WordPress
セキュリティガイド
初心者でも今日から実践できるセキュリティ対策。
あなたのサイトを守るための5つの基本を学びましょう。
42%
脆弱なサイトの割合
50%
最新版を使用
5
今日から実践できる対策
セキュリティの基本原則
「完璧に安全なシステム」は存在しません。実用的かつ運用可能な範囲でリスクを減らすことが目標です。
1
アクセスの制限
悪意ある人物が利用可能な入り口を減らす。不要なプラグイン削除、ログイン試行制限などが有効。
2
被害の抑制
攻撃が成功した場合の損害を最小化する。権限管理とバックアップが重要。
3
状況の把握
バックアップを取り、変更を記録し、状態を把握する。アクティビティログの活用。
4
信頼できるソース
テーマやプラグインは公式レポジトリや信頼できる提供元から入手する。
多層防御の重要性
単一の対策に依存せず、複数の対策を組み合わせることが重要です。1つの防御が破られても、次の防御で守れるようにしましょう。
💡 城の防御を思い浮かべてください。外堀、内堀、城壁、門、天守閣…1つが破られても、次の防御があります。
よくある誤解を解く
セキュリティ対策には効果的なものとそうでないものがあります。
誤解：ログインURLを変更すれば安全
ログインURLの変更は一見効果的に見えますが、以下のデメリットがあります：
- アクセス性の低下： 複数サイト管理時の混乱、チーム共有の困難
- 互換性の問題： 他のプラグインやテーマとの競合リスク
- パスワードリセットの複雑化： 標準機能との整合性問題
- 過信の危険： 単一対策への依存、他の重要な対策を軽視しがち
✅ 推奨： ログインURL変更よりも、2要素認証＋ログイン試行制限の方が効果的です。
「最小構成で最大効果」の考え方
プラグインは多ければ良いわけではありません。過剰なプラグインは以下の問題を招きます：
- サイト表示速度の低下
- プラグイン同士の干渉による不具合
- メンテナンス負担の増加
- 脆弱性リスクの増加
💡 判断基準：「このプラグインを削除したら、サイトが困るか？」YESなら残す、NOなら削除。
今日から実践できる5つの対策
優先度の高い順に、今すぐ始められる対策を紹介します。
最優先
最新バージョンにアップデート
⚠️ Patchstack社の2024年調査によると、WordPressサイトの42%に少なくとも1つの脆弱なソフトウェアがインストールされています。
更新の対象：
- WordPressコア： マイナーアップデートは自動更新（推奨）
- プラグイン： 月1回の確認・手動更新推奨
- テーマ： 月1回の確認・手動更新推奨
- 使っていないプラグイン・テーマは削除する
💡 重要： 更新前には必ずバックアップを取得！
必須
バックアップは必ず取る
バックアップは「最後の砦」です。どんな対策をしても100%安全はありえません。マルウェア感染、サーバー障害、人的ミスなど、あらゆる危機から復旧できる唯一の手段です。
3-2-1ルール
- 3つのコピーを保持
- 2つの異なるメディアに保存（サーバー + クラウドなど）
- 1つはオフサイト（別の場所）に保管
✅ 推奨プラグイン：
・WPvivid Backup Plugin（初心者向け、復元が簡単、日本語対応）
・UpdraftPlus（多機能、クラウド連携が豊富）
・WPvivid Backup Plugin（初心者向け、復元が簡単、日本語対応）
・UpdraftPlus（多機能、クラウド連携が豊富）
基本
強力なパスワードを使う
避けるべきユーザー名：
- admin（最も狙われる）
- webmaster
- サイト名
- 自分の名前
💡 パスワードは「覚えない」ことが重要
人間が覚えられるパスワード＝コンピューターにも推測されやすい。WordPressの自動生成パスワードをそのまま使用しましょう。
人間が覚えられるパスワード＝コンピューターにも推測されやすい。WordPressの自動生成パスワードをそのまま使用しましょう。
パスワード管理ツールを活用：
- Googleパスワードマネージャー（導入コスト最小）
- 1Password、Bitwarden、LastPass など
推奨
セキュリティプラグインの導入
推奨：Wordfence Security
- WAF（Web Application Firewall）： 攻撃通信を事前にブロック
- マルウェアスキャン： 悪意のあるコードを定期的に検出
- ブルートフォース攻撃対策： ログイン試行制限（1時間に3〜5回が目安）
- 2要素認証機能： Wordfence内蔵の2FA機能が利用可能
- 日本語対応あり、無料版でも十分な機能
⚠️ プラグインの重複に注意：
Wordfenceには2FA機能が内蔵されています。別途WP 2FAを導入する場合は機能が重複するため、どちらか一方を使用することをお勧めします。
継続
ユーザー管理とアクセス制御
- 各ユーザーには業務に必要な最低限の権限のみを付与
- 管理者権限は必要最小限の人数に制限
- 1人1アカウントの原則を徹底（共用アカウント禁止）
- 定期的にユーザーリストと権限を見直し
💡 退職した社員のアカウントから不正アクセスされた事例もあります。退職者アカウントは即削除しましょう。
トラブル対処法
よくあるトラブルとその解決方法を紹介します。
継続的な運用スケジュール
| 頻度 | 実施項目 | 所要時間 |
|---|---|---|
| 毎週 | WordPress・プラグイン・テーマの更新確認 セキュリティアラート通知の確認 |
約5分 |
| 毎月 | バックアップの復元テスト 不要なアカウントの削除 パスワードの変更（ポリシーによる） |
約30分 |
| 3ヶ月ごと | 導入プラグインの見直し セキュリティ設定の確認 簡易セキュリティ診断 |
1〜2時間 |
セキュリティチェックリスト
対策の進捗を管理しましょう。完了したら項目をチェックしてください。
Phase 1：今すぐ実施（必須対策）
🔴 緊急
0 / 11 完了
アップデートとクリーンアップ
アカウント・パスワード
バックアップ
Phase 2：1週間以内に実施（強化対策）
🟡 1週間以内
0 / 10 完了
セキュリティプラグイン
認証強化
ユーザー管理
参考資料
さらに詳しく学びたい方のための参考資料です。
セキュリティレポート（一次情報源）
重要な3原則
- バックアップは最後の砦： どんな対策をしても100%安全はありえません
- 多層防御： 単一の対策に依存せず、複数の対策を組み合わせましょう
- 継続的な運用： セキュリティは一度やって終わりではありません