WordPressのセキュリティ対策｜今日からできる10のこと

WordPressのセキュリティ対策は、調べれば調べるほど専門的な情報が出てきて、どこから手をつければいいのか分からなくなりがちです。

しかし実際のところ、侵入の大半は限られたパターンで起きています。高度な攻撃を心配する前に、基本的な穴を塞ぐだけでリスクは大きく下がります。

この記事では、優先度の高い順に10の対策を整理しました。上から順に進めれば、専門知識がなくても実用的な水準に到達できます。

対策1：WordPress本体・テーマ・プラグインを更新する

これが最も重要です。他の9個を全部やっても、これを怠れば意味がありません。

プログラムの弱点が見つかると修正版が公開されますが、「弱点が見つかった」という情報も同時に公開されます。更新していないサイトは、弱点の場所が知られたまま放置されている状態です。

更新が怖いという方は、プラグインの更新は危険？安全にアップデートする手順をご覧ください。壊れても戻せる状態を作る手順を解説しています。

対策2：使っていないプラグイン・テーマを削除する

「停止」ではなく「削除」してください。停止中でもファイルはサーバーに残っており、古いままだと侵入経路になり得ます。

「いつか使うかもしれない」というプラグインは、必要になったときに入れ直せば十分です。数を減らすほど、更新作業も軽くなります。

対策3：推測されにくいパスワードにする

記号を混ぜることより、文字数を長くすることの方が効果があります。WordPressのユーザー編集画面には自動生成ボタンがあるので、それを使うのが確実です。

そして他のサービスと同じパスワードを使わないこと。どこか1か所から漏れた情報は、そのまま他のサイトで試されます。

対策4：不要なユーザーアカウントを削除する

管理画面の「ユーザー」を開いてください。制作時の作業用アカウント、退職者のアカウントが残っていませんか。

使われていないアカウントは、誰も見ていないアカウントです。不正利用されても気づけません。記事の引き継ぎ設定ができるので、削除しても内容は失われません。

対策5：ログイン試行の回数を制限する

パスワードを機械的に試し続ける攻撃は、大量に試せることが前提です。「5回間違えたら15分ロック」という制限をかけるだけで成立しなくなります。

多くのレンタルサーバーに標準機能として用意されています。プラグインを増やす前に、サーバーの管理画面を確認してください。

ログイン画面まわりの対策はログイン画面に不正アクセス？今すぐやるべきセキュリティ対策で詳しく扱っています。

対策6：バックアップを取り、外部にも保管する

厳密には「守る」対策ではありませんが、最後の砦です。侵入を防げなかった場合、これがあるかないかで結果がまったく変わります。

重要なのは複数世代を残すこととサーバー以外の場所にも保管することです。改ざんは気づくのが遅れるため、最新の1件だけだとすでに汚染されている可能性があります。

詳しくはバックアップ完全ガイドをご覧ください。

対策7：SSL証明書を有効に保つ

通信を暗号化する仕組みですが、有効期限があります。自動更新の設定が静かに失敗していることがあり、ある日突然「保護されていない通信」と表示されます。

月に一度、残り日数を確認する習慣をつけてください。対処法はSSL証明書の期限切れで警告が出た時の対処法にまとめています。

対策8：投稿者名からログインIDを推測されないようにする

WordPressは初期設定のままだと、記事の投稿者名からログインIDが分かってしまうことがあります。攻撃者にとっては、当てるべき組み合わせが半分になります。

ユーザー編集画面の「ブログ上の表示名」を、ログインIDとは別の名前に変更してください。数分で終わり、効果があります。

対策9：WordPressのバージョン情報を隠す

初期状態では、ページのソースにWordPressのバージョン番号が出力されています。古いバージョンを使っていることが外から分かる状態です。

SEOプラグインの設定や、テーマの機能で非表示にできます。ただしこれは補助的な対策です。バージョンを隠しても、古いままなら危険であることに変わりはありません。対策1が本質です。

対策10：定期的に状態を確認する

最後は、対策そのものではなく習慣です。

改ざんは派手に壊れるのではなく、静かに進行します。見た目が正常でも、裏で別のページが作られていることがあります。月に一度、次の点を確認してください。

• Googleで site:自分のドメイン と検索し、見覚えのないページがないか
• ユーザー一覧に知らないアカウントが増えていないか
• 問い合わせフォームからメールが届くか

確認方法の詳細は改ざんされた？今すぐ確認すべき5つのサインで解説しています。

やりすぎに注意したいこと

セキュリティ対策は、やればやるほど良いというものではありません。過剰な設定はかえって運用を難しくします。

セキュリティプラグインの入れすぎ

同じ機能を持つプラグインを複数入れると、互いに干渉して正常なアクセスまでブロックすることがあります。自分がログインできなくなる事故も起こります。

セキュリティ系は1つに絞ってください。多くのレンタルサーバーには標準の対策機能があるので、まずはそちらで足りるか確認するのが賢明です。

自分が入れなくなる設定

ログインURLの変更や二段階認証は有効な対策ですが、控えを残していないと自分が締め出されます。

実際によくあるのが、スマートフォンを機種変更して認証アプリを移行し忘れるケースです。復旧にはサーバー側での作業が必要になり、手間がかかります。設定を変えたら必ず控えを残してください。

対策1を飛ばして他をやること

これが最も多い失敗です。更新を止めたまま、細かい設定だけを固めても効果は限定的です。玄関を開けたまま窓に鍵をかけているようなものです。

優先順位の考え方

10個すべてを一度にやる必要はありません。効果とかかる手間で整理すると、次のようになります。

優先度	対策	所要時間
最優先	1. 更新する	月30〜60分
最優先	6. バックアップ	初回30分
高	3. パスワード変更	5分
高	4. 不要アカウント削除	5分
中	2. 不要プラグイン削除	15分
中	5. ログイン制限	10分
中	7. SSL確認	月5分
低	8〜9. 情報の秘匿	各10分

※3・4は今日中に終わる作業です。まずここからでも構いません。

万が一、侵入されてしまったら

対策をしていても、絶対に防げるとは限りません。侵入された場合の初動も知っておいてください。判断を誤ると被害が広がります。

1. サイトを一時的に非公開にする……訪問者への二次被害を止めることが最優先です
2. 現状のままバックアップを取る……汚染された状態でも、原因調査の資料として必要です
3. すべてのパスワードを変更する……WordPress・サーバー・データベースの3つすべてです
4. 専門業者かサーバー会社に相談する

ここでやってはいけないのが、慌てて怪しいファイルを削除することです。侵入経路が残ったままだと数日で元通りになり、原因を突き止める手がかりも失われます。

正直なところ、改ざんからの完全な復旧を自力で行うのは簡単ではありません。再侵入用の裏口は複数箇所に仕掛けられるのが一般的で、1つ消しても残りから戻ってきます。この段階では専門家に頼るのが結果的に早く、安く済みます。

まとめ

セキュリティ対策と聞くと構えてしまいますが、実際にやることは地味な積み重ねです。特別な知識より、続けられる仕組みの方が効きます。

今日できることから始めてください。パスワードの変更と不要アカウントの削除だけなら、10分で終わります。それだけでもリスクは確実に下がります。

これらを継続する時間が取れない場合の選択肢については、WordPressの保守とは？で整理しています。