WordPressのセキュリティ対策7選｜改ざんを防ぐ設定とプラグインの選び方
WordPressのセキュリティ対策は、本体・テーマ・プラグインの更新、管理者アカウントの保護、バックアップを基本に、サーバー側の防御と継続的な監視を組み合わせて進めます。セキュリティプラグインを入れたり、ログインURLを変更したりするだけで、すべてのリスクに対応できるわけではありません。
「何から始めればよいか分からない」「今の設定で十分なのか不安」という企業サイトの担当者向けに、優先して確認したい項目と7つの対策、具体的な進め方、プラグインの選び方を解説します。改ざんやウイルス・マルウェア感染を防ぐために、現在のサイトと照らし合わせて確認してください。
WordPressのセキュリティ対策は何から始める？優先して確認したいこと
まず、更新状況・管理者アカウント・バックアップの3点を確認しましょう。既知の脆弱性を放置しないこと、不正ログインを防ぐこと、問題が起きても復旧できることが、対策の土台になります。
| 確認する項目 | 確認すること | 不足している場合の対応 |
|---|---|---|
| 更新状況 | 本体・テーマ・プラグインに未適用の更新や、利用中の製品に関する脆弱性情報がないか | バックアップを確保し、修正内容・互換性を確認して更新する |
| 管理者アカウント | 強固で使い回していないパスワード、二要素認証、不要な管理者の有無 | 認証を強化し、不要なアカウントや過剰な権限を見直す |
| バックアップ | ファイルとデータベースが保存され、復元方法が分かるか | 更新や設定変更の前に取得し、保存先と復元手順を確認する |
| サーバー側の防御 | WAF・HTTPS・PHPなどのサポート状況 | サーバーの提供機能と現在の設定を確認する |
| 監視・対応体制 | 異常や更新失敗の通知を受け取り、対応する担当者がいるか | 通知先・確認担当・緊急時の連絡先を決める |
更新作業や設定変更を始める前に、バックアップを確保してください。ただし、すでに不審な転送や身に覚えのないページなどがある場合は、通常の更新作業より、被害の確認と拡大防止を優先します。被害が疑われる場合の対応は、この記事の後半で説明します。
WordPressにセキュリティ対策が必要な理由
小規模なサイトも攻撃の対象になる
「アクセスが少ないから狙われない」とは限りません。公開サイトには、ログインを繰り返したり、既知の脆弱性があるプラグインを探したりする自動化された攻撃もあります。企業規模やサイトの知名度だけで、安全性を判断することはできません。
WordPressを使っていることだけで危険と決まるわけではありません。どのテーマ・プラグインを使い、更新・認証・サーバー管理をどのように続けているかによって、リスクは変わります。
改ざん・情報漏えい・サイト停止が事業に影響する
- ページに不正なリンクや広告を挿入され、訪問者が被害を受ける
- 別のサイトへ転送されたり、不審なページが検索結果に表示されたりする
- 管理者権限を奪われ、サイトを編集・管理できなくなる
- サイト内に保存した個人情報などへ不正にアクセスされる
- サイトが停止し、問い合わせやサービス案内の機会を失う
セキュリティ対策では、侵入を防ぐことに加え、異常を早く見つけ、被害を抑えて復旧できる状態を整えることも大切です。最新の脆弱性や攻撃手口は、WordPress脆弱性一覧と攻撃手口の解説も参考にしてください。
WordPressで実施したい7つの基本セキュリティ対策
1. WordPress本体・テーマ・プラグインを更新する
古いバージョンに既知の脆弱性が残っていると、認証設定を強化していても、その脆弱性から侵入される可能性があります。WordPress本体だけでなく、利用中のテーマとプラグインも更新対象として管理しましょう。
管理画面の「ダッシュボード」→「更新」で更新状況を確認できます。作業は次の流れで進めます。
- サイトのファイルとデータベースをバックアップし、復元方法を確認する
- 更新内容・対応バージョン・既知の不具合を確認する
- 可能であれば検証環境で、現在のテーマ・プラグインとの互換性を確かめる
- 本番環境へ反映し、サイト表示・ログイン・問い合わせフォームなどを確認する
重大な脆弱性の修正は、通常の更新予定まで放置せず、影響を確認して速やかに対応します。更新できない製品がある場合は、その理由を調べ、代替製品への移行や利用停止を検討してください。
自動更新も有効ですが、有効にしただけで管理が完了するわけではありません。更新通知や失敗通知を確認し、更新後の動作に問題がないかを点検する担当者を決めておきましょう。
2. 不要なプラグイン・テーマを整理し、信頼できる配布元を使う
使っていないプラグインやテーマは、必要性を確認したうえで削除します。停止していてもファイルは残るため、更新や脆弱性の管理対象として扱う必要があります。無効化されているものを放置せず、サイトに必要な構成へ整理しましょう。
- 管理画面のプラグイン一覧で、利用目的と現在の使用状況を確認する
- テーマは使用中の親テーマ・子テーマなど、必要なものを残す
- 更新が止まっている製品や、開発元が不明な製品の利用を見直す
- 新しく導入する場合は、WordPress公式ディレクトリや信頼できる開発元から入手する
削除前には、フォーム、アクセス解析、SEO設定などで使われていないか確認してください。担当者が用途を把握していないプラグインを、見た目だけで不要と判断すると、サイトの機能が失われる場合があります。
3. 強固なパスワード・二要素認証・適切な権限でログインを守る
管理者アカウントは、長く推測されにくい、他のサービスと使い回していないパスワードで保護します。WordPressのパスワード生成機能やパスワード管理ツールを活用し、複数人で同じアカウントを共有する運用は見直しましょう。
- 管理者ごとにアカウントを発行し、作業内容に必要な権限だけを付与する
- 対応するプラグインなどで二要素認証を設定し、認証アプリ等を組み合わせる
- 退職者や契約終了した外部担当者など、不要なアカウントを整理する
- ログイン試行回数の制限や、不審なログインの通知を設定する
- サーバー管理画面など、WordPress以外の管理アカウントも保護する
ログインURLの変更や、推測されやすいユーザー名の見直しは補助的な対策です。URLを変えても、脆弱性や漏えいした認証情報への対策にはなりません。パスワード・二要素認証・権限管理と組み合わせてください。二要素認証の設定時には、端末を紛失した場合の復旧方法も確認します。
4. WAF・HTTPS・サーバー側の保護を確認する
WordPressの管理画面で設定できる対策だけでは、サーバー側のリスクには対応しきれません。契約しているサーバーの提供機能と、管理責任の範囲を確認しましょう。
- WAF：サーバーやCDNが提供するWeb攻撃の検知・遮断機能について、有効化の状況を確認する
- HTTPS：サイトと管理画面で通信が暗号化され、証明書が有効であることを確認する
- PHPなどの実行環境：サポート対象のバージョンを使用し、必要な更新を確認する
- アクセス制限：管理画面へ接続する場所を絞れる場合は、IPアドレス制限などを検討する
- ファイル権限：必要以上の書き込み権限や、公開不要の設定・テスト用ファイルがないか確認する
HTTPSは通信の保護、WAFは攻撃の検知・遮断が目的で、役割が異なります。どちらもソフトウェアの脆弱性修正に代わるものではありません。PHPやアクセス制限の変更はサイトに影響することがあるため、互換性と設定方法を確認して進めてください。
WAFを有効にした後は、ログイン・問い合わせフォーム・予約・購入など、利用中の機能を確認します。正常な操作が遮断される場合は、原因を調べて必要な範囲を調整し、問題を解消しないまま防御機能を無効化して放置しないようにしましょう。
5. ファイルとデータベースをバックアップし、復元できることを確認する
バックアップは侵入そのものを防ぐ対策ではなく、改ざん・障害・更新失敗に備える対策です。WordPressのファイルとデータベースの両方を保存し、画像だけ、記事データだけのように復元に必要な情報が欠けていないか確認してください。
- サイトの更新頻度や、失って困るデータ量に合わせて取得頻度を決める
- 複数時点のバックアップを残し、過去の状態へ戻れるようにする
- 同じサーバー内だけに頼らず、別の保存先への保管も検討する
- バックアップの失敗通知、保存期間、保存先のアクセス権を確認する
- 検証環境などで復元し、表示・ログイン・主要機能を確かめる
レンタルサーバーの自動バックアップを使う場合も、何が保存され、何日前まで戻せるか、復元の方法や費用を確認しましょう。侵害後に取得したバックアップには不正なファイルが含まれる可能性があるため、被害時には戻す時点と内容の確認が必要です。
6. 改ざん・不正ログイン・更新失敗を監視する
更新や設定を行った後も、異常に気づける仕組みが必要です。セキュリティプラグインやサーバーの機能を使い、ログイン失敗、不審なファイル変更、更新・バックアップの失敗などを確認できるようにします。
通知先のメールアドレスが使われているか、警告を誰が確認するかも決めましょう。通知を受け取っていても、対応する担当者がいなければ問題が放置されます。サイトが表示されていることを確認する死活監視と、不正な変更を調べる改ざん検知は、目的が異なる点にも注意してください。
管理画面の「ツール」→「サイトヘルス」は設定上の問題を確認する手がかりになりますが、マルウェアがないことや、すべての脆弱性が解消されたことを保証する機能ではありません。ログやスキャン結果など、複数の情報を合わせて確認します。
7. 更新・点検・緊急対応を続ける担当者と手順を決める
企業サイトでは、対策を一度設定するだけでなく、担当者が変わっても続けられる運用が必要です。少なくとも次の役割を明確にしましょう。
- 本体・テーマ・プラグインの更新情報と脆弱性情報を確認する人
- 更新作業、動作確認、バックアップ確認を行う人
- 異常通知を受け取り、対応の判断や連絡を行う人
- サーバー契約・管理アカウント・復元手順を管理する人
社内だけで対応するのが難しい場合は、制作会社や保守サービスへの委託も選択肢です。委託先には、更新後の確認、バックアップと復元、監視、緊急対応の範囲を確認してください。WordPress保守の対応範囲と料金の考え方も、依頼内容を整理する際に役立ちます。
WordPressのセキュリティプラグインは必要？選び方と注意点
プラグインは、足りない防御機能を補うために選ぶ
専用のセキュリティプラグインがすべてのサイトで必須というわけではありません。サーバー側で提供されている機能と現在の設定を確認し、不足しているログイン保護・検知・通知などを補う目的で選ぶことが大切です。
次の3つは、必要な機能を比較する際の候補です。どれが最適かは、サイト構成と運用体制によって異なります。
| プラグイン | 主な機能・用途 | 選ぶ際の確認点 |
|---|---|---|
| SiteGuard WP Plugin | ログインページの変更、画像認証、ログインロック、ログイン通知など | ログイン保護を補いたい場合の候補。WAFチューニングサポートは、WAF本体の提供とは異なる |
| Wordfence Security | ファイアウォール、マルウェアスキャン、ログイン保護、二要素認証など | 防御と検知をまとめて検討する場合の候補。無料版・有料版でルールや検知情報の更新条件などが異なる |
| All-In-One Security（AIOS） | ログイン保護、二要素認証、ファイアウォール、ファイル変更の通知など | 設定の目的とサイトへの影響を理解して使う。マルウェアスキャンなど、有料版側の機能も確認する |
機能や提供条件は変更されるため、導入前に公式情報で現在の仕様・対応環境を確認してください。利用者数や評価だけでなく、開発元、更新履歴、互換性、通知の分かりやすさ、サイトへの負荷も比較します。
複数のプラグインやサーバー機能との重複を確認する
セキュリティプラグインを増やせば、その分安全になるとは限りません。ログインURLの変更、アクセス制限、画像認証などが重複すると、正規のログインやフォーム送信に支障が出る場合があります。
既存機能との役割分担を確認し、設定は一つずつ有効にして、ログイン・フォーム・サイト表示を確かめましょう。REST APIやXML-RPCの制限などは、編集画面や外部連携に影響することがあるため、利用状況を確認せず一律に遮断しないことが大切です。
プラグインを入れても、更新・バックアップ・運用管理は必要
セキュリティプラグインは、防御や検知を補う手段です。脆弱性がある製品の更新、サーバー管理、管理者の権限整理、バックアップからの復元、警告への対応は別途必要になります。スキャンで問題が見つからないことも、安全性の保証ではありません。
対策後も続けたいセキュリティ点検チェックリスト
次の項目を、初期設定後と定期点検時に確認してください。点検頻度はサイトの重要度や更新状況に合わせて決め、重大な脆弱性の情報や異常通知があった場合は、定期点検を待たずに対応します。
- 本体・テーマ・プラグインの更新状況を確認している
- 不要なプラグイン・テーマ・管理者アカウントを整理している
- 管理者が固有の強固なパスワードを使い、二要素認証を設定している
- WAF・HTTPS・PHPなどの設定とサポート状況を確認している
- ファイルとデータベースのバックアップが正常に取得されている
- 保存期間・保存先・復元手順が分かり、復元テストを行っている
- 不正ログイン・改ざん・更新失敗などの通知を確認している
- 担当者と緊急時の連絡先が決まっている
現状を確認する手がかりとして、WordPress専用の無料セキュリティ診断ツールも利用できます。ただし、外部からの診断だけで、サイト内部を含むすべての問題を確認できるわけではありません。管理画面やサーバー側の点検と合わせて活用してください。
改ざんやマルウェア感染が疑われたら、通常の対策とは分けて対応する
知らないサイトへ転送される、検索結果に不審なページが出る、見覚えのない管理者がいるなどの異常は、侵害の兆候になり得ます。被害が疑われる場合は、更新やプラグインの追加だけで解決しようとせず、状況の確認と被害の拡大防止を優先してください。
- 異常が起きた日時・URL・症状を記録し、サーバー会社や保守担当者へ連絡する
- 調査に必要なログやファイルを保全し、不用意な削除・初期化を避ける
- 訪問者への被害を防ぐため、必要に応じてサイトの公開制限などを担当者と検討する
- 不正なファイルや侵入経路を調査し、安全性を確認したデータからの復旧と再発防止を進める
見た目だけ直っても、不正なファイルや侵入経路が残っている場合があります。対応に不安がある方は、WordPressのハッキング・改ざん復旧サービスをご確認ください。別サイトへの転送が起きていた場合の再発防止は、リダイレクトハッキングの再発防止対策で詳しく解説しています。
WordPressのセキュリティ対策でよくある質問
WordPressはセキュリティに弱いのですか？
WordPressを使うだけで危険と決まるわけではありません。本体・テーマ・プラグインの脆弱性、認証設定、サーバー環境、保守体制などによってリスクが変わります。更新とアクセス管理を続け、異常の検知と復旧の仕組みを整えることが重要です。
無料でできるセキュリティ対策はありますか？
更新状況の確認、不要なプラグインの整理、パスワードや権限の見直しなどは、管理画面から始められます。無料プラグインや契約中のサーバー機能で対応できる項目もありますが、必要な機能と運用負担を確認して選んでください。無料の機能だけで十分かは、サイトの用途や求める管理水準によって異なります。
ログインURLを変更すれば安全になりますか？
ログインURLの変更は補助策です。脆弱性の悪用や認証情報の漏えいまで防げるわけではないため、更新、強固なパスワード、二要素認証、ログイン試行制限などと組み合わせます。変更時には新しいURLの管理と、他のプラグインとの競合確認も必要です。
バックアップがあれば、改ざんされてもすぐ元に戻せますか？
復旧できるかは、保存内容、保存時点、復元手順、侵害の状況によって変わります。不正なファイルを含むバックアップを戻したり、侵入経路を残したまま公開したりすると、再発する可能性があります。平時の復元テストに加え、被害時には調査と再発防止が必要です。
まとめ：基本対策と継続管理でWordPressのリスクを減らす
WordPressのセキュリティ対策は、更新・ログイン保護・バックアップを土台に、不要な構成の整理、サーバー側の防御、監視、対応体制を組み合わせて進めます。まず現在の状態を確認し、不足している項目から着手しましょう。
社内に専門担当者がいない、更新や警告への対応が後回しになる場合は、WP KEEPERのWordPress保守サービスをご確認ください。自社で行う作業と外部へ任せる作業を整理し、対策を続けられる体制を整えることが大切です。
参考資料
- WordPress公式：セキュリティ強化ガイド
- WordPress公式：更新手順
- SiteGuard WP Plugin：公式プラグイン情報
- Wordfence Security：公式プラグイン情報
- All-In-One Security（AIOS）：公式プラグイン情報
WordPressの脆弱性対策、プロに相談しませんか？
「自分のサイトは大丈夫？」と不安な方は無料診断を。
すでにトラブルが発生している方は、最短即日の復旧サービスをご利用ください。
更新管理・バックアップ・監視・技術相談まで対応。WordPressサイトの安定運用を継続的にサポートします。
- 24時間365日監視
- 自動バックアップ
- セキュリティ対策
- 技術相談サポート
専門家がサイトの脆弱性や設定状況をチェック。今すぐできる対策をレポートでご提案します。
不正改ざんやマルウェア感染などの緊急事態に迅速対応します。
まずは無料セキュリティ診断で状態をチェック
WordPress脆弱性診断ツール（無料）を使えば、脆弱性や設定不備を手軽に確認できます。「自分のサイトが今どれだけ安全か」を把握することが、安心運用の第一歩です。
WordPress脆弱性診断（無料）既にトラブルが起きているならすぐに修正・復旧を
ハッキング・改ざん・ログイン不可など、深刻なトラブルは放置すると被害が拡大します。WordPressのハッキング・改ざん復旧サービスなら、最短1時間で復旧対応。早期対応で、信頼やビジネスの損失を防ぎます。
WordPressのハッキング・改ざん復旧専門家による保守で安心のサイト運用を
復旧だけで安心するのは危険です。今後の被害を防ぐためには継続的な対策が欠かせません。定期監視・アップデート・バックアップを一括で任せられる継続的なWordPress保守サービスで、長期的に安全な運用を実現しましょう。
WordPress保守サービス専門家による比較記事もご参照ください
WordPress専門家が厳選した、他社サービスとの比較情報を合わせてご覧いただけます。
WordPress保守サービスのおすすめ7選と料金相場を比較する
緊急時に頼れるWordPress復旧サービスのおすすめ7選を比較する
この記事の執筆者
2010年、ソフトウェア開発会社に入社。業務用クラウドサービスの開発に従事し、自社プロダクトの構築や、ユーザー向けデモンストレーションなどを幅広く担当。2012年に退社後、海外での中期滞在を経て、2013年よりフリーランスとしてWeb制作業を開始。2017年、株式会社KOP（ケーオーピー）を設立し、代表取締役に就任。Webクリエイターとしての実務経験を土台に、現在はディレクター／Webコンサルタントとしても活動中。中小企業のWeb戦略に強みを持つ。
