WordPressのセキュリティ対策と検索すると、「やるべき対策10選」といった一覧記事が数多く出てきます。ただ、忙しいサイト運営者にとって本当に知りたいのは、対策の数ではなく「どこまで自分でやり、どこからプロに任せればいいのか」という線引きではないでしょうか。対策を全部そろえるのは現実的ではありませんし、逆に何もしなければサイトの改ざんや情報漏えいにつながります。
この記事では、WordPressにセキュリティ対策が必要な理由と受けやすい攻撃を整理したうえで、自分でできる基本の対策、セキュリティプラグインでできることと限界、そしてプロや保守に任せるべき運用までを、優先順に沿って解説します。制作会社として多くのWordPressサイトを運用してきた立場から、中小企業のサイトで実際に効く順番でまとめます。
WordPressにセキュリティ対策が必要な理由
WordPressは世界のWebサイトの4割以上で使われているCMSです。この普及率の高さが、そのまま攻撃者に狙われやすい理由になっています。
なぜWordPressは狙われやすいのか
理由は大きく3つあります。1つ目は、圧倒的なシェアです。同じ手口で攻撃できるサイトが世界中に大量に存在するため、攻撃の費用対効果が高くなります。2つ目は、ソースコードが公開されているオープンソースである点です。攻撃者もプログラムの中身を調べられるため、脆弱性（セキュリティ上の欠陥）が見つかりやすくなります。3つ目は、専門知識がなくても使える手軽さです。セキュリティに詳しくない運営者が設定を初期状態のまま放置しがちで、そこが突かれます。
攻撃の多くは人が手作業で狙うのではなく、プログラムが自動で世界中のサイトを巡回し、既知の脆弱性や弱いパスワードを持つサイトを見つけ次第攻撃します。「小さなサイトだから狙われない」という考えは通用しません。
対策を放置すると何が起きるか
セキュリティ対策を放置したサイトが攻撃されると、次のような被害を受けます。
- サイトの改ざん: トップページを書き換えられたり、閲覧者を偽サイトへ飛ばすコードを埋め込まれたりします
- マルウェアの設置: 訪問者にウイルスを感染させるプログラムを仕込まれます
- 情報漏えい: 会員情報や問い合わせ内容などの個人情報が流出します
- 踏み台化: 自社サイトを経由して他のサイトやサーバーへ攻撃が行われ、加害者側になります
いずれも復旧に時間と費用がかかり、顧客からの信頼も損ないます。攻撃を受けてから対応するより、事前の対策のほうがはるかに安く済みます。
WordPressが受ける主な攻撃と被害
対策を考える前に、どんな攻撃があるのかを押さえておきます。攻撃の種類ごとに、効く対策が変わります。
不正ログイン（総当たり攻撃）
管理画面のログインページに対し、パスワードを機械的に次々と試して突破を狙う攻撃です。総当たり攻撃（ブルートフォース攻撃）と呼ばれます。ユーザー名が「admin」のままだったり、パスワードが単純だったりすると、短時間で突破されます。WordPressのログイン画面はURLが分かりやすく、世界中のサイトが同じ経路を持つため、自動化されたプログラムの標的になりやすい部分です。ログイン周りの対策が直接効く領域です。
本体・プラグイン・テーマの脆弱性を突く攻撃
WordPress本体やプラグイン、テーマに存在する脆弱性を突いて、不正な操作を行う攻撃です。SQLインジェクション（データベースを不正に操作する手法）やクロスサイトスクリプティングなどが使われます。
脆弱性は本体にも見つかります。2026年7月に公表された「wp2shell」は、WordPress本体の欠陥を組み合わせて、ログインなしでサーバー上のコードを実行できてしまう深刻な例でした。詳しくはWordPressの緊急脆弱性「wp2shell」とは 対象バージョンの確認と今すぐやるべき対応で解説しています。プラグインだけでなく本体の更新も欠かせないことを示す事例です。
改ざん・マルウェア設置・踏み台化
侵入に成功した攻撃者は、サイトを改ざんし、裏口となるプログラム（バックドア）やマルウェアを設置します。こうして乗っ取ったサイトは、他への攻撃の踏み台としても悪用されます。表面上は普通に見えても、内部で不正な処理が動いている状態です。実際、企業サイトが改ざんされて個人情報が漏えいした事例や、知らないうちに迷惑メールの送信元にされていた事例は、毎年のように報告されています。被害に気づくのが遅れるほど、復旧の範囲と費用は膨らみます。
まず自分でできる基本のセキュリティ対策
ここからが実践です。以下は専門知識がなくても管理画面の設定でできる基本対策で、優先度の高い順に並べています。まずここを固めるだけで、自動化された攻撃の大半は防げます。
本体・プラグイン・テーマを最新に保つ
最も重要な対策です。脆弱性が見つかると修正版（パッチ）が配布されるため、常に最新の状態にしておけば既知の穴はふさげます。WordPressの管理画面には自動更新の設定があります。本体のマイナーバージョンは自動更新が有効になっているのが標準ですが、実際に適用されているかを管理画面の「ダッシュボード → 更新」で定期的に確認してください。
強固なパスワードとユーザー名を設定する
ユーザー名を推測されやすい「admin」のままにせず、パスワードは英大文字・小文字・数字・記号を混ぜた12文字以上にします。使い回しは避けます。この一手間だけで総当たり攻撃への耐性が大きく上がります。
使っていないプラグイン・テーマを削除する
有効化していなくても、インストールされているだけで脆弱性の入口になります。使わないプラグインとテーマは停止ではなく削除してください。プラグインは必要最低限に絞り、信頼できる提供元のものだけを利用します。
ログイン画面のURL変更とログイン試行回数の制限
WordPressのログインページは初期状態だと誰でも場所が分かります。URLを変更し、一定回数ログインに失敗したIPアドレスを一時的にブロックする設定を入れると、総当たり攻撃を受けにくくなります。後述のセキュリティプラグインで簡単に設定できます。
二要素認証（多要素認証）を導入する
パスワードに加えて、スマートフォンアプリが生成するワンタイムパスワードなど、2つ目の認証を要求する仕組みです。Google Authenticatorなどを使えば、パスワードが漏れても不正ログインを防げます。画像認証（CAPTCHA）を併用すると、機械的なログイン試行にも強くなります。
SSL化と定期バックアップを習慣にする
通信を暗号化するSSL化（URLをhttpsにする）は、情報の盗み見を防ぐ基本です。あわせて、サイトのファイルとデータベースを定期的にバックアップしておきます。万一改ざんされても、正常な状態へ復旧できる備えになります。
セキュリティプラグインでできることと限界
上記の設定の多くは、セキュリティプラグインを使えばまとめて実装できます。ただし、プラグインは万能ではありません。
定番のセキュリティプラグイン
日本語環境で使いやすいのは、初心者向けで導入が簡単な「SiteGuard WP Plugin」です。より多機能なものでは「Wordfence Security」や「All-In-One Security」があります。ログインURLの変更、試行回数の制限、画像認証、管理画面へのアクセス通知といった機能を、設定画面から有効化するだけで導入できます。代表的な3つのプラグインの特徴を整理します。
| プラグイン | 特徴 | こんなサイトに |
|---|---|---|
| SiteGuard WP Plugin | 日本語対応で設定が簡単。ログインページの保護機能が中心 | 個人・小規模サイトの入門 |
| All-In-One Security | 幅広い機能を無料で利用できる。設定項目が多い | 自分で細かく設定したい運営者 |
| Wordfence Security | ファイアウォールとマルウェアスキャンを備えた総合型 | 機能を重視する中〜大規模サイト |
いずれもログイン周りの保護、スパムコメント対策、ファイル変更の検知といった機能を持ちます。まずはSiteGuard WP Pluginで基本を固め、必要に応じて多機能なものへ移行するのが現実的です。導入後は設定を有効化しただけで満足せず、通知やログを定期的に確認する運用まで含めて使ってください。
プラグインだけでは防げない領域
一方で、プラグインには限界があります。設定ミスによる情報の露出、本体やプラグイン自体の未知の脆弱性、独自にカスタマイズした部分の欠陥は、セキュリティプラグインでは検出も防御もできません。プラグインを複数入れすぎると、かえって競合や動作不良の原因にもなります。プラグインは「入口を守る」対策であって、サイト全体の安全を保証するものではないと理解しておく必要があります。
プロ・保守に任せるべき対策
ここからは、自分でやる線の外側です。専門知識やサーバー側の操作が必要で、無理に自分で触ると逆にサイトを壊しかねない領域です。
WAFの導入と攻撃監視
WAF（Web Application Firewall）は、不正なリクエストをサイトに届く前に遮断する仕組みです。レンタルサーバーが標準で提供している場合もありますが、設定と監視には専門的な判断が要ります。攻撃の兆候を検知して対応する監視体制まで含めると、運用の継続が前提になります。
サーバー・インフラ側の防御
管理画面へのアクセスをIPアドレスで制限する、不要なXML-RPC機能を無効化する、ファイルの権限を適切に設定するなど、サーバー設定に踏み込む対策です。サイトの動作に直結するため、影響範囲を理解したうえで行う必要があります。
定期的な脆弱性診断
サイトにどんな脆弱性が潜んでいるかを、脆弱性情報データベースや専用ツールと突き合わせて点検します。一度きりでなく定期的に実施することで、新たに公表された脆弱性への対応漏れを防げます。
保守契約で「更新と監視」を継続する
ここまでの対策に共通するのは、一度やって終わりではなく継続が必要だという点です。脆弱性は日々見つかり、そのたびに更新の判断と適用が求められます。本体やプラグインの更新、バックアップ、監視、攻撃発生時の対応を、運用として回し続ける仕組みが保守契約です。自社に専任の担当者を置けない場合、制作会社や保守会社に任せるのが現実的な選択になります。
もし攻撃・改ざんされたときの初動
対策をしていても、攻撃を完全に防げるわけではありません。被害の疑いがあるときは、次の順で動きます。
- 隔離する: サイトを一時的に停止（メンテナンスモードやオフライン化）し、被害の拡大を止めます
- 証拠を保全する: アクセスログやファイルの状態を、上書きせずに保存します
- 復旧する: 正常な時点のバックアップから戻します。裏口が残る場合があるため、原因の特定もあわせて行います
- 専門家に相談する: 自力での判断が難しい場合、制作会社や契約サーバー会社、専門業者に調査を依頼します
乗っ取り後に仕込まれた裏口は、本体を更新しても残り続けます。改ざんの疑いがある場合は、更新だけで安心せず、内部まで確認することが重要です。
よくある質問
Q. セキュリティプラグインを入れれば安全ですか 入口の対策としては有効ですが、それだけでは不十分です。設定ミスや本体の脆弱性、カスタマイズ部分の欠陥はプラグインでは防げません。本体の更新や診断とあわせて多層で守る必要があります。
Q. セキュリティ対策の費用はどのくらいですか 自分でできる基本対策は無料です。費用がかかるのはWAFや監視、脆弱性診断、保守契約といった継続的な運用の部分です。攻撃を受けた後の復旧費用に比べれば、事前の保守のほうが安く済みます。
Q. 自作テーマを使うとセキュリティは弱くなりますか テーマの作り方次第です。適切に作られていれば問題ありませんが、脆弱性を作り込んでしまうと攻撃の入口になります。制作を依頼する場合は、セキュリティに配慮した実装ができる制作会社を選んでください。
Q. 何から始めればいいですか まず本体・プラグイン・テーマを最新にし、パスワードとユーザー名を見直してください。この2つだけで自動化された攻撃の大半は防げます。次にセキュリティプラグインでログイン周りを固めます。
まとめ 対策は「線引き」と「継続」で決まる
WordPressのセキュリティ対策は、数を増やすことより、自分でやる範囲とプロに任せる範囲を線引きし、それを継続することが肝心です。本体とプラグインの更新、強固なパスワード、未使用の削除、ログイン周りの強化までは自分でできます。WAFや監視、脆弱性診断、そして更新を回し続ける運用は、保守として任せるのが現実的です。
