WordPressのセキュリティ対策とは？初心者が押さえたい基本を総整理

WordPressでサイトを運営し始めると、「何かセキュリティ対策をしなければ」と不安になることがあります。検索すると多くの設定やプラグインが見つかりますが、すべてを一度に導入する必要はありません。大切なのは、狙われやすい入口を減らし、万一の被害を小さくし、問題が起きても戻せる状態を日常的に保つことです。

セキュリティは、一つの機能を追加すれば完成するものではありません。WordPress本体、テーマ、プラグイン、ログイン情報、利用者の権限、サーバー、バックアップ、日々の確認を組み合わせてリスクを下げます。公式のHardening WordPressでも、完全に安全な状態を保証するのではなく、適切な対策によってリスクを減らす考え方が示されています。

この記事では、WordPress初心者が先に押さえたい対策を、優先順位が分かるように整理します。高度なサーバー設定を無理に行うのではなく、自分で安全に確認できることと、専門家やサーバー会社へ相談したほうがよいことも分けて説明します。

WordPressのセキュリティ対策とは

WordPressのセキュリティ対策とは、管理画面への不正ログイン、古いソフトウェアの弱点の悪用、ファイルの改変、情報の流出、迷惑な通信などが起きる可能性を下げる取り組みです。同時に、異変を早く見つけ、影響範囲を抑え、正常な状態へ戻せるよう準備することも含まれます。

対策を考えるときは、「侵入を完全に防ぐ」だけに意識を向けないことが重要です。強いパスワードで入口を守っても、使っていない古いプラグインが残っていれば別の弱点になるかもしれません。反対に、更新をきちんとしていても、バックアップが一つもなければ、障害や誤操作から戻すのに時間がかかります。

守る対象は記事だけではない

WordPressには記事や固定ページの本文だけでなく、画像、問い合わせ内容、ユーザー情報、各種設定、テーマやプラグインのファイルが含まれます。ネットショップや会員機能を追加している場合は、さらに重要な情報を扱うことがあります。自分のサイトが何を保存し、誰が触れられるのかを把握することが対策の出発点です。

予防・発見・復旧を組み合わせる

更新や認証強化は予防に役立ちます。ログや通知、表示確認は異変の発見に役立ちます。バックアップと復元手順は復旧に役立ちます。予防だけ、監視だけ、バックアップだけに偏らず、三つを小さくても組み合わせると、運用全体が安定します。

最初に優先したいセキュリティ対策

初心者は、効果が広く、設定ミスの危険が比較的小さい対策から始めると安全です。優先したいのは、更新を止めないこと、ログイン情報を守ること、不要な権限や拡張機能を減らすこと、外部にバックアップを持つことです。複雑な設定へ進む前に、この土台を整えます。

• WordPress本体・テーマ・プラグインを更新できる状態にする
• 管理者アカウントに強く使い回さないパスワードを設定する
• 可能なら二段階認証を利用する
• 利用者ごとに必要最小限の権限を割り当てる
• 使っていないプラグインとテーマを整理する
• サイト本体とは別の場所にバックアップを保存する

この一覧を一度に完璧にする必要はありません。まず現状を確認し、変更前にバックアップを取り、影響が分かる範囲で一つずつ進めます。作業後は管理画面だけでなく、公開ページやフォームなど主要な機能も確認します。

WordPress本体・テーマ・プラグインを更新する

公式のWordPressセキュリティガイドでは、WordPress本体とインストール済みのテーマ・プラグインを最新に保つことが重要と説明されています。更新には不具合修正や互換性改善だけでなく、発見された弱点への修正が含まれることがあります。古いまま放置すると、すでに対策方法が公開されている問題を残す可能性があります。

更新前にバックアップと変更内容を確認する

更新は重要ですが、何も確認せずに実行するのも危険です。更新前にバックアップの取得状況を確認し、更新対象と変更内容を把握します。大きな更新や重要機能に関わる更新では、アクセスの少ない時間を選び、必要なら検証環境で先に試します。

更新後は主要な動作を確かめる

管理画面へログインできるか、トップページと主要ページが表示されるか、スマートフォンでも崩れていないか、問い合わせフォームが動くかを確認します。ネットショップならカートや決済直前まで、会員サイトならログインや閲覧権限も対象です。更新通知を消すことを目的にせず、更新後の確認までを一つの作業と考えます。

利用していないものも放置しない

無効化したプラグインや使っていないテーマも、サーバー上にファイルが残っていれば管理対象です。再利用予定がなく、依存関係もないことを確認できたものは、バックアップを取ってから整理します。ただし、現在の有効テーマが参照する子テーマ・親テーマの関係は削除前に必ず確認します。

強く使い回さないパスワードを設定する

管理者アカウントが乗っ取られると、記事の改変だけでなく、プラグインの追加やユーザーの作成など広い操作を許すおそれがあります。サイト名、会社名、誕生日、辞書にある短い単語など推測しやすい文字列を避け、十分な長さのある固有のパスワードを使います。

同じパスワードをメール、サーバー、WordPress、クラウドストレージなどで使い回すと、一つのサービスから漏れた情報が別のサービスへのログインに試される可能性があります。覚えるのが難しい場合は、信頼できるパスワード管理ツールで個別に生成・保存する方法があります。

管理者名だけを変えて安心しない

推測されにくいユーザー名にすることは、無駄な試行を減らす補助にはなります。しかし、ユーザー名を隠すことだけを主な防御にしてはいけません。強いパスワード、二段階認証、更新、試行回数の制御などと組み合わせます。

メールアカウントも同じように守る

WordPressのパスワード再設定には登録メールアドレスが使われます。そのため、WordPressだけ強化しても、メールが乗っ取られると再設定を悪用されるおそれがあります。管理者メールにも固有のパスワードと二段階認証を設定し、退職者や使われていない共有メールが登録されたままになっていないか確認します。

二段階認証を利用する

二段階認証は、パスワードに加えて、認証アプリの確認コードやセキュリティキーなど別の要素を求める仕組みです。パスワードが知られた場合でも、それだけでログインされにくくする役割があります。公式のブルートフォース攻撃対策でも、強いパスワードと二段階認証が主要な防御として挙げられています。

復旧方法を先に準備する

二段階認証を有効にする前に、バックアップコードの保存場所、端末を紛失した場合の復旧手順、別の管理者が対応できるかを確認します。認証アプリを入れたスマートフォンだけに依存すると、故障や機種変更で自分もログインできなくなる可能性があります。

管理者から優先して導入する

すべての利用者へ一度に導入するのが難しければ、操作範囲が広い管理者から始めます。編集者や投稿者にも順次広げます。設定方法は利用するサービスやプラグインによって異なるため、公式マニュアルを読み、保守されている方法を選びます。

ユーザー権限を必要最小限にする

WordPressでは、利用者ごとに役割を割り当てられます。公式のRoles and Capabilitiesでは、管理者、編集者、投稿者、寄稿者、購読者などの役割と、それぞれが実行できる操作が説明されています。記事を書くだけの人へ管理者権限を渡す必要はありません。

共同作業ではアカウントを共有しない

一つの管理者アカウントを複数人で共有すると、誰が何をしたのか追いにくくなり、退職や外注終了後の管理も難しくなります。利用者ごとにアカウントを作り、業務に必要な権限だけを割り当てます。作業が終わったアカウントは、投稿の所有者を適切に引き継いだうえで停止または削除を検討します。

管理者アカウントを日常作業に使い続けない

サイト構成を変更する必要がない日常の執筆では、編集者など範囲を絞ったアカウントを使う方法があります。誤操作やアカウント侵害が起きたときの影響を小さくできます。ただし、運用が複雑になりすぎないよう、担当者と役割を記録しておきます。

信頼できるテーマとプラグインを選ぶ

テーマやプラグインはWordPressの機能を広げますが、外部のプログラムをサイトへ追加する行為でもあります。配布元、更新状況、対応しているWordPressの範囲、サポート情報、必要な権限を確認します。公式リポジトリや信頼できる開発元を利用し、出所が不明な改変版や非正規配布物は避けます。

機能が重なるプラグインを増やしすぎない

同じ機能を持つプラグインを複数導入すると、設定の競合や負荷、管理漏れが起きやすくなります。導入前に、テーマやサーバーに同じ機能がないか、既存プラグインで対応できないかを確認します。個数だけで危険度は決まりませんが、使っていないものが増えるほど確認対象は増えます。

セキュリティプラグインは目的を決めて選ぶ

ログイン試行の制限、二段階認証、ファイル変更の検知、通信の遮断など、セキュリティプラグインの機能はさまざまです。全部入りを入れれば安心とは限りません。サーバー側の防御と重複する場合や、設定によって自分のアクセスを遮断する場合もあるため、必要な機能と復旧手順を明確にして選びます。

バックアップをサイト外にも保存する

バックアップは侵入を防ぐ機能ではありませんが、改変、障害、更新失敗、誤操作から戻るための重要な準備です。WordPressの復元には一般に、記事や設定が入るデータベースと、画像・テーマ・プラグインなどのファイルの両方が必要です。

同じサーバーだけに置かない

サイトとバックアップが同じサーバーだけにあると、サーバー障害やアカウント侵害の影響を同時に受ける可能性があります。契約中のサーバーに自動バックアップがある場合も、保存期間、対象、復元方法を確認し、必要に応じて別のクラウドストレージや手元の暗号化された媒体にも保管します。

取得成功ではなく復元可能性を確認する

バックアップ処理が「成功」と表示されても、必要なファイルが含まれているとは限りません。定期的に容量や作成日時を確認し、復元手順を読んでおきます。重要なサイトでは、公開サイトを直接上書きせず、検証環境で復元できるか試すと安心です。

通信をHTTPSで保護する

HTTPSは、閲覧者のブラウザとサーバーの間の通信を暗号化する仕組みです。管理画面のログイン情報やフォーム送信内容を、通信途中で読み取られにくくします。公式のHTTPS解説でも、より安全な通信方法として説明されています。

ブラウザのアドレス欄で鍵の表示だけを見るのではなく、サイト内の主要URLがhttpsで開くか、httpから適切に転送されるか、画像やスクリプトにhttpの参照が残っていないかを確認します。証明書の更新はサーバー会社の自動処理に任せられる場合が多いものの、期限切れ通知やエラーを放置しないことが大切です。

ログイン試行や不審なアクセスへの備え

自動化されたログイン試行は、規模の小さいサイトにも届くことがあります。強いパスワードと二段階認証を基本に、必要に応じてログイン試行回数の制限、サーバーやCDNの防御、アクセスログの確認を組み合わせます。

ログインURL変更だけに依存しない

ログインURLを変更すると、機械的な試行を減らせる場合がありますが、根本的な認証強化の代わりにはなりません。URLが分かればアクセスできるため、パスワード、二段階認証、更新、制限の土台を優先します。URL変更を使う場合は、管理者全員へ安全に共有し、分からなくなったときの戻し方を用意します。

遮断設定は自分を締め出す可能性もある

試行回数制限や国・IPアドレスによる遮断は有効な場合がありますが、出張、回線変更、VPN、動的IPアドレスなどによって正規利用者も遮断されることがあります。設定前に解除方法を確認し、管理画面に入れない場合でもサーバー側から戻せるか把握します。

パソコンとメールも更新・保護する

WordPress側だけを整えても、管理に使うパソコンがマルウェアへ感染していたり、ブラウザやメールが乗っ取られていたりすると、認証情報を盗まれる可能性があります。OS、ブラウザ、パスワード管理ツール、セキュリティソフトを更新し、共有パソコンや信頼できないWi-Fiでの管理作業を避けます。

メールに届く「緊急の更新」「アカウント停止」「不正アクセス確認」などを装ったリンクにも注意します。通知から直接ログインせず、普段使っているブックマークや公式の管理画面URLから状態を確認します。添付ファイルやリンクを開く前に、送信元とドメインを確認します。

異変を早く見つけるために確認すること

対策をしていても、異常が起きる可能性をゼロにはできません。普段の状態を知り、変化へ早く気づける仕組みが重要です。毎日すべてを詳しく見る必要はありませんが、更新やバックアップの通知、管理者ユーザー、サイト表示、検索結果などを定期的に確認します。

• 知らない管理者ユーザーが追加されていないか
• 覚えのない記事、固定ページ、プラグインがないか
• タイトルや検索結果が不自然な内容に変わっていないか
• 急な転送、警告、表示崩れ、極端な速度低下がないか
• 更新やバックアップが長期間失敗していないか
• サーバー会社や検索サービスから警告が来ていないか

通知を増やしすぎない

通知が多すぎると、本当に重要な警告が埋もれます。管理者追加、重要ファイルの変更、更新失敗、バックアップ失敗など、行動につながる通知を優先します。誰が確認し、どの状態なら対応するかを決めておくと、受信するだけで終わりません。

記録を残して原因を追いやすくする

更新日、変更した設定、追加・削除したプラグイン、担当者を簡単に記録しておくと、異変が起きたときに原因を絞りやすくなります。パスワードそのものは記録表へ書かず、管理ツールで安全に扱います。アクセスログや操作ログは保存期間と個人情報の扱いにも注意します。

異変を見つけたときに避けたい行動

サイトの改変や不正ログインが疑われると、焦ってすべてを削除したくなるかもしれません。しかし、証拠や復旧材料を失うと原因調査が難しくなります。状況を記録し、影響範囲を確認し、安全な端末から認証情報を変更し、サーバー会社や保守担当へ相談します。

感染が疑われるバックアップをそのまま戻さない

直前のバックアップにも不正なファイルが含まれている可能性があります。いつから異変があったか分からない場合は、複数世代を比較し、復元後にも検査と更新を行います。単に古い状態へ戻すだけでは、同じ入口から再発するおそれがあります。

公開サイトで原因不明の設定変更を繰り返さない

ネットで見つけたコードを次々と追加したり、権限を広げたりすると、状態がさらに複雑になります。変更前の状態と作業内容を記録し、一つずつ確認します。ファイル改変、未知の管理者追加、大量転送、個人情報流出の疑いがある場合は、早めに専門家へ相談します。

初心者がやりがちなセキュリティ対策の誤解

プラグインを一つ入れれば安全になる

セキュリティプラグインは一部の対策を助けますが、更新、認証、権限、バックアップ、端末管理の代わりにはなりません。設定を理解せずに機能を重ねると、競合や誤検知、管理画面へのアクセス不能につながることもあります。

小さなサイトは狙われない

攻撃のすべてが特定の有名サイトを人間が選んで行うとは限りません。自動化された探索やログイン試行では、規模に関係なく公開サイトが対象になる場合があります。アクセス数が少ないことを理由に、更新やパスワード管理を省略しないようにします。

更新しないほうが壊れない

更新で相性問題が起きる可能性はありますが、更新を長期間止めると別のリスクが増えます。更新を避けるのではなく、バックアップ、事前確認、検証、更新後チェックによって安全に進める運用を作ります。

バックアップがあれば予防は不要

バックアップは重要ですが、情報流出や不正送信など、データを戻すだけでは解決できない被害があります。また、バックアップ自体が古い、壊れている、同じサーバーで失われる可能性もあります。予防と復旧準備の両方が必要です。

無理に触らないほうがよい設定

ファイル権限、サーバー設定ファイル、データベース接頭辞、管理画面のサーバー側認証、ファイアウォール、PHP設定などは、環境によって正しい値や手順が異なります。一般的な記事のコードをそのまま貼ると、管理画面やサイト全体が開かなくなることがあります。

サーバー会社の公式マニュアルに手順がある場合は、それを優先します。変更前にバックアップと戻し方を確認し、現在の設定を記録します。意味や影響が分からない場合、顧客情報を扱う場合、業務停止の影響が大きい場合は、自分だけで進めず保守担当や専門家へ相談します。

セキュリティ対策を続けるための運用方法

セキュリティは初期設定で終わりません。担当者、確認頻度、更新手順、緊急時の連絡先を決めると継続しやすくなります。難しい管理表は必要なく、定期的に見る項目と、異変があったときに誰へ連絡するかが分かるだけでも役立ちます。

月ごとの確認を小さく決める

• WordPress本体・テーマ・プラグインの更新状況
• 不要なユーザー、テーマ、プラグインの有無
• バックアップの作成日時と保存先
• 主要ページ、フォーム、ログインの動作
• サーバーや監視サービスからの警告

サイトの更新頻度や重要度に合わせて間隔を調整します。毎日注文が入るサイトと、月に一度だけ更新する案内サイトでは、必要な確認頻度が同じとは限りません。

大きな変更の前後に確認する

テーマ変更、プラグインの追加、サーバー移転、大型更新の前には、通常の定期確認とは別にバックアップを取ります。作業内容と戻し方を決め、完了後に主要機能を確認します。問題が起きたら変更を重ねず、直前の作業から切り分けます。

WordPressセキュリティの基本チェック

最後に、現在の状態を確認できるチェック項目をまとめます。できていない項目があっても、すぐに危険と決めつける必要はありません。影響が大きく、対応しやすい項目から順に改善します。

• WordPress本体・テーマ・プラグインが更新対象として把握されている
• 管理者は固有で十分な長さのパスワードを使っている
• 管理者メールも強い認証で守られている
• 可能なアカウントでは二段階認証を利用している
• 利用者ごとにアカウントがあり、必要最小限の権限になっている
• 不要なテーマ・プラグイン・ユーザーを放置していない
• テーマとプラグインの入手元や更新状況を確認している
• HTTPSで主要ページと管理画面を利用できる
• ファイルとデータベースのバックアップがある
• バックアップをサイトと別の場所にも保存している
• 更新失敗や不審な変更を確認する担当者が決まっている
• 異変時の連絡先と、変更前へ戻す方法が分かる

サーバー会社とサイト運営者の役割を分けて考える

レンタルサーバーを利用している場合、サーバー会社は設備、ネットワーク、サーバーソフトウェアなどを一定範囲で管理します。一方で、WordPressの管理者パスワード、追加したテーマやプラグイン、ユーザー権限、記事内の個人情報、日常の更新はサイト運営者側の管理になることが一般的です。どこまでがサービスに含まれるかは契約によって異なるため、思い込みではなく公式の仕様とサポート範囲を確認します。

サーバーの自動機能を確認する

無料SSL、自動バックアップ、不正通信の遮断、マルウェア検査、WAFなどが提供されている場合があります。機能名が同じでも、初期状態で有効か、どの範囲を守るか、検知時に通知されるか、利用者が復元できるかは異なります。機能を利用しているつもりでも無効だった、バックアップからの復元が有料だったということがないように、管理画面とマニュアルで確認します。

独自設定を追加する前に重複を調べる

サーバーのWAFとプラグインのファイアウォール、サーバーのキャッシュとプラグインのキャッシュなど、同じ目的の機能が重なることがあります。重複が直ちに危険とは限りませんが、不具合の原因を切り分けにくくなります。新しい機能を追加する前に、サーバー、CDN、テーマ、既存プラグインで提供済みかを確認します。

自動更新と手動更新をどう使い分けるか

更新を早く適用することは大切ですが、自動更新がすべてのサイトに同じように適しているわけではありません。更新後の影響が比較的小さいサイトでは自動更新が管理漏れを減らします。一方、予約、決済、会員、複雑なフォームなど停止の影響が大きい機能があるサイトでは、検証と確認の時間を確保した手動更新が向く場合があります。

自動更新を使うなら失敗に気づける状態にする

自動更新を有効にしただけで安心せず、完了や失敗の通知が届くメールアドレスを確認します。バックアップが更新前に取得されるか、更新後に主要ページを確認する担当者がいるかも決めます。通知先が退職者のメールや見ない共有アドレスになっていると、異常への対応が遅れます。

手動更新を選ぶなら先延ばしを防ぐ

手動更新は内容を確認できる一方で、担当者が忙しいと古い状態が続く弱点があります。週に一度、月に二度などサイトに合う確認日を決め、緊急性の高い更新は通常の予定を待たずに判断します。更新する人だけでなく、不在時に代わる人や相談先も決めておくと運用が止まりにくくなります。

保存する情報を必要以上に増やさない

守る情報が多いほど、管理する範囲も広がります。問い合わせフォームで不要な個人情報まで集める、古い応募データを目的なく残す、利用していない会員アカウントを放置するといった状態を避けます。法律や契約で必要な保存期間を確認し、目的を終えた情報を安全に整理する方針を決めます。

フォームの入力項目を見直す

氏名、住所、電話番号、生年月日などは、本当に対応に必要な場合だけ求めます。自由記入欄には機密情報を書かないよう案内し、送信内容をメールへそのまま長期間残す運用も見直します。問い合わせ通知に個人情報が含まれる場合は、受信するメールアカウントの権限と保護も重要です。

テストデータにも注意する

動作確認で実在する顧客情報をコピーすると、検証環境から漏れる可能性があります。テストでは架空の情報や必要部分を置き換えたデータを使い、検証環境にもアクセス制限を設けます。公開検索に出ない設定だけでは、アクセス制限の代わりになりません。

緊急時の連絡先と初動を準備する

異変が起きてから担当者や契約情報を探すと、対応が遅れます。サーバー会社、ドメイン管理会社、保守担当、制作会社、社内責任者の連絡先を、WordPressへログインできない状態でも確認できる場所に保管します。契約者名やサイトの識別情報もまとめますが、パスワードを平文の表へ記載しないようにします。

最初に残す情報を決める

異変を発見した時刻、表示されたメッセージ、影響しているURL、直前の更新や変更、届いた警告を記録します。可能なら画面を保存しますが、個人情報や認証情報が写っていないか注意します。この記録は、サーバー会社や専門家へ相談するときの手掛かりになります。

連絡と判断の順番を決める

閲覧者へ危険が及ぶ可能性がある場合、サイトを一時的に停止する判断が必要なこともあります。誰が停止を決めるか、顧客への案内が必要か、復旧後に何を確認するかをあらかじめ決めます。個人情報の漏えいが疑われる場合は、技術的な復旧だけでなく、法令や契約に沿った対応について適切な専門家へ相談します。

WordPressのセキュリティは基本の積み重ねが大切

WordPressのセキュリティ対策は、特別な機能を一つ追加することではありません。更新を続け、ログイン情報を守り、権限を絞り、信頼できる拡張機能だけを使い、バックアップと確認を習慣にすることが土台です。これらは地味ですが、多くのリスクに共通して役立ちます。

最初は、更新状況、管理者パスワード、二段階認証、不要なユーザーやプラグイン、バックアップ保存先を確認してください。その後、サイトの機能や扱う情報に合わせてログ監視やサーバー側の防御を検討します。分からない設定を無理に変更せず、公式資料やサーバー会社の案内を確認し、影響が大きい作業は専門家へ相談することも安全な判断です。