WordPressのセキュリティ対策というと、難しい設定や有料サービスを想像しがちですが、初心者が最初にやるべきことはそれほど多くありません。
最優先は、WordPress本体・テーマ・プラグインを更新する、強いパスワードを使う、不要なものを減らす、バックアップを持つことです。高度な対策より、基本を継続できる状態を作る方が重要です。
30秒でわかる結論
- WordPress本体・テーマ・プラグインは最新状態を保つ
- 管理者パスワードは使い回さず、長く推測されにくいものにする
- 可能なら2段階認証を追加し、ログイン情報だけで突破されにくくする
- 使っていないテーマ・プラグインは削除し、攻撃対象を減らす
- 管理者権限は必要な人だけに与える
- 自動バックアップがあっても、復元できるかまで確認する
- 初心者は「更新・認証・整理・バックアップ」の4つを優先すればよい
WordPressのセキュリティ対策で最初に考えること
WordPressは世界中で利用されているCMSで、便利な一方、古い本体・テーマ・プラグインや弱いログイン情報を放置すると、不正アクセスの入口になる可能性があります。
WordPress公式のセキュリティ資料では、サイト所有者側にも責任があり、WordPress本体・テーマ・プラグインを最新状態に保つことが重要と案内されています。
ここで伝えたいポイント
セキュリティは「絶対に侵入されない状態」を作ることではありません。侵入されにくくし、異常が起きても被害を広げず、元に戻せる状態を作ることが重要です。
初心者が最低限やるべき7つの対策
| 優先度 | 対策 | 目的 |
|---|---|---|
| ★★★★★ | WordPress本体を更新 | 既知の脆弱性を放置しない |
| ★★★★★ | テーマ・プラグインを更新 | 古い追加機能を攻撃経路にしない |
| ★★★★★ | 強いパスワード | 推測・総当たりへの耐性を高める |
| ★★★★☆ | 2段階認証 | パスワード流出時の被害を減らす |
| ★★★★☆ | 不要なテーマ・プラグイン削除 | 管理対象と攻撃面を減らす |
| ★★★★★ | バックアップ | 改ざん・障害・誤操作から戻す |
| ★★★★☆ | 権限管理 | 侵害時の影響範囲を小さくする |
初心者はまず「更新・認証・整理・バックアップ」の4本柱
複雑なセキュリティ設定より先に、この4つを確実に行ってください。ここができていない状態で高機能なセキュリティプラグインを追加しても、基本的な弱点は残ります。
1．WordPress本体を最新状態に保つ
WordPress本体は、不具合修正やセキュリティ修正のため継続的に更新されています。
WordPress公式も、古いバージョンを使い続けることは攻撃リスクを高めるため、最新状態を維持するよう案内しています。
確認する場所
- 管理画面の「ダッシュボード → 更新」
- WordPress本体の更新通知
- テーマの更新通知
- プラグインの更新通知
更新前にバックアップ
更新自体は重要ですが、テーマやプラグインとの互換性で不具合が起こる可能性もあります。重要サイトでは、更新前に最新バックアップがあることを確認してください。
2．テーマ・プラグインを放置しない
WordPress本体だけ最新でも、古いテーマやプラグインが残っていれば十分とは言えません。
WordPress公式でも、プラグインやテーマは最新版へ更新し、継続的に更新されているものを選ぶことが推奨されています。
| 状態 | 判断 |
|---|---|
| 現在使用中・更新あり | 最新版へ更新 |
| 停止中・今後使わない | 削除を検討 |
| 長期間更新されていない | 代替候補を検討 |
| 用途が分からない | 役割を確認し不要なら削除 |
少ないほど安全、ではない
プラグイン数を機械的に減らす必要はありません。重要なのは、必要なものだけを残し、すべて更新状況を把握できる状態にすることです。
3．強いパスワードを使い回さない
管理者アカウントのパスワードが突破されると、記事改ざんだけでなく、プラグイン追加や設定変更など広い操作を許してしまう可能性があります。
WordPress公式も、短いパスワードや辞書に載る単語、名前・サイト名など推測しやすい文字列を避けるよう案内しています。
悪い例
「company2026」「wordpress123」「自分の名前＋誕生日」のように、人やサイトから推測しやすいものは避けます。
初心者はこれでOK
WordPress専用の長いパスワードを使い、他サービスと使い回さないようにします。覚えるのが難しい場合は、信頼できるパスワード管理ツールを利用する方が現実的です。
4．可能なら2段階認証を追加する
2段階認証は、パスワードだけでなく、認証アプリなど別の要素を使ってログインを確認する仕組みです。
パスワードが漏れた場合でも、もう1つの認証要素がなければログインしにくくなります。
パスワードだけ → パスワード ＋ 追加認証
WordPress公式のセキュリティ資料でも、強いパスワードに加え、2段階認証を追加対策として利用することが案内されています。
バックアップコードも管理する
スマートフォン紛失などで認証アプリを使えなくなる場合に備え、復旧用コードや代替ログイン手段を安全な場所へ保管してください。
5．管理者権限を必要な人だけにする
WordPressには管理者、編集者、投稿者、寄稿者、購読者など複数の権限があります。
記事を書く人全員へ管理者権限を与える必要はありません。
| 担当 | 権限の考え方 |
|---|---|
| サイト全体の管理者 | 管理者 |
| 記事全体を編集・公開 | 編集者を検討 |
| 自分の記事を投稿 | 投稿者を検討 |
| 記事下書きのみ | 寄稿者を検討 |
具体例
5人のライター全員に管理者権限を与えるより、管理者1人・編集者1人・投稿者3人のように分ければ、1アカウントが侵害されたときの影響を小さくできます。
6．使っていないユーザーも整理する
退職者、制作会社の旧アカウント、テスト用管理者など、現在使っていないユーザーが残っていないか定期的に確認します。
ログイン可能なアカウントが10個あれば、1個のときより管理対象は増えます。
使わないログイン口は残さない
ただし、ユーザー削除時には、そのユーザーが作成した投稿を別ユーザーへ引き継ぐか確認してください。
7．バックアップを必ず用意する
セキュリティ対策は、攻撃を防ぐことだけではありません。
改ざんやマルウェア感染が起きた場合、正常な状態へ戻すにはバックアップが重要です。
WordPress公式も、WordPressファイルとデータベースを定期的にバックアップし、信頼できる場所へ保存することを推奨しています。
7世代あれば絶対安心ではない
不正改ざんに10日間気づかなかった場合、日次7世代では正常なバックアップが残っていない可能性があります。重要サイトでは、日次だけでなく週次・月次など複数期間の保存も検討します。
レンタルサーバー側のセキュリティ機能も確認する
WordPressのセキュリティは、WordPress内だけで完結しません。
レンタルサーバーによっては、WAF、自動バックアップ、ログイン制限、国外IP制限、マルウェア検知などの機能があります。
サーバー側で確認する機能
- 無料SSL
- WAF
- 自動バックアップ
- 復元機能
- PHPバージョン管理
- アクセス制限
- マルウェア検知・通知の有無
重複対策に注意
サーバー側ですでにWAFやログイン保護が提供されている場合、同じ役割のセキュリティプラグインを大量に重ねる必要はありません。役割を確認して使い分けます。
SSL化だけでWordPressは安全になる？
SSL（HTTPS）は、ブラウザとWebサイト間の通信を暗号化する仕組みです。
重要ですが、WordPress本体の脆弱性、弱いパスワード、古いプラグインまで防ぐものではありません。
| 対策 | 守る主な範囲 |
|---|---|
| SSL | 通信経路 |
| 更新 | 既知の脆弱性 |
| 強いパスワード | ログイン認証 |
| 2段階認証 | 認証突破への追加防御 |
| バックアップ | 障害・侵害後の復旧 |
SSLは必須だが、SSLだけでは不十分
「httpsになっているから安全」と考えず、SSLはセキュリティ対策の1つとして扱います。WordPressでは更新・認証・バックアップまでセットで考えてください。
セキュリティプラグインは必須？
セキュリティプラグインは、ログイン試行制限、2段階認証、ファイアウォール、監視などを追加できる便利な手段です。
ただし、全員が必ず同じプラグインを入れる必要はありません。
サーバー側のWAF・バックアップ・ログイン保護を確認し、不足する機能だけ追加します。
2段階認証、権限管理、更新体制、バックアップを優先し、必要なら監視機能を追加します。
個人情報や注文データを扱うため、専門的な監視・バックアップ・保守体制も検討します。
管理画面URLを変えれば安全？
ログインURLの変更は、自動化された単純なアクセスを減らす補助策になる場合があります。
ただし、パスワードが弱い、WordPressやプラグインが古い、といった根本的な問題を解決するものではありません。
ログインURL変更より、更新・強いパスワード・2段階認証を先にする
URLを隠すことだけに頼らず、認証そのものとソフトウェア更新を優先してください。ログインURL変更は追加対策として考えます。
セキュリティ対策はどの順番でやる？
月1回の点検で確認すること
セキュリティは一度設定して終わりではありません。
個人ブログや小規模サイトなら、少なくとも定期的に次の項目を確認するだけでも放置を減らせます。
定期チェック
- WordPress本体に未更新がない
- テーマ・プラグインに未更新がない
- 不要なユーザーが増えていない
- 不要なプラグインが残っていない
- バックアップが正常に作成されている
- 管理者メールに重要通知が来ていない
- サイト表示・管理画面に異常がない
年間で考える
月1回15分点検すると、年間では約3時間です。
15分 × 12回 ＝ 180分（3時間）
大きなトラブルが起きて数時間～数日復旧に追われる可能性を考えると、定期確認に使う時間は小さくありませんが、十分現実的な保守コストです。
教科書判定｜初心者は高度な対策より「放置しない」ことを優先
小規模WordPressなら、更新・強い認証・不要物削除・バックアップを継続する
個人ブログや小規模な会社サイトなら、まずこの4つを確実に続けることが重要です。高額なセキュリティサービスや複雑な設定は、個人情報・決済情報を扱う、停止損失が大きいなど、サイトの重要度が上がってから追加検討します。
よくある質問
Q．WordPressは使っているだけで危険ですか？
WordPressだから必ず危険というわけではありません。問題になりやすいのは、古い本体・テーマ・プラグイン、弱いパスワード、不要なアカウントの放置などです。基本的な保守を継続することが重要です。
Q．セキュリティプラグインを入れれば安心ですか？
それだけでは十分ではありません。更新、パスワード、バックアップ、権限管理が基本です。プラグインは不足している機能を補う追加対策として使います。
Q．自動更新は全部ONにした方がいいですか？
更新忘れを減らせるメリットがあります。一方、重要サイトでは更新後の互換性問題も考慮します。自動更新を使う場合でも、バックアップと動作確認の仕組みを用意してください。
Q．管理者ユーザー名をadmin以外にすれば安全ですか？
推測されにくくする補助にはなりますが、それだけで安全になるわけではありません。強いパスワードや2段階認証、更新管理を優先します。
Q．バックアップは何日分あればいいですか？
小規模サイトなら7～14日程度が一つの目安になりますが、異常の発見が遅れるケースもあります。重要サイトでは週次・月次を組み合わせ、より古い正常状態へ戻せるようにします。
まとめ｜更新・認証・整理・バックアップを続ける
この記事の結論
- WordPress本体・テーマ・プラグインを最新に保つ
- 強いパスワードを使い回さない
- 可能なら2段階認証を追加する
- 不要なユーザー・テーマ・プラグインを削除する
- 権限は必要最小限にする
- バックアップを取り、復元方法も確認する
- サーバー側のWAFやバックアップ機能も活用する
WordPressのセキュリティで最も避けたいのは、「一度設定したから大丈夫」と放置することです。初心者は高度な対策を増やすより、更新・認証・整理・バックアップを継続できる運用を作ってください。
次に読むなら
セキュリティ対策と一緒に復旧方法も整えたい場合は、「WordPressをバックアップする方法」で、何を・どこへ・何世代保存すればよいか確認してください。