSL 관리 및 기술 지원 품질도 고려해야 합니다. 이 맥락에서 Hostragons 호스팅 패키지 및 워드프레스 사이트 이전 콘텐츠는 독자에게 유용할 수 있습니다.

결론

워드프레스 폴더 구조 보안의 일환으로 wp-includes 폴더에 대한 접근을 차단하는 올바른 방법은 폴더 전체를 차단하는 것이 아니라, wp-includes 내의 PHP 파일에 대한 직접 웹 접근을 차단하고 디렉토리 목록 생성을 비활성화하는 것입니다. Apache의 경우 .htaccess, Nginx의 경우 location 규칙으로 이 작업을 신속하게 수행할 수 있습니다. 그러나 모든 변경 전에 백업을 받고, 이후 관리 패널과 프론트 엔드 테스트를 수행해야 합니다.

간단히 요약하자면: 정적 파일을 방해하지 말고, PHP 접근을 제한하고, 디렉토리 목록 생성을 차단하며, 파일 권한을 확인하고 정기적으로 업데이트 하십시오. 더 안전하고 관리 가능한 워드프레스 인프라를 위해 Hostragons의 호스팅, 도메인 및 SSL 솔루션을 검토하고 필요에 맞는 구성을 지원받을 수 있습니다.

자주 묻는 질문

wp-includes 폴더를 완전히 차단하는 것이 안전한가요?

일반적으로 권장되지 않습니다. wp-includes 폴더에는 워드프레스가 필요로 하는 JavaScript, CSS 및 정적 파일이 포함될 수 있습니다. 전체 차단은 사이트의 외관이나 관리 패널을 망칠 수 있습니다. 더 안전한 접근 방식은 이 폴더 내의 PHP 파일에 대한 직접 접근을 차단하는 것입니다.

.htaccess 규칙 추가 후 500 오류가 발생하면 어떻게 해야 하나요?

먼저 추가한 마지막 규칙을 제거하거나 백업 .htaccess 파일을 복원하세요. 그런 다음 규칙을 문법 오류에 대해 확인하세요. 오류가 계속 발생하면 호스팅 오류 로그를 검토하거나 기술 지원에 도움을 요청하세요.

Nginx 서버에서 .htaccess가 작동하나요?

아니요. .htaccess는 Apache 및 LiteSpeed 환경에서 사용됩니다. Nginx 서버에서는 유사한 제한이 서버 블록 내의 location 규칙을 통해 설정되며, 변경 후 nginx -t를 통해 구성 테스트를 수행해야 합니다.

이 작업이 내 워드프레스 사이트를 완전히 안전하게 만들까요?

아니요. wp-includes PHP 접근을 차단하는 것은 중요한 보안 계층이지만 단독으로는 충분하지 않습니다. 업데이트, 강력한 비밀번호, 이중 인증, SSL, 백업, 방화벽 및 올바른 파일 권한이 함께 적용되어야 합니다.

보안 플러그인을 사용 중이라면 wp-includes 규칙도 추가해야 하나요?

플러그인이 어떤 규칙을 적용하는지에 따라 다릅니다. 일부 플러그인은 .htaccess 규칙을 추가하고, 다른 일부는 애플리케이션 수준에서만 보호를 제공합니다. 충돌 없이 서버 수준에서 PHP 접근을 제한하는 것이 일반적으로 더 강력한 해결책입니다.