「WordPressでホームページを運営しているけれど、セキュリティ対策は何をすればいいのか分からない」「プラグインを入れれば安全になるの？」と悩んでいませんか。
中小企業や個人事業主のホームページでは、制作後の更新や管理を担当する人が決まっておらず、WordPress本体やプラグインが長期間更新されていないケースも少なくありません。その状態を放置すると、不正ログインやページ改ざん、迷惑メール送信などにつながる可能性があります。
WordPressのセキュリティ強化で最も大切なのは、特別なプラグインを大量に入れることではなく、「更新・ログイン管理・バックアップ・監視」を継続することです。
この記事では、WordPressユーザーや中小企業の管理者が、制作会社や保守業者に相談する前に知っておきたい基本対策と、おすすめのプラグインの選び方を解説します。
まず確認したいWordPressのセキュリティリスク
WordPressは多くの企業や店舗で使われている便利な仕組みですが、利用者が多いからこそ攻撃対象になりやすい側面があります。特に注意したいのは、次のようなリスクです。
- 管理画面への不正ログイン
- 古いプラグインやテーマの脆弱性を利用した攻撃
- ホームページの改ざんや不正なページの追加
- お問い合わせフォームからの迷惑メールやスパム
- バックアップがなく、問題発生時に復旧できない状態
たとえば、会社案内を掲載しているだけのホームページでも、管理画面に侵入されると、知らないうちに別のページを追加されたり、訪問者を危険なサイトへ誘導されたりする可能性があります。
最初に確認するべきなのは、「最後にWordPress本体・テーマ・プラグインを更新したのはいつか」「バックアップが残っているか」「管理者アカウントが何個あるか」の3点です。
WordPressセキュリティ強化の基本対策5つ
セキュリティ対策は、ひとつの方法だけで完結するものではありません。複数の対策を組み合わせて、被害を受けにくく、万が一のときにも復旧しやすい状態をつくることが重要です。
1.WordPress本体とプラグインを更新する
最も基本的な対策は、WordPress本体、テーマ、プラグインを新しい状態に保つことです。更新には新機能だけでなく、セキュリティ上の問題を修正する内容が含まれる場合があります。
ただし、更新ボタンを押せば必ず安全というわけではありません。複数のプラグインを使用しているサイトでは、更新後に表示崩れやフォームの不具合が起きることもあります。
更新前にバックアップを取り、更新後にトップページ・スマートフォン表示・お問い合わせフォームを確認することが実務上のポイントです。
長期間使っていないプラグインや、提供元が分からないプラグインは、更新する前に必要性を確認しましょう。不要なプラグインは削除した方が管理しやすくなります。
2.管理者アカウントとパスワードを見直す
WordPressの管理画面に入るためのパスワードは、他のサービスと同じものを使わないようにします。会社名や担当者名、電話番号など、推測されやすい文字列も避けましょう。
また、退職したスタッフや以前の制作会社のアカウントが残っていないかも確認が必要です。管理者権限を持つユーザーが多いほど、意図しない操作やアカウント流出のリスクが高まります。
- 使っていないユーザーを削除または権限変更する
- 管理者権限は必要な人だけに付与する
- ユーザー名に「admin」など推測されやすいものを使わない
- パスワードを他のサービスと使い回さない
3.二段階認証を導入する
二段階認証は、パスワードに加えて認証アプリなどによる確認を行う仕組みです。仮にパスワードが漏れてしまった場合でも、追加の認証が必要になるため、不正ログイン対策として有効です。
WordPress.orgでは、二段階認証を追加できる「Two Factor」などのプラグインが提供されています。導入時は、管理者だけでなく、編集権限を持つユーザーも対象にするかを検討しましょう。
ただし、認証用のスマートフォンを紛失した場合に備えて、復旧用コードや管理手順を社内で保管しておく必要があります。
4.定期的にバックアップを取る
セキュリティ対策をしていても、トラブルを完全にゼロにすることはできません。そこで重要になるのが、問題が起きたときに元の状態へ戻せるバックアップです。
バックアップでは、画像やテーマなどのファイルだけでなく、記事や固定ページ、ユーザー情報などが保存されるデータベースも対象にします。どちらか一方だけでは、サイト全体を復旧できない場合があります。
バックアップ用プラグインとしては、UpdraftPlusなどが知られています。ただし、プラグインを入れただけでは不十分です。実際にバックアップが作成されているか、保存先から復元できるかまで確認しましょう。
バックアップとは、ホームページのデータを別の場所にコピーして保存しておくことです。万が一の改ざんやサーバー障害が起きた際に、以前の状態へ戻すために使います。
5.ログインやファイルの状態を監視する
不正アクセスは、ホームページの見た目に異常が出るまで気づけないことがあります。ログイン履歴やファイルの変更、不審なアクセスを確認できる仕組みを用意しておくと、異常の早期発見につながります。
Wordfence Securityは、ファイアウォール、マルウェアスキャン、ログイン保護などを行うセキュリティプラグインのひとつです。導入する場合は、通知を誰が確認するのか、警告が出たときにどう対応するのかまで決めておきましょう。
WordPressのセキュリティ対策におすすめのプラグイン
セキュリティ関連のプラグインは数多くありますが、すべてを入れればよいわけではありません。機能が重複すると、設定が複雑になったり、サイトの動作に影響したりすることがあります。
プラグインは「目的ごとに必要なものを選び、使わないものは増やさない」ことが基本です。
ログイン保護・マルウェア検知：Wordfence Security
ログイン保護やサイト内のスキャン、ファイアウォールなどをまとめて対策したい場合に候補となります。管理画面へのログイン試行や、不審なファイルの確認を行いたいサイトに向いています。
一方で、通知や設定項目が多いため、Webに詳しくない方が導入すると、警告の意味が分からず放置してしまうことがあります。導入後の確認担当者を決めておくことが大切です。
二段階認証：Two Factor
管理画面へのログインに二段階認証を追加したい場合に使えるプラグインです。管理者アカウントの保護を優先したい企業や、複数人でWordPressを管理している場合に検討しやすいでしょう。
導入前に、利用する認証方法と、スマートフォンを変更した場合の再設定方法を確認しておくと安心です。
バックアップ：UpdraftPlus
定期的にWordPressのデータを保存し、必要に応じて復元できるようにしたい場合の候補です。バックアップの頻度や保存先は、更新頻度やホームページの重要度に合わせて設定します。
お問い合わせ内容やブログ記事が頻繁に増えるサイトでは、制作時だけでなく、公開後の運用に合わせてバックアップの設定を見直す必要があります。
プラグインの名称や機能は更新されることがあります。導入前には、現在のWordPress環境との互換性、提供元、最終更新状況、他のプラグインとの重複を確認してください。
プラグインだけでは解決できないセキュリティ対策
WordPressの安全性を高めるうえで、プラグインは便利な道具です。しかし、プラグインを入れたからといって、サイト全体の管理が不要になるわけではありません。
たとえば、次のような部分はサーバーや運用体制の確認も必要です。
- SSLが有効になっているか
- サーバーのPHPやデータベース環境が古くないか
- 管理画面のログイン情報を安全に保管しているか
- バックアップの保存先が同じサーバーだけになっていないか
- トラブル発生時の連絡先や復旧担当者が決まっているか
WordPressの管理画面に表示される「サイトヘルス」では、更新状況やHTTPS、PHP、プラグインなどに関する確認項目を確認できます。まずは管理画面の「ツール」から状態を確認し、重大な問題が表示されていないか見てみましょう。
よくあるWordPressセキュリティ対策の失敗
プラグインを入れて安心してしまう
セキュリティプラグインを導入した後、通知を確認しなかったり、更新を止めてしまったりするケースがあります。プラグインもソフトウェアの一種なので、導入後の更新や設定確認が必要です。
バックアップがあると思い込んでいる
自動バックアップを設定したつもりでも、保存に失敗していたり、復元方法が分からなかったりすることがあります。最低でも一度は、バックアップファイルが存在するか、復旧手順を確認しておきましょう。
制作会社のアカウントをそのまま残している
ホームページの制作後も、以前の担当者の管理者アカウントが残っていることがあります。誰がアクセスできる状態なのか分からない場合は、ユーザー一覧を確認し、不要なアカウントの整理を検討してください。
中小企業が実施しやすいセキュリティ運用の流れ
担当者が一人しかいない会社や、Webの専門スタッフがいない店舗では、複雑な対策を続けることが難しい場合があります。まずは次の順番で、無理なく始めるのがおすすめです。
- WordPress本体・テーマ・プラグインの更新状況を確認する
- 管理者ユーザーとパスワードを整理する
- 二段階認証を設定する
- バックアップを作成し、保存状態を確認する
- セキュリティプラグインの通知を確認する担当者を決める
- 月1回程度を目安に、更新・バックアップ・フォームを点検する
すべてを一度に完璧に行う必要はありません。まずは「誰が、いつ、何を確認するか」を決めるだけでも、管理の抜け漏れを減らせます。
WordPressの保守を外部に依頼した方がよいケース
次のような場合は、自社だけで管理しようとせず、WordPressに詳しい制作会社や保守担当者へ相談した方が安心です。
- 長期間、WordPressやプラグインを更新していない
- 管理画面に不審なユーザーや知らない変更がある
- バックアップの有無や復元方法が分からない
- 更新後に表示崩れやフォームエラーが起きた
- 担当者が退職し、管理情報を引き継げていない
- 不審なページや広告が表示されている
特に、すでに改ざんの疑いがある場合は、むやみにファイルを削除したり、何度も更新したりせず、状況を記録して専門家へ相談しましょう。発生日時や表示された画面、直前に行った操作を整理しておくと、原因調査が進めやすくなります。
まとめ：WordPressは公開後の管理まで考えて安全に運用する
WordPressのセキュリティ強化では、次の4つを継続することが重要です。
- 本体・テーマ・プラグインを更新する
- 管理者アカウントとパスワードを適切に管理する
- 二段階認証やセキュリティプラグインを活用する
- バックアップと復旧方法を準備する
大切なのは、セキュリティ対策を一度設定して終わりにせず、ホームページの保守・運用の一部として続けることです。
aswebでは、ホームページ公開後の更新や運用についても、Webに詳しくない方が相談しやすいようにサポートしています。WordPressの管理に不安がある、どこから確認すればよいか分からないという場合も、現在の状況を整理するところからご相談いただけます。
「更新やバックアップを任せたい」「今のホームページが安全か確認したい」という方は、まずはお気軽にaswebへご相談ください。
