スラ子
ライムス
WordPressは多くのサイトで使われている便利なCMSですが、公開サイトとして使う以上、セキュリティ対策は避けて通れません。
WordPress公式のセキュリティガイドでも、WordPress本体・テーマ・プラグインを最新状態に保つことが最も重要な対策の1つとして案内されています。古いソフトウェアには既知の脆弱性が残る可能性があるためです。
この記事では、昔よく見られた「ログインURLを変えれば安心」「ユーザー名を隠せば大丈夫」といった単独対策ではなく、侵入されにくくする・被害を広げにくくする・復旧できる状態を作るという3つの視点で対策します。
結論｜WordPressは7つの防御層で守る
WordPressのセキュリティ対策は、1つの機能へ依存するより複数の防御を重ねるほうが実用的です。
「侵入させない」「被害を広げない」「戻せる」を複数の層で作ります。
WordPress本体・テーマ・プラグインを古いまま放置しない。
強いパスワード、ログイン試行制限、CAPTCHAなどを使う。
必要以上に管理者アカウントを増やさない。
使っていないテーマ・プラグインは削除する。
HTTPSを使い、管理画面へのアクセスを守る。
ファイルとデータベースを戻せる状態にする。
ログイン通知や更新通知で異常に気づけるようにする。
WordPress公式のHardening WordPressでも、アクセス制限、被害範囲の抑制、バックアップと復旧準備という考え方が示されています。
最優先はWordPress本体・テーマ・プラグインの更新
セキュリティ対策で最初に確認したいのが更新です。
WordPress公式は、本体だけでなくインストール済みのテーマ・プラグインも最新状態に保つことを推奨しています。脆弱性が見つかったあとに修正版が公開された場合、古いバージョンを使い続けるほど攻撃対象になりやすくなります。
- ✓WordPress本体に更新が残っていないか
- ✓有効なプラグインに更新が残っていないか
- ✓使っているテーマに更新が残っていないか
- ✓更新前に戻せるバックアップがあるか
- ✓更新後に主要ページ・フォーム・ログインを確認したか
WordPressではマイナー版やセキュリティ更新が自動適用される環境もありますが、テーマ・プラグインまで完全に任せきりにせず、管理画面で更新状況を定期的に確認してください。
強いパスワードとログイン防御を組み合わせる
強いパスワードは基本ですが、それだけで終わらせないほうが安全です。
WordPress公式は、名前・ユーザー名・サイト名を含む推測しやすいパスワードや、短いパスワードを避けるよう案内しています。また、二段階認証を追加の保護として使うことも推奨しています。
- 長く推測されにくいパスワードを使う
- 他サービスと同じパスワードを使い回さない
- パスワード管理ツールを使って保管する
- 可能なら二段階認証を追加する
- 管理者アカウントを必要以上に増やさない
スラ子
ライムス
SiteGuard WP Pluginでログイン周りを強化する
日本語環境でログイン周りの防御を追加したい場合、SiteGuard WP Pluginは候補の1つです。
WordPress.orgの公式ページでは、管理ページアクセス制限、ログインページ変更、CAPTCHA、ログインロック、ログイン通知、XML-RPC保護、authorクエリ対策、更新通知などの機能が案内されています。
2026年9月時点の開発元リリースノートでは1.8.9まで更新され、ログインページ変更やCAPTCHA関連の不具合修正も継続しています。
ログインページ変更は「補助策」として使う
SiteGuardには、wp-login.phpから別のURLへログインページを変更する機能があります。
自動攻撃の対象を減らす助けにはなりますが、ログインURLを変えただけでサイト全体が安全になるわけではありません。強いパスワード、ログインロック、CAPTCHA、更新などと組み合わせて使います。
新しいログインURLを忘れると自分が管理画面へ入れなくなる可能性があります。変更後は必ず安全な場所へ記録し、別ブラウザでもアクセスできるか確認してください。
authorクエリ対策はSiteGuard側でも利用できる
旧記事では「Edit Author Slug」を別途入れる方法を紹介していました。しかし、現在のSiteGuard WP PluginにはBlock Author Query機能があり、/?author=<number>形式によるユーザー情報の露出を抑える機能が用意されています。
つまり、同じ目的のためにプラグインを増やす前に、すでに使っているセキュリティプラグインの現行機能を確認したほうが管理しやすくなります。
不要なテーマ・プラグインは削除する
WordPress公式のHardening WordPressでは、使っていないプラグインは削除するよう案内されています。
無効化しているだけでもファイル自体はサーバーに残ります。使う予定がないものは削除し、必要になったときに公式配布元から再インストールする運用が分かりやすいです。
- ✓長期間使っていないプラグインが残っていないか
- ✓更新が長期間止まったプラグインへ依存していないか
- ✓同じ機能のプラグインが重複していないか
- ✓使っていないテーマが何個も残っていないか
- ✓配布元が不明なテーマ・プラグインがないか
WordPress公式も、テーマ・プラグインはWordPress.orgや信頼できる提供元から入手するよう案内しています。
ユーザー権限は必要最小限にする
複数人でサイトを運営する場合、全員へ管理者権限を渡す必要はありません。
WordPressには管理者、編集者、投稿者、寄稿者など複数の権限があります。記事を書く人に管理者権限を与えると、プラグイン・テーマ・ユーザー設定など、本来触る必要のない部分まで変更できる状態になります。
| 作業 | 考え方 | 権限の目安 |
|---|---|---|
| サイト全体の管理 | プラグイン・テーマ・ユーザーも管理 | 管理者 |
| 記事の編集・公開 | 他ユーザーの記事も扱う | 編集者 |
| 自分の記事を公開 | 投稿作業が中心 | 投稿者 |
| 下書き作成 | 公開権限は不要 | 寄稿者 |
「その人が必要な作業だけできる権限」にすることで、アカウント流出や操作ミスが起きた場合の被害範囲も小さくできます。
HTTPSと安全な接続を使う
管理画面へログインするときは、HTTPSで暗号化された接続を使います。
WordPress公式のセキュリティガイドでも、信頼できないネットワークや暗号化されていない接続でパスワードを送らないことが重要とされています。
現在は多くのレンタルサーバーで無料SSLを利用できるため、サイトURLがhttps://で始まっているか、管理画面もHTTPSで開けるかを確認してください。
バックアップは「取る」だけでなく「戻せる」ことが大切
セキュリティ対策は侵入防止だけではありません。問題が起きたあとに戻せる状態も必要です。
WordPress公式は、データベースだけでなくWordPressファイルも含めた定期的なバックアップを推奨しています。
- 01データベースを保存する投稿、設定、ユーザー情報などが含まれます。
- 02wp-contentを含むファイルを保存するテーマ、プラグイン、アップロード画像などを戻せるようにします。
- 03サーバー以外にも保存先を持つ同じサーバーだけに置くと、障害時に同時に失う可能性があります。
- 04復元方法を確認するバックアップがあっても戻し方が分からなければ復旧に時間がかかります。
旧記事ではBackWPupとDropboxを固定手順として紹介していましたが、現在はレンタルサーバー側の自動バックアップ、専用バックアッププラグイン、外部ストレージなど複数の方法があります。利用中のサーバー環境と復元方法まで含めて選んでください。
管理画面からテーマ・プラグイン編集を無効化する方法
WordPress公式のHardening WordPressでは、管理画面からテーマ・プラグインファイルを直接編集できる機能を無効化する方法として、wp-config.phpへ次の定数を追加する例が示されています。
サーバーファイルを扱える人向けです。編集前に必ずバックアップを取ってください。
define( 'DISALLOW_FILE_EDIT', true );これは万能な防御ではありませんが、管理者アカウントを奪われた場合に管理画面からコードを直接書き換えられる経路を1つ減らせます。
セキュリティプラグインを入れれば終わりではない
SiteGuardやファイアウォール系プラグインは役立ちますが、プラグインを有効にしただけでサイト全体の安全が保証されるわけではありません。
WordPress公式のセキュリティガイドでは、更新、パスワード、ファイル権限、管理画面、プラグイン、バックアップ、ログ、監視など多くの項目が扱われています。
- 更新を止めない
- 強い認証を使う
- 使わない機能を減らす
- 権限を必要最小限にする
- バックアップを別系統で持つ
- ログイン通知や更新通知を見る
- 異常があったときの復旧手順を知っておく
この組み合わせが、日常運用で実行しやすい防御になります。
WordPressを作ったばかりなら土台から確認する
まだサイトを作り始めた段階なら、セキュリティだけを後付けするより、サーバー・テーマ・更新方針まで一緒に確認しておくと管理しやすくなります。
テーマ側の更新体制やサポートも長期運用では重要です。
公開前のサイト全体へ一時的にパスワードをかけたい場合はこちらで解説しています。
WordPressセキュリティのよくある質問
SiteGuard WP Pluginを入れれば他の対策は不要ですか？
不要にはなりません。SiteGuardはログイン・管理画面周りを強化できますが、WordPress本体やプラグインの更新、強いパスワード、バックアップ、権限管理などは別途必要です。
ログインURLを変えればハッキングされませんか？
ログインURL変更は補助策です。URLを変えるだけで脆弱性やパスワード流出を防げるわけではありません。ログインロック、CAPTCHA、更新、強い認証と組み合わせてください。
adminというユーザー名は使わないほうがいいですか？
WordPress公式のHardening WordPressでは、推測されやすいadminやwebmasterのような管理者名を避ける考え方が示されています。ただしユーザー名だけを変えても十分ではないため、強いパスワードや追加認証も使います。
バックアップはサーバーの自動バックアップだけで十分ですか？
利用中サーバーの保存期間、復元方法、対象範囲を確認してください。重要サイトでは、サーバー障害と同時に失わない別保存先も持っておくと復旧手段を増やせます。
セキュリティ対策をすると表示速度が落ちますか？
機能や構成によります。セキュリティプラグインを複数重ねると処理が増える場合もあるため、同じ役割の機能を重複させず、必要な機能を選びます。
まとめ｜1つの対策ではなく複数の防御層を作る
WordPressのセキュリティは、特定プラグイン1個へ任せるものではありません。
- WordPress本体・テーマ・プラグインを更新する
- 強いパスワードと追加認証を使う
- ログイン試行制限やCAPTCHAを使う
- 不要なテーマ・プラグインを削除する
- ユーザー権限を必要最小限にする
- HTTPSを使う
- ファイルとデータベースのバックアップを持つ
- ログイン通知・更新通知を確認する
侵入防止、被害抑制、復旧準備の3方向から対策することで、WordPressを長く運営しやすくなります。
スラ子
ライムス
まず無料で学びたい人と、 ブログ収益化を本格的に攻略したい人。 今の段階に合わせて選んでください。
ブログ収益化を始めるために、 最初に知っておきたい内容を無料で受け取れます。
- 何から始めればいいか知りたい
- まず無料で情報を確認したい
- ブログ収益化の全体像をつかみたい
ブログとYouTubeのGoogle AdSenseを、 RPGのように段階を追って学ぶための実践講座です。
- キーワード選定から記事作成まで学ぶ
- AIを実際のブログ運営へ活用する
- SEO・専門性・権威性まで育てる
