よこやま良平
「WordPressってセキュリティ対策が必要なのはわかるけど、正直なにをすればいいかわからない」
そんな不安を感じたことはありませんか？
実際、WordPressサイトへの攻撃は毎日・自動的に行われています。
ログイン画面への総当たり攻撃、脆弱なプラグインを狙った侵入、気づかないうちの改ざん…。
被害に遭ってから対策するのでは、復旧に時間もコストもかかってしまいます。
ですが安心してください。
WordPressのセキュリティは、正しい順番で基本を押さえるだけで大きく強化できます。
特別な知識がなくても、設定と運用を見直すだけで防げる攻撃は非常に多いのです。
この記事では、WordPress専門家の視点から「最低限これだけはやっておくべき」セキュリティ対策を体系的に解説します。あなたの大切なサイトを守る第一歩として、ぜひ最後までご覧ください。
WordPressは世界中のWebサイトで利用される最も人気のCMSですが、その高い普及率ゆえにサイバー攻撃の主要な標的にもなっています。
特に初心者の場合、「何をすれば安全なのかわからない」「とりあえずプラグインだけ入れている」という状態になりがちで、その隙を攻撃者に狙われてしまうケースが後を絶ちません。
本記事では、今日から実践できるセキュリティ対策を初心者向けにわかりやすく完全ガイドとしてまとめました。
- WordPress管理画面の設定
- プラグインの安全管理
- サーバー側で行うべき対策
- 万が一のハッキング時の確認ポイント
記事最後には“そのまま使えるセキュリティチェックリスト”も用意しています。
あなたのWordPressサイトを確実に守るための一歩を、今ここから始めましょう。
こんなお悩みはありませんか？
- ある朝、サイトを開いたら真っ白画面になっていた
- 管理画面にログインできなくなって手が止まった
- 身に覚えのない記事やページが勝手に増えていた
- プラグインを更新したらサイト全体が崩れてしまった
- 以前バックアップを取ったか自分でも覚えていない
累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。
セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。
目次
- 1 WordPressサイトが狙われる理由とは？初心者でも理解できる基礎知識
- 2 WordPressのセキュリティ基本設定リスト！今すぐチェックすべき！
- 3 WordPressセキュリティプラグイン比較｜初心者におすすめはどれ？
- 4 WordPressセキュリティ対策SSL（HTTPS）設定で必ず確認すべき3つのポイント
- 5 WordPressセキュリティ対策不正アクセスを防ぐための「サーバー・ネットワーク」対策
- 6 WordPressがハッキングされたかもしれない時のチェックポイント
- 7 セキュリティ対策ハッキング被害の復旧手順｜初心者がやってはいけない行動
- 8 「セキュリティ対策チェックリスト」今日からできる！初心者向け
- 9 WordPressセキュリティ対策初心者でも“今日から安全なWordPress運用”を実現できる
- 10 WordPressセキュリティ対策が自分でできない場合は
WordPressサイトが狙われる理由とは？初心者でも理解できる基礎知識
WordPressの普及率と攻撃対象になりやすい理由
WordPressは世界のWebサイトの約40％以上で利用されているため、攻撃者にとって“効率よく狙える最大の標的”です。
犯罪者は手作業で個別のサイトを攻撃するのではなく、脆弱なWordPressを自動で検出するスキャンツールを常時稼働させています。
そのため、規模に関係なく、更新の甘いサイトや弱いパスワードのサイトは真っ先に侵入対象になります。
ハッキング被害のよくあるパターン
- 古いプラグインの脆弱性を突かれるケース
- 総当たりによるログイン突破
- テーマへの不正コード埋め込み
- ファイル改ざん
- 悪質な広告表示
- スパムメール送信
特に放置されたWordPressは脆弱性が積み重なるため、攻撃成功率が高く、狙われやすくなります。
「自分のサイトは小さいから大丈夫」は危険な理由
「小さなサイトだから大丈夫」という考え方は非常に危険です。攻撃者はアクセス数には興味がなく、“侵入しやすいかどうか”だけを見ています。
小規模サイトでも、サーバーの踏み台に利用されたり、マルウェア拡散に使われたりするため、規模に関わらず全てのサイトに対策が必須です。
WordPressのセキュリティ基本設定リスト！今すぐチェックすべき！
| 項目 | 内容 |
|---|---|
| 管理者ID変更 | adminなど推測されやすいIDを使わない |
| 強力なパスワード | 12文字以上・英数字・記号を含める |
| 2段階認証 | Google Authenticatorなどを導入 |
| ログイン試行回数制限 | 5回前後でロックする設定を追加 |
| ログインURLの変更 | /wp-login.phpを変更して攻撃を防ぐ |
| WordPress本体の更新 | 常に最新バージョンに更新する |
| テーマ更新 | 子テーマでテスト後に更新 |
| プラグイン更新 | すべて最新に保つ |
| 不要プラグイン削除 | 無効化ではなく削除する |
| 不明なテーマの利用禁止 | 海賊版・格安テーマを使わない |
| PHPバージョン最新化 | サーバー側で推奨の最新バージョンに変更 |
| ファイルパーミッション設定 | ファイル644 / フォルダ755 / wp-configは400 |
| XML-RPC無効化 | 不要なら停止して攻撃を防ぐ |
| .htaccess保護 | wp-admin制限・一覧表示禁止などを設定 |
WordPressセキュリティプラグイン比較｜初心者におすすめはどれ？
| プラグイン名 | 特長 |
|---|---|
| SiteGuard WP Plugin | 日本製で日本語対応がしっかり。ログインページ保護に特化（ログインURL変更、画像認証、ログインロック、通知など）。軽量で初心者向け。 |
| Wordfence Security | 強力なマルウェアスキャンとWAFを搭載。改ざん検知、詳細なセキュリティログ、2FAやCAPTCHAなど総合的な防御が可能（ただしスキャン負荷は高め）。 |
| All in One WP Security & Firewall | 多機能な総合セキュリティプラグイン。ログイン制限、ファイアウォール、パーミッション補助、セキュリティスコア表示などを1つで提供。段階的な強化が可能。 |
簡単にログイン強化だけをやりたい → SiteGuard WP Plugin
セキュリティを総合的に強化、マルウェア・ファイル改ざんもチェックしたい → Wordfence Security
1つのプラグインで幅広くセキュリティ対策を実施したい → All in One WP Security & Firewall
WordPressセキュリティ対策SSL（HTTPS）設定で必ず確認すべき3つのポイント
- URLが https:// に統一されているか
- 管理画面「一般設定」の WordPress アドレス／サイトアドレスが https になっている
- トップページや記事内リンクも http が混ざっていないか
- リダイレクト設定が正しく動いているか
- http から https へ自動で転送されるか
- .htaccess に二重リダイレクトがないか（SSLプラグイン使用時も要注意）
- Mixed Content（混在コンテンツ）が残っていないか
- 画像・CSS・JS のURLに http が混ざっていないか
- ブラウザの検証ツールで警告が出ていないか
WordPressセキュリティ対策不正アクセスを防ぐための「サーバー・ネットワーク」対策
国外アクセス制限
不正アクセスを防ぐためには、サーバーやネットワーク側での対策が非常に重要です。
まず「国外アクセス制限」を設定しておくと、海外からの不正ログイン試行を大幅に減らせます。
多くのレンタルサーバーでは、WordPressの管理画面だけ海外IPを遮断する機能があり、初心者でも簡単に導入できます。
WAF（Web Application Firewall）の有効化
「WAF（Web Application Firewall）」を有効化すると、SQLインジェクションやXSSといった悪意ある攻撃をサーバー側で自動ブロックでき、WordPressの脆弱性を狙った攻撃にも防御力が上がります。
CDN（Cloudflare等）でセキュリティ強化
Cloudflare などの「CDN」を利用すると、アクセス分散やキャッシュだけでなく、BotフィルターやDDoS対策などの高度なセキュリティ機能を追加できます。
管理者IP制限
「管理者IP制限」を行うことで、特定のIPアドレスからのみ管理画面やFTPにアクセスできるようになり、不正ログインのリスクを大きく減らせます。
WordPressがハッキングされたかもしれない時のチェックポイント
| カテゴリ | チェックポイント | 具体例・確認方法 |
|---|---|---|
| サイト表示 | 表示異常の確認 | トップページの改ざん、意味不明なポップアップ、突然のリダイレクト |
| 管理画面 | ログイン・ユーザー確認 | ログイン不可、勝手に変更されたパスワード、見覚えのない管理者ユーザー |
| ファイル・コード | 不審なファイルやコード | テーマ・プラグイン内の見覚えのないPHPファイル、functions.phpの不明コード、wp-config.phpの改変 |
| サーバー | サーバー側の異常確認 | CPUやアクセスログの急増、怪しいcronジョブ、アップロードフォルダ内の不正スクリプト |
| セキュリティ警告 | 外部ツールによる警告 | Google Search Consoleの「セキュリティの問題」、ブラウザ警告、セキュリティプラグインの異常ログ |
セキュリティ対策ハッキング被害の復旧手順｜初心者がやってはいけない行動
感染調査→隔離→復旧の流れ
ハッキング被害が発覚したら、まず慌てず以下の流れで対応します。
- 感染調査
- サイト全体のファイル、テーマ、プラグインを確認
- 怪しいコードや不審なファイル、改ざんされた記事を特定
- 隔離
- 被害箇所を特定できない場合は、サイトを一時的にオフラインにする
- 管理画面アクセスを制限し、二次被害を防止
- 復旧
- 信頼できるバックアップからサイトを復元
- プラグインやテーマは最新・安全なものを使用
- サーバー側のWAFやセキュリティ設定も確認
プラグイン・テーマをむやみに削除しない理由
初心者がやりがちなのは「怪しいプラグインだから削除」と考えて即削除することです。
しかし、むやみに削除すると以下のリスクがあります。
- サイトが真っ白になる・表示が崩れる
- 設定情報やデータベースが消える
- 復旧作業がさらに複雑化する
まずは バックアップを確保した上で、安全に削除や停止 を行うのが鉄則です。
バックアップを戻すときの注意点
バックアップ復元時に失敗すると二次被害が発生することがあります。
注意点は以下です。
- 復元前に必ず現状バックアップを取る
- サイトが感染している状態のまま復元すると再度感染する可能性がある
- データベースとファイルを必ずセットで戻す
- プラグインやテーマは最新版・安全版を使用
再発防止のチェックリスト
復旧後は、同じ被害を繰り返さないための対策を実施します。
- WordPress本体・プラグイン・テーマを常に最新にする
- 管理者アカウントのパスワードを強化
- 二要素認証（2FA）の導入
- WAFや国外アクセス制限などサーバー側の防御を有効化
- 定期的なバックアップと復元テスト
「セキュリティ対策チェックリスト」今日からできる！初心者向け
| カテゴリ | チェック項目 |
|---|---|
| WordPress本体 | 最新バージョンに更新する |
| プラグイン・テーマ | 不要なプラグイン・テーマを削除し、必要なものは最新に更新する |
| ログイン保護 | 管理者アカウントの強力なパスワード設定／二要素認証(2FA)を導入する |
| バックアップ | 自動バックアップを設定し、復元テストも行う |
| SSL・HTTPS | https化を確認し、httpリンクの混在（Mixed Content）がないかチェックする |
| サーバー・ネットワーク | WAF有効化／管理画面アクセス制限／国外アクセス制限／CDN利用を行う |
| セキュリティプラグイン | SiteGuard、Wordfence、All in One WP Security & Firewall などを導入する |
| 定期チェック | ログイン履歴・アクセスログの監視／脆弱性情報を定期確認する |
WordPressセキュリティ対策初心者でも“今日から安全なWordPress運用”を実現できる
WordPressは非常に便利なCMSですが、セキュリティ対策を怠るとハッキングやマルウェア被害のリスクが高まります。
しかし、初心者でも「今日からできる」基本的な対策を順番に実行すれば、安全な運用は十分に可能です。
- WordPress本体やプラグイン・テーマを最新に保ち、不要なものは削除する
- 管理者アカウントは強力なパスワードに設定し、可能であれば二要素認証を導入
- バックアップは自動化し、復元テストも定期的に行う
さらに、SSL（HTTPS）の設定やMixed Contentの確認、サーバー側のWAFやアクセス制限、CDN利用など、ネットワーク・サーバー対策も忘れずに行います。
SiteGuard、Wordfence、All in One WP Security & Firewall などのセキュリティプラグインを導入すれば、より高度な防御も可能です。
これらの対策を チェックリスト化して順番に実施 すれば、初心者でも安全で安定したWordPress運用が実現できます。
小さなブログや個人サイトでも油断せず、日々の管理を習慣化することが大切です。
WordPressセキュリティ対策が自分でできない場合は
ワードプレスのWordPressエラートラブル解決をしたいなら
クイックレスキューが解決します。
・WordPressが真っ白画面
・WordPressがログインできない
・ホームページのマルウェアや乗っ取り
・サイトの表示くずれ
・エラーが表示されている
これらでお悩みなら最短30分ですぐに解決します！
いまなら期間限定で
・万一改善されない場合は全額返金保証で安心!
・30日間動作保証で安心!
・調査料、キャンセル料 0円で安心!