WordPressのセキュリティ対策は、難しい設定を一度入れて終わりではありません。まず優先すべきなのは、WordPress本体・テーマ・プラグインを更新し、問題が起きても安全に復旧できる状態を作ることです。
自分のブログを守るためしっかり対策しましょう。
覚えておきたいセキュリティー対策の基本
- ワードプレス、テーマ、プラグインは最新版を使用する
- 不要なプラグイン、よくわからないプラグインは入れない
この記事では、個人ブログや小規模サイトの運営者が、何から進めればよいかを優先順で解説します。すべてを一日で設定しようとせず、まずはバックアップと更新から始めましょう。
じっくり読んで対策してみてください。
WordPressセキュリティ対策：まず確認する5項目
| 優先 | 対策 | 確認すること |
|---|---|---|
| 1 | バックアップ | データベースとファイルの両方があり、復元方法を確認済みか |
| 2 | 更新 | WordPress本体、使用中テーマ、使用中プラグインに未更新がないか |
| 3 | 管理者アカウント | 強固で固有のパスワード、2段階認証、不要な管理者の削除 |
| 4 | 不要な機能の削除 | 使っていないテーマ・プラグインを停止だけでなく削除しているか |
| 5 | 監視と復旧 | 異常に気づく方法と、連絡・復旧の手順が決まっているか |
新しいセキュリティプラグインを追加する前に、この5項目を埋める方が、攻撃の入口と復旧不能になるリスクを減らしやすくなります。
1. バックアップは「取る」だけでなく「戻せる」状態にする
WordPressのバックアップには、記事・コメント・設定などが入るデータベースと、画像・テーマ・プラグインなどのファイルの両方が必要です。片方だけでは、元のサイトへ完全には戻せません。
最低限、次を決めておきます。
- バックアップを取る頻度
- 保存先（サイトと同じサーバーだけに置かない）
- 何世代残すか
- 復元手順を確認した日
自動バックアップを使う場合も、復元できるかを一度確認してください。更新前には直近のバックアップがある状態にします。WordPress公式も、本体とデータベースを含む定期的なバックアップと復旧計画を推奨しています。
2. WordPress本体・テーマ・プラグインを更新する
古いバージョンには、公開済みの脆弱性情報を悪用する攻撃が向けられる可能性があります。管理画面の ダッシュボード → 更新 を定期的に確認し、次を更新対象として管理します。
- WordPress本体
- 有効化しているテーマ
- 有効化しているプラグイン
- 必要に応じて、サーバー側で管理するPHPなどの実行環境
更新は、バックアップを確認してから行います。重要なサイトやカスタマイズの多いサイトでは、可能なら本番と別の環境で先に動作を確認しましょう。
自動更新は「復旧できること」を確認してから使う
プラグインとテーマには自動更新の設定があります。更新の遅れを減らせる一方、まれに表示や機能へ影響することもあります。自動更新を有効にする前に、バックアップ、復元方法、更新失敗時の通知先を確認します。
3. 管理者アカウントを守る
強固で使い回さないパスワードにする
管理者、編集者、ホスティング、メール、ドメイン管理を同じパスワードにしないでください。パスワードマネージャーで長くランダムなパスワードを作り、共有が必要な場合も平文で送らない運用にします。
管理者には2段階認証を追加する
WordPress公式のハードニングガイドでは、強力なパスワードに加え、2段階認証を追加の対策として案内しています。WordPress本体には2段階認証が標準搭載されていないため、信頼できる拡張機能、ホスティング会社、または組織のID基盤で提供される方法を検討します。
設定したら、復旧コードの保管先と、スマートフォンを失った場合の復旧手順も確認してください。
権限は必要最小限にする
管理者権限は、必要な人だけに付与します。外部の制作者や投稿者に依頼するときは作業に必要な権限を選び、作業終了後に不要なアカウントを削除または権限変更します。
4. 使っていないテーマ・プラグインは削除する
無効化しているだけのプラグインやテーマも、古いまま残しておく理由がなければ削除します。必要なときに備えて残すより、公式配布元から再入手できること、バックアップに含まれていることを確認して削除する方が管理対象を減らせます。
新しいテーマやプラグインは、公式ディレクトリまたは信頼できる提供元から入手します。海賊版や出所の分からない配布ファイルは、悪意あるコードが含まれる危険があるため使いません。
5. HTTPS・ログイン対策を見直す
管理画面までHTTPSで開けるか
ログイン画面と管理画面がHTTPSで表示されるかを確認します。証明書の設定やリダイレクト方法はホスティング環境で異なるため、警告画面を無理に回避せず、ホスティング会社の公式手順を確認してください。
ログイン試行を減らす対策を選ぶ
ログイン画面は、パスワードを繰り返し試す総当たり攻撃の対象になり得ます。強いパスワードと2段階認証を基本に、ホスティング会社のWAF、CDN・WAF、ログイン試行の制限など、今のサーバー環境で無理なく運用できる一つを選びます。
ログインURLを変えるだけでは根本対策にはなりません。運用できない複数の対策を重ねるより、更新、認証、バックアップを確実に続ける方を優先します。
ファイル権限やwp-config.phpは、むやみに変更しない
ファイル権限や設定ファイルの保護は重要ですが、設定値はサーバー構成と利用プラグインで変わります。コピペで権限を厳しくしすぎると、更新・アップロード・復元ができなくなることがあります。変更前にバックアップを取り、ホスティング会社とWordPress公式の該当手順を確認してください。
6. 月1回の定期点検を予定に入れる
セキュリティは、忘れない仕組みが重要です。月に一度、次のチェックを予定に入れます。
- 管理画面の更新通知を確認した
- バックアップが予定どおり保存されている
- 管理者・投稿者の一覧に不要なアカウントがない
- 使っていないテーマ・プラグインが残っていない
- サイト、問い合わせフォーム、ログインに異常がない
- ホスティング会社からのセキュリティ通知を確認した
更新や設定を変えた日は、何を変えたかをメモします。異常が起きたときに、直前の変更を切り分けやすくなります。
不正アクセスや改ざんが疑われるとき
見慣れない管理者アカウント、意図しない広告やリダイレクト、身に覚えのない更新が見つかった場合は、原因を推測して設定を次々と変えないでください。
- 画面、発見日時、影響するURLを記録する。
- ホスティング会社の障害・セキュリティ窓口へ連絡する。
- 別の安全な端末から、ホスティング、WordPress管理者、メール、ドメイン管理の認証情報を確認する。
- 復元は、侵害より前の時点だと確認できるバックアップを使い、原因を確認してから行う。
個人情報や決済情報を扱うサイト、被害範囲を判断できないサイトでは、ホスティング会社や専門家の支援を受けてください。
FAQ
セキュリティプラグインだけ入れれば十分ですか？
十分ではありません。プラグインは対策の一部ですが、更新、バックアップ、強い認証、不要な管理者権限の削除が先です。プラグインを追加する場合も、更新とバックアップを続けられる数に絞ります。
更新でサイトが壊れるのが不安です
更新前にバックアップを確認し、重要なサイトでは検証環境で確認してから本番へ反映します。自動更新を使う場合も、更新失敗の通知を受け取れるか、復元手順が分かるかを先に確認してください。
WordPressのバージョンを隠せば安全ですか？
バージョン情報を見えにくくすることだけを主な対策にするのは不十分です。公式ガイドでも、更新・アクセス制限・被害の封じ込め・復旧準備を組み合わせる考え方が示されています。まずは更新とバックアップを優先します。
WordPressセキュリティ対策：まとめ
WordPressのセキュリティ対策で優先するのは、更新、バックアップ、管理者アカウント、不要なテーマ・プラグインの削除です。特定のプラグインに任せきりにせず、月1回の点検で続けられる仕組みにしましょう。
問題が起きたときに重要なのは、あわてて設定を変えることではなく、記録を残し、復旧可能なバックアップとホスティング会社の支援を使うことです。
関連記事
- WordPressのバックアップをDropboxへ保存する方法：バックアップの保存先と復元前の確認を整理する。
- WordPressは無料で始められる？：WordPress本体、サーバー、ドメインに必要なものを確認する。
- ads.txtとは何か？：WordPressで広告を運用するときの基本設定を確認する。
コメント