WordPressは世界中で利用されているため、機械的なログイン試行や脆弱性を狙ったアクセスの対象になりやすいCMSです。ただし、特別な知識がなければ守れないわけではありません。大切なのは、ひとつの設定に頼るのではなく、更新・バックアップ・認証・権限管理・監視と復旧を組み合わせることです。
この記事では、WordPressサイトの制作時と公開後に確認しておきたいセキュリティ対策を、優先度の高い順にまとめます。自社サイトはもちろん、クライアントサイトの納品前チェックにも使える内容です。
もくじ
WordPressのセキュリティ対策で最初に押さえたいこと
セキュリティ対策の目的は「絶対に侵入されないサイト」を作ることではありません。侵入や障害の可能性を下げ、問題が起きたときの影響を小さくし、早く復旧できる状態を作ることです。
- 脆弱性を残さない
- 不正ログインを難しくする
- 侵入後にできる操作を限定する
- 異常を早く発見する
- 正常な状態へ戻せるようにする
この考え方で対策を重ねると、ひとつの防御が突破されても、次の防御で被害を抑えられます。
WordPressのセキュリティ対策15選
1. WordPress本体を最新版に保つ
WordPress本体の更新には、機能追加だけでなくセキュリティ修正も含まれます。管理画面の「ダッシュボード → 更新」を定期的に確認し、古いバージョンを放置しないようにします。
自動更新を利用する場合も、更新後に表示崩れやフォーム送信を確認できる運用を決めておきましょう。本番サイトを更新する前に、バックアップまたは検証環境を用意しておくと安心です。
2. プラグインとテーマも更新する
WordPress本体だけが最新でも、プラグインやテーマに既知の脆弱性が残っていれば攻撃経路になります。更新通知を確認し、互換性を確かめたうえで早めに更新します。
3. 使っていないプラグインとテーマを削除する
停止中のプラグインもサーバー上にはファイルが残ります。「いつか使うかも」という理由で残さず、不要なら削除しましょう。テーマは利用中のものと、必要に応じて標準テーマをひとつ残す程度に整理します。
4. 信頼できる配布元から導入する
プラグインやテーマは、WordPress公式ディレクトリや正規販売元から入手します。最終更新日、対応バージョン、利用者数、サポート状況を確認し、長期間更新されていないものは代替を検討してください。出所が不明な改変版や無断配布版は使用しません。
5. 定期バックアップと復元テストを行う
バックアップは、ファイルとデータベースの両方が必要です。サーバー内だけではなく、外部ストレージにも保存し、世代管理を行います。
- データベース：投稿、固定ページ、設定、フォームデータなど
- ファイル：テーマ、プラグイン、アップロード画像、設定ファイルなど
- 復元手順：担当者、保存場所、戻し方、所要時間
バックアップが存在していても、復元できなければ意味がありません。定期的にテスト環境で復元し、使えるデータか確認しましょう。
6. 強くて使い回さないパスワードを設定する
管理者アカウント、レンタルサーバー、FTP／SFTP、ドメイン、データベース、バックアップ先には、それぞれ異なるパスワードを設定します。長く複雑なパスワードをパスワードマネージャーで生成・保管する方法が現実的です。
7. 管理者全員に二要素認証を導入する
パスワードが漏れても、それだけではログインできない状態を作ります。まずは管理者と編集者に二要素認証を必須化し、利用環境が対応していればパスキーも検討します。復旧コードは管理画面と別の安全な場所に保管してください。
8. ログイン試行を制限する
総当たり攻撃への対策として、短時間の連続ログインを制限します。レンタルサーバーのWAFやログイン保護機能、信頼できるセキュリティプラグインを利用し、必要に応じてCloudflare Turnstileなどのボット対策を追加します。
ログインURLの変更だけでは、認証情報の漏えいや脆弱性への対策にはなりません。URL変更は補助策と考え、二要素認証や試行制限を優先してください。
9. ユーザー権限を必要最小限にする
記事を投稿するだけの担当者に管理者権限は必要ありません。管理者、編集者、投稿者などの役割を作業内容に合わせて割り当てます。退職者や制作会社の一時アカウントは、作業終了後に削除または無効化します。
10. 初期ユーザー名「admin」を避ける
推測されやすいユーザー名は、攻撃者が試す情報をひとつ減らせません。新規構築時は「admin」を避け、表示名からログイン名が簡単に分からないようにします。ただし、ユーザー名を隠すことだけに頼らず、強いパスワードと二要素認証を併用します。
11. HTTPSを有効にする
HTTPSは、閲覧者とサーバー間の通信を暗号化します。サイト全体をHTTPS化し、HTTPからHTTPSへリダイレクトします。管理画面だけでなく、ログインページやフォームを含むすべてのページで鍵マークが表示されるか確認しましょう。
12. 外部連携にはアプリケーションパスワードを使う
REST APIなどで外部ツールとWordPressを連携するときは、普段のログインパスワードを共有せず、連携ごとにアプリケーションパスワードを発行します。不要になった連携だけを個別に取り消せるため、影響範囲を限定できます。
13. XML-RPCは必要性を確認する
XML-RPCは外部アプリや一部サービスとの連携に使われますが、利用していないサイトでは攻撃対象を増やすことがあります。連携機能を確認したうえで、不要ならサーバーやセキュリティ機能で制限します。Jetpackやスマートフォンアプリなどを使っている場合は、無条件に停止しないでください。
14. ファイル権限と管理経路を見直す
ファイルやディレクトリに必要以上の書き込み権限を与えず、安易に「777」へ変更しないようにします。サーバーの仕様によって適切な所有者や権限が異なるため、レンタルサーバーの案内に従ってください。
ファイル転送には可能ならSFTPを利用し、共有アカウントを避けます。WordPressだけでなく、サーバー管理画面とドメイン管理アカウントにも二要素認証を設定しましょう。
15. ログ監視と復旧手順を準備する
ログイン履歴、ファイル変更、エラー増加、見覚えのない管理者追加などを定期的に確認します。セキュリティ通知を受け取るメールアドレスが現在も使えるかも確認してください。
異常が起きたときの連絡先と復旧手順を文書化しておくと、慌てて証拠や正常なバックアップを消してしまうリスクを減らせます。
公開前・納品前のセキュリティチェックリスト
- WordPress本体、プラグイン、テーマが最新版になっている
- 不要なプラグイン、テーマ、ユーザーを削除した
- 管理者のパスワードを使い回していない
- 管理者と編集者に二要素認証を設定した
- HTTPSで統一され、混在コンテンツがない
- ログイン試行制限またはWAFが有効になっている
- ファイルとデータベースの自動バックアップがある
- バックアップの保存先と保持期間を確認した
- テスト環境で復元できることを確認した
- サーバー、ドメイン、SFTPの不要なアカウントを削除した
- 管理者メールアドレスと通知先が正しい
- 障害時の担当者、連絡先、復旧手順を共有した
過信しない方がよいセキュリティ対策
ログインURLの変更、WordPressのバージョン非表示、データベース接頭辞の変更、サブディレクトリへの設置などは、情報を見つけにくくする補助策にはなります。しかし、更新されていないプラグイン、漏えいしたパスワード、不十分な権限管理を解決するものではありません。
設定を複雑にしすぎると、更新や復旧が難しくなったり、フォームや管理画面の機能を壊したりすることもあります。まずは本記事の15項目を優先し、追加対策はサイトの用途やリスクに合わせて選びましょう。
改ざんや不正ログインが疑われるときの初動
- 管理画面だけで直そうとせず、レンタルサーバーのサポートへ連絡する
- アクセスログやエラーログを保存する
- 別の安全な端末からサーバー、WordPress、ドメインなどの認証情報を変更する
- 見覚えのないユーザー、ファイル、予約投稿、転送設定を確認する
- 正常なバックアップから復元し、侵入経路になった脆弱性を修正する
- 復旧後もログと検索結果を継続して確認する
感染した可能性がある状態でバックアップを上書きしたり、原因を確認せず公開へ戻したりしないことが重要です。個人情報や決済情報を扱うサイトでは、専門家への相談や関係者への報告も検討してください。
まとめ
WordPressのセキュリティは、一度設定すれば終わりではありません。更新、バックアップ、強い認証、最小権限、監視と復旧を日々の運用に組み込むことで、侵入の可能性と被害を小さくできます。
最初から15項目すべてが難しい場合は、まず「更新」「外部保存されたバックアップ」「管理者の二要素認証」の3つから始めてください。そのうえで公開前チェックリストを制作フローへ追加すると、サイトごとの対策漏れを減らせます。
