WordPressのセキュリティ対策｜初心者向けの設定・プラグイン・サーバー選び

WordPressのセキュリティ対策で最初に行う7項目

対策を一度にすべて進められない場合は、次の7項目から確認します。実際に更新や削除を行う前には、バックアップと復元手段を確保してください。すでに改ざんが疑われる場合は、先に本記事の「不正アクセスを受けた場合の対応」を確認します。

1. WordPress本体、テーマ、プラグインを更新する
2. 使っていないテーマとプラグインを削除する
3. 管理者ごとに個別アカウントを作り、長く固有のパスワードを設定する
4. WordPressとサーバー管理画面に2要素認証を設定する
5. ファイルとデータベースを自動バックアップし、復元方法を確認する
6. サーバー側のWAFとWordPress向け防御機能を有効にする
7. 更新・監視・障害対応を誰が行うか決める

WordPress公式の日本語資料でも、最新版への更新、アクセスの制限、信頼できるテーマ・プラグインの利用、バックアップと復旧手段の確保が案内されています。

WordPressはなぜ不正アクセスを受けるのか

不正アクセスの入口はWordPress本体だけではありません。サイトは、WordPress、テーマ、プラグイン、サーバー、利用者の端末やアカウントなどから構成されています。

表は左右にスクロールできます。

IPAが公開する不正アクセスの届出事例にも、CMSの脆弱性が悪用されたと推測される事例や、更新を保留していたCMSへ不正ログインされた事例があります。

どのサーバーでも不正アクセスの可能性はある

インターネットへ公開したサーバーは、サービス名や規模にかかわらず、攻撃や不正ログインの試行を受ける可能性があります。「過去に攻撃を受けたことがないサーバー」を探すのではなく、攻撃を遮断する機能、利用者ごとの環境分離、ログ、バックアップ、復旧支援を確認することが大切です。

共用サーバーを使うだけで直ちに危険になるわけではありません。ただし、同じ契約内で複数サイトが同じFTPアカウントや管理権限を共有していると、一つのサイトや認証情報から被害が広がる可能性があります。制作会社にサーバー管理を任せる場合は、顧客ごとのアカウント、ファイル、データベース、バックアップがどこまで分離されているか確認してください。

WordPressのセキュリティ設定を優先順に解説

初期設定はどの画面で確認する？

まず次の場所を確認すると、設定漏れを把握できます。表示名や操作権限はWordPressのバージョン、プラグイン、契約によって異なります。

表は左右にスクロールできます。

2要素認証は、プラグインを有効にするだけではユーザー全員に設定されない場合があります。設定用のログイン状態を残したまま別のブラウザで試し、復旧コードも保存します。

1. WordPress本体・テーマ・プラグインを更新する

脆弱性を修正する更新が公開されても、サイトへ適用しなければ弱点は残ります。WordPress本体だけでなく、テーマとプラグインも更新対象です。

脆弱性とは、第三者に悪用され得るソフトウェアや設定の弱点です。「セキュリティパッチ」は、その弱点を修正する更新を指します。利用中の製品名とバージョンを控え、開発元の更新情報やJVNなどで対象バージョンと修正版を確認します。修正がない場合は、提供元や保守担当者と機能停止・代替を検討してください。悪用が確認された重大な脆弱性への対応は、週次の点検日まで待たずに判断します。

更新は次の手順で行います。

1. ファイルとデータベースのバックアップを取得する
2. バックアップを参照・復元できることを確認する
3. テスト環境があれば先に更新して表示と機能を確認する
4. 本番環境を更新する
5. トップページ、主要ページ、フォーム、決済・予約などを確認する

WordPressでは、プラグインとテーマごとに自動更新を有効化できます。ただし、更新による表示崩れや機能の不具合が起こる場合もあります。自動更新を使う場合も、更新結果の通知を受け取り、問題を発見したときに戻せる体制が必要です。

2. 不要なテーマとプラグインを削除する

無効化しただけのプラグインやテーマもサーバー上にファイルが残ります。バックアップを確保し、依存関係を確認したうえで今後使わないものを削除します。子テーマが使う親テーマは残してください。削除時に設定や保存データも消えるプラグインがあります。

プラグインを追加するときは、次を確認しましょう。

• WordPress公式ディレクトリまたは信頼できる提供元から入手する
• 最近も更新されているか
• 現在のWordPressバージョンで検証されているか
• 必要な機能と権限が過剰でないか
• 問題が起きたときの問い合わせ先や移行方法があるか

有料であっても安全性が保証されるわけではありません。ライセンス切れで更新できなくなる運用にも注意が必要です。

3. 管理者アカウントを共有しない

複数人が同じ管理者IDを使うと、誰が変更したのかを追いにくくなり、退職者や委託先の権限も残りやすくなります。担当者ごとにアカウントを発行し、必要な権限だけを付与してください。

• 記事を作る担当者：投稿者や編集者
• プラグインやユーザーを管理する担当者：管理者
• 制作会社：作業期間と内容に応じた個別アカウント

不要になったアカウントは権限を解除し、必要に応じて削除します。削除時には投稿の引き継ぎ先を確認します。管理者は最小限にし、パスワードを他サービスと使い回さないようにします。メールアドレスの共通利用そのものよりも、そのメールアカウントが乗っ取られないよう2要素認証などで保護することが重要です。

4. 2要素認証とログイン試行制限を設定する

2要素認証を使うと、パスワードが漏えいしても、認証アプリなどの確認を通らなければログインしにくくなります。少なくとも管理者と編集者には設定します。復旧コードはWordPressと別の安全な場所に保管してください。

ログイン試行回数の制限や画像認証は、自動化された総当たり攻撃を減らす補助になります。ログインURLの変更も機械的なアクセスを減らすことはありますが、それだけで脆弱性やパスワード漏えいを防ぐことはできません。

5. バックアップを取り、復元できるか確認する

WordPressの復旧には、主に次の両方が必要です。

• ファイル：WordPress本体、テーマ、プラグイン、画像など
• データベース：記事、固定ページ、設定、ユーザー情報など

バックアップは、本番サイトと同じサーバーだけに置かず、別の保存先も用意します。感染や改ざんに気付くまで時間がかかることがあるため、直近の1件だけでなく複数世代を保存します。

バックアップが存在しても、破損している、必要なファイルがない、復元方法がわからない状態では役立ちません。少なくとも定期的に、復元手順と担当者を確認してください。

6. WAFとサーバー側の防御を使う

WAFは、Webアプリケーションの脆弱性を狙う不審な通信を検知・遮断する仕組みです。WordPressへ通信が届く前に防御できる場合があり、サーバー側で利用できるなら有効化を検討します。

ただし、WAFはすべての攻撃を防ぐ機能ではありません。誤検知でフォームや管理機能が動かなくなる場合もあります。更新、ログイン保護、バックアップと組み合わせ、設定後はサイトの動作を確認します。

7. 管理画面と通信を保護する

WordPressとサーバー管理画面にはHTTPSで接続し、サーバーへのファイル転送はSFTPなど暗号化された方法を使います。自宅や社内の固定IPだけで管理できる場合は、サーバー側のIPアドレス制限も有効です。

XML-RPCやREST APIは、アプリ連携や外部サービスで利用されることがあります。使っていない機能へのアクセスを制限することは有効ですが、理由を確認せず全面的に無効化すると、必要な機能が動かなくなる場合があります。使用中のテーマ、プラグイン、連携サービスを確認してから設定してください。

8. 問い合わせフォームを保護する

Contact Form 7などのフォームプラグインも更新対象です。プラグインの更新に加えて、次を確認します。

• スパム対策を設定する
• ファイル添付が必要なければ無効にする
• 許可するファイル形式と容量を制限する
• 管理画面やメールへ保存する個人情報を最小限にする
• 送信先メールアドレスと自動返信文を定期確認する
• テスト送信で正常に届くことを確認する

フォーム経由のスパムと、サイトへの侵入は同じ問題ではありません。迷惑送信を減らす設定と、脆弱性・ログインへの対策を分けて考えます。

9. サイトヘルスとログを確認する

WordPress管理画面の「ツール」からサイトヘルスを開き、更新、PHP、HTTPSなどの問題を確認します。サーバーのアクセスログ、エラーログ、ログイン通知、WAFの検知履歴も、異常を調べる手掛かりになります。

通知先が退職者や制作会社だけになっていないかも確認してください。警告メールを受け取る人と、対応を判断する人を決めます。

サイトヘルスが「良好」でも、感染や脆弱性がない証明にはなりません。既知の脆弱性の照合、ファイル検査、ログ調査では、それぞれ確認できるものが異なります。外部の無料チェックもサイト内部をすべて調べるものではなく、問題が見つからなかった結果だけで安全と判断しないでください。

WordPressセキュリティプラグインは必要？

セキュリティプラグインは、ログイン保護、2要素認証、ファイル検査、通知などをWordPress内へ追加できます。サーバー側に同じ機能がある場合や、管理会社が別の方法で監視している場合は、必要な機能だけを追加する方が管理しやすくなります。

複数の総合セキュリティプラグインを同時に使うと、ログインURL変更、WAF、アクセス制限などが重複し、ログインできない、フォームが止まる、サイトが遅くなるといった問題が起きる場合があります。基本は一つを選び、足りない機能だけ補います。

無料から試せるWordPressセキュリティプラグイン

日本語でログイン保護と2段階認証をまとめて管理したいならCloudSecure WP Security、ファイル検査まで運用する担当者がいるならWordfence、既存の防御に2要素認証だけ足したいならTwo-Factorが候補です。以下は用途に基づく選び方であり、検知率や安全性の順位ではありません。

表は左右にスクロールできます。

機能と対応状況は変わります。導入時は、WordPress公式ディレクトリの更新日、対応バージョン、説明、サポート状況を確認してください。

CloudSecure WP Securityは無料で利用でき、現在はエックスサーバー株式会社が提供しています。管理画面とマニュアルが日本語に対応し、ログイン保護、2段階認証、シンプルWAFをまとめて設定できるため、本記事ではエックスサーバーと合わせて検討する候補として紹介します。同じ提供元であることだけで安全性や設定の適合が保証されるわけではありません。

CloudSecure WP SecurityのシンプルWAFはWordPress側で働く機能で、エックスサーバーのサーバーパネルから設定するWAFとは別です。併用時は正常な操作が遮断されないか確認します。同プラグインで2段階認証を設定する場合、Two-Factorなどを同じ目的で追加する必要があるかも見直してください。バックアップと更新は引き続き必要です。

Wordfenceは無料版もありますが、新しいファイアウォールルールとマルウェア定義は有料版に比べて30日遅れると案内されています。Two-Factorは認証を補う製品で、マルウェア検査やバックアップは別に必要です。無料・有料の違いは機能範囲と更新・支援内容で比較します。

セキュリティプラグインを入れた後の確認

1. 自分と他の管理者がログインできるか
2. パスワード再設定メールが届くか
3. 問い合わせフォーム、予約、決済が動くか
4. WordPressの自動処理や外部連携が止まっていないか
5. 通知メールが届き、担当者が内容を判断できるか
6. サーバーのWAFやアクセス制限と重複していないか

WordPressのサーバーにエックスサーバーをおすすめできる理由

中小企業や店舗の一般的なWordPressサイトでは、エックスサーバーは有力な候補です。WordPressの運用に必要な防御機能とバックアップを、サーバー管理画面から設定できるためです。

2026年9月22日時点で、エックスサーバーでは次の機能を公式に案内しています。

表は左右にスクロールできます。

機能の詳細は、記事末尾の公式資料にまとめています。バックアップの日数には環境による例外があるため、契約中の環境で条件を確認してください。上記は通常の「エックスサーバー」の説明であり、XServerビジネスやXServer for WordPressとは別に確認します。

エックスサーバーのWordPressセキュリティ設定はどう進める？

1. サーバーパネルで対象ドメインを確認する
2. 「WordPressセキュリティ設定」でログイン試行回数制限などを確認する
3. 国外アクセス制限は、海外からの管理や外部連携の利用状況を確認して設定する
4. IPアドレス制限を使う場合は、許可するIPを登録し、回線変更時の解除方法を確認する
5. 「WAF設定」を確認し、変更が反映された後に記事保存・フォーム・予約を試す
6. WordPressとは別に、XServerアカウントとサーバーパネルの二段階認証を確認する

WAFで正規の操作が止まった場合は、検知履歴と対象操作を確認し、必要な範囲を調整します。管理者が海外にいる場合や、外部サービスが国外のサーバーを使う場合は、国外アクセス制限にも注意してください。具体的な画面は上記の公式マニュアルで確認できます。

エックスサーバーを使えばプラグインの更新は不要？

更新は必要です。エックスサーバー自身も、WAFは不正アクセスを100%防ぐものではなく、最新バージョンのアプリケーション利用やセキュリティ対応が必要だと説明しています。

サーバー側のWAFは、WordPress、テーマ、プラグインの脆弱性そのものを修正しません。WordPress内の更新、アカウント管理、2要素認証、バックアップ確認は、サーバー機能と並行して行います。

エックスサーバーを選ぶ前の確認事項

エックスサーバーがすべてのサイトに最適とは限りません。次に該当する場合は、通常の共用サーバーだけで要件を満たせるか、制作会社やセキュリティ担当者へ確認してください。

• EC・会員サイトで多くの個人情報や決済を扱う
• 社内ポータルとして非公開情報を扱う
• 24時間の監視や短時間での復旧保証が必要
• 管理者ごとのサーバー権限や操作記録が必要
• アクセス元を厳密に制限したい
• 脆弱性診断やインシデント対応を契約へ含めたい

要件によっては、法人向けプラン、マネージド環境、クラウド、外部WAFや監視サービスを比較します。サーバーの知名度だけで決めず、「誰が何を監視し、何時間以内に何をするか」まで確認することが大切です。

WordPressのセキュリティチェックリスト

毎日または自動で行うこと

• □ サイトの表示と主要機能を監視する
• □ ファイルとデータベースをバックアップする
• □ 不正ログインや重大な警告を通知する

毎週確認すること

以下は平常時の点検頻度の例です。重大な脆弱性、見覚えのない管理者、改ざんの通知が届いた場合は、定例日を待たず対応します。

• □ WordPress本体、テーマ、プラグインの更新状況
• □ 自動更新の成功・失敗通知
• □ フォーム、予約、購入などの主要機能
• □ セキュリティプラグインやWAFの重大な警告

毎月確認すること

• □ 管理者・編集者アカウントと権限
• □ 使っていないテーマとプラグイン
• □ PHPなどサーバー側ソフトウェアの対応状況
• □ バックアップの保存先・世代と復元手順
• □ ドメイン、SSL、サーバー契約の期限
• □ アクセスログ、変更履歴、異常なファイル

担当者の変更時に行うこと

• □ 退職者・旧委託先のアカウントを停止する
• □ 共有されていたパスワードを変更する
• □ WordPress、サーバー、ドメイン、バックアップの管理者を変更する
• □ 通知先と緊急連絡先を更新する

WordPressが不正アクセスを受けた場合の対応

改ざんや不審な管理者、身に覚えのないプラグインを見つけた場合は、表示だけを直して運用を続けないでください。侵入口や不正ファイルが残ると再発する可能性があります。

1. サイトの公開停止やアクセス制限を検討する
2. サーバー会社と保守担当者へ連絡する
3. 削除する前に、ログ、ファイル、データベース、発生時刻などの情報を保全する
4. WordPress、サーバー、SFTP、データベース、関連メールの認証情報を安全な端末から変更する
5. 不正な管理者、ファイル、テーマ、プラグインと侵入口を調査する
6. 信頼できる正常なバックアップまたは公式配布ファイルを使って復旧する
7. すべてを更新し、設定と権限を見直す
8. 個人情報の漏えいや第三者への影響を調べ、必要な連絡・報告を行う
9. 復旧後もログと再発の有無を監視する

感染後に取得したバックアップへ戻すと不正ファイルも復元される場合があります。復旧に使う時点が安全か判断できない、個人情報を扱っている、複数サイトへ影響している場合は、専門家へ調査を依頼します。

WordPressセキュリティについてよくある質問

「保護されていない通信」と表示されたら感染していますか？

この表示だけで感染とは判断できません。HTTP接続やSSL証明書の期限・設定など、通信の保護に関する問題を確認します。HTTPSのURL、証明書、ページ内のHTTP画像やスクリプトを調べ、サーバー会社や管理者に相談してください。HTTPSは通信を暗号化する仕組みで、WordPressの脆弱性や不正ログインをすべて防ぐものではありません。

プラグインなしでWordPressのセキュリティ対策はできますか？

更新、不要な機能の削除、権限整理、サーバーWAF、外部バックアップなどは、セキュリティプラグインなしでも実施できます。ログインの2要素認証やファイル監視が必要な場合は、サーバー・認証基盤・保守サービスで実現できるか確認し、不足する機能を追加します。

WordPressは他のCMSより危険ですか？

利用者が多いため自動攻撃の対象になりやすい一方、公式の更新とセキュリティ情報、対応サービスも多くあります。CMS名だけで安全性は決まりません。更新を継続できるか、不要な拡張機能を減らせるか、サーバーとアカウントを管理できるかで判断します。

無料のセキュリティプラグインだけで十分ですか？

プラグインが提供する範囲によります。ログイン保護だけでは、更新、バックアップ、サーバーアカウントの流出には対応できません。サイトの機能と保有データを確認し、足りない対策をサーバーや運用で補います。

ログインURLを変更すれば安全ですか？

自動化されたログイン試行を減らす補助にはなりますが、十分ではありません。固有のパスワード、2要素認証、試行回数制限、更新を優先します。変更後のURLを社内で安全に管理し、パスワード再設定などの動作も確認してください。

自動更新は有効にするべきですか？

小規模サイトでは、バックアップと更新後の確認体制を用意したうえで、自動更新が放置防止に役立ちます。EC、会員、予約など停止の影響が大きいサイトでは、テスト環境での確認後に本番へ適用する運用も検討します。

エックスサーバーなら不正アクセスされませんか？

いいえ。WAFやWordPress向け制限、自動バックアップはリスクを下げますが、不正アクセスを完全に防ぐものではありません。WordPressの更新、アカウントごとの2要素認証、権限管理、監視、復元手順が必要です。

制作会社に保守を頼めば何もしなくてよいですか？

契約範囲によります。WordPress・プラグイン・PHPの更新、バックアップ、監視、障害対応、改ざん調査、復旧、休日対応がそれぞれ含まれるか確認します。自社もドメインとサーバーの契約状況、管理者権限、緊急連絡先を把握してください。

主な参考資料

本文の読みやすさを優先し、根拠確認に必要な公式資料だけをまとめています。

• WordPressの安全性を高める（WordPress.org日本語）
• 脆弱性情報を確認する（JVN）
• コンピュータウイルス・不正アクセスの届出事例（IPA）
• CloudSecure WP Security公式サイト
• WordPressセキュリティ設定（エックスサーバー）
• WAF設定（エックスサーバー）
• 自動バックアップからのデータ取得（エックスサーバー）