WordPressのセキュリティ対策が重要な理由
WordPressは世界中のWebサイトの約40%以上で使われている、最も人気のあるCMS（コンテンツ管理システム）です。しかし、その人気の高さゆえにハッカーの標的になりやすいという側面もあります。
「うちは小さな会社だから狙われないだろう」と思っていませんか？実は、サイバー攻撃の多くは自動化されたボットによるもので、サイトの規模に関係なく無差別に攻撃が行われています。セキュリティの甘いサイトは、マルウェアの配布元として悪用されたり、顧客情報が漏洩したりするリスクがあります。
この記事では、WordPressサイトを運営する中小企業・個人事業主が今すぐ実施すべき7つのセキュリティ対策を解説します。技術的な知識がなくても実践できる内容ですので、ぜひ最後まで読んで対策を進めてください。
対策1：WordPress本体・テーマ・プラグインを常に最新に保つ
WordPressのセキュリティ対策で最も基本的かつ重要なのが、ソフトウェアの更新です。
WordPress本体、テーマ、プラグインには定期的にセキュリティアップデートが配信されます。これらの更新には、発見された脆弱性（セキュリティの穴）を修正するパッチが含まれています。古いバージョンのまま放置すると、公開されている脆弱性を悪用されるリスクが高まります。
実践ポイント：
- 管理画面の「更新」ページを週1回はチェックする
- WordPress本体の自動更新を有効にする（マイナーアップデートはデフォルトで自動）
- 使っていないテーマやプラグインは削除する（無効化だけでは不十分）
- 更新前にバックアップを取る習慣をつける
特に注意したいのは、開発が止まっているプラグインです。1年以上更新されていないプラグインは、脆弱性が放置されている可能性があるため、代替プラグインへの乗り換えを検討しましょう。
対策2：強力なパスワードとユーザー名を設定する
WordPressへの不正アクセスで最も多い手口が、**ブルートフォース攻撃（総当たり攻撃）**です。これは、よく使われるパスワードを片端から試してログインを突破しようとする攻撃方法です。
やるべきこと：
- ユーザー名を「admin」にしない（最初に狙われるユーザー名です）
- パスワードは12文字以上で、英大文字・小文字・数字・記号を組み合わせる
- パスワードマネージャーを使って、サイトごとに異なるパスワードを管理する
パスワード管理の詳細については、ビジネス用パスワード管理の基本の記事もご参照ください。
対策3：ログインページのセキュリティを強化する
WordPress管理画面へのログインページ（通常は/wp-adminや/wp-login.php）は、攻撃者にとって最大の入口です。ここを守ることで、多くの攻撃を防げます。
ログインURL変更
デフォルトのログインURLを変更することで、自動攻撃の大半を回避できます。「WPS Hide Login」などのプラグインを使えば、簡単にログインURLを変更できます。
ログイン試行回数の制限
「Limit Login Attempts Reloaded」などのプラグインで、一定回数ログインに失敗したIPアドレスを一時的にブロックします。ブルートフォース攻撃への効果的な対策です。
二段階認証（2FA）の導入
ログイン時にパスワードに加えて、スマートフォンアプリで生成されるワンタイムコードの入力を求める仕組みです。「Two Factor Authentication」や「Google Authenticator」プラグインで導入できます。万が一パスワードが漏洩しても、不正ログインを防げます。
対策4：定期的なバックアップを設定する
セキュリティ対策を万全にしていても、100%安全とは言い切れません。万が一の事態に備えて、定期的なバックアップは必須です。
おすすめのバックアッププラグイン：
- UpdraftPlus：無料版でも十分な機能。Google DriveやDropboxへの自動バックアップが可能
- BackWPup：データベースとファイルを別々にバックアップ可能。スケジュール設定が柔軟
バックアップのポイント：
- 最低でも週1回の自動バックアップを設定する
- バックアップデータはサーバー以外の場所（クラウドストレージなど）にも保存する
- 定期的に復元テストを行い、バックアップが正常に使えることを確認する
対策5：セキュリティプラグインを導入する
総合的なセキュリティ対策を行うには、セキュリティプラグインの導入が効果的です。
Wordfence Security：最も人気のあるWordPressセキュリティプラグインの一つ。ファイアウォール、マルウェアスキャン、ログインセキュリティなどを包括的に提供します。無料版でも基本的な保護が可能です。
SiteGuard WP Plugin：日本製のセキュリティプラグインで、管理ページへのアクセス制限やログインページの変更、画像認証の追加などが簡単にできます。日本語対応なので設定もわかりやすいです。
Sucuri Security：マルウェアスキャンやセキュリティ監視に強い。サイトが改ざんされた場合の検知機能が充実しています。
これらのプラグインを導入したら、初期設定をしっかり行いましょう。デフォルト設定のままでは十分に機能しないケースもあります。
対策6：SSL証明書を導入してHTTPS化する
SSLとは、Webサイトとユーザーの間の通信を暗号化する技術です。SSL証明書を導入すると、URLが「http://」から「https://」に変わり、ブラウザのアドレスバーに鍵マークが表示されます。
HTTPS化のメリット：
- 通信データの暗号化により、情報の盗聴を防止
- Google検索のランキング要因の一つ（SEO効果）
- ブラウザで「保護されていない通信」という警告が表示されなくなる
- ユーザーからの信頼性が向上
多くのレンタルサーバーでは、Let’s Encryptなどの無料SSL証明書が簡単に利用できます。まだHTTPS化していないサイトは、すぐに対応しましょう。
対策7：ファイル編集を無効化し、権限を適切に設定する
WordPress管理画面には、テーマやプラグインのファイルを直接編集できる機能があります。便利な機能ですが、不正アクセスされた場合に悪意のあるコードを簡単に書き込まれてしまうリスクがあります。
wp-config.phpに以下を追加して、管理画面からのファイル編集を無効化しましょう。
define('DISALLOW_FILE_EDIT', true);また、ファイルのパーミッション（アクセス権限）も重要です。
- wp-config.php：400 または 440 に設定（読み取り専用）
- ディレクトリ：755 に設定
- ファイル：644 に設定
- .htaccess：444 に設定（読み取り専用）
レンタルサーバーの管理画面やFTPソフトから、パーミッションの確認・変更ができます。
ハッキングされたかも？と思ったら
もしサイトに以下のような異常が見られたら、ハッキングの可能性があります。
- 身に覚えのないページやリンクが追加されている
- サイトにアクセスすると別のサイトにリダイレクトされる
- Googleの検索結果に「このサイトは第三者によってハッキングされている可能性があります」と表示される
- サーバー会社から不正アクセスの通知が来た
このような場合は、まずサイトを一時的にメンテナンスモードにし、すぐにサーバー会社に連絡しましょう。バックアップからの復元やマルウェアの除去が必要になります。マルウェア対策の詳細は、HPがウイルスに感染したら？マルウェア対策と復旧の手順も合わせてご確認ください。
まとめ
WordPressのセキュリティ対策は、一度やれば終わりではなく、継続的に取り組むべきものです。今回紹介した7つの対策をまとめると、以下のとおりです。
- WordPress本体・テーマ・プラグインを常に最新に保つ
- 強力なパスワードとユーザー名を設定する
- ログインページのセキュリティを強化する
- 定期的なバックアップを設定する
- セキュリティプラグインを導入する
- SSL証明書を導入してHTTPS化する
- ファイル編集を無効化し、権限を適切に設定する
まずはできるところから始めて、大切なサイトを守りましょう。
WordPressのセキュリティ対策や保守管理でお困りの方は、Sane Designにお気軽にご相談ください。セキュリティ診断から対策の実施まで、トータルでサポートいたします。
