セキュリティ対策を始める前に確かめておきたいのが、「いま自分のサイトがどういう状態か」です。対策の必要性は分かっていても、自分のサイトが安全なのか危ないのかを把握できていないケースは少なくありません。実は、WordPressのセキュリティチェックの大部分は、専門知識がなくても管理画面と無料ツールだけで自分でできます。
この記事では、コストをかけずに自分でできるWordPressのセキュリティチェックの手順を、管理画面での確認、無料ツールを使った外部チェック、攻撃・改ざんされていないかの確認という順に解説します。上から実行すれば、自分のサイトの現状を点検できるチェックリストとして使えます。最後に、チェックで不安が残ったときの進め方もまとめます。
なぜ自分でセキュリティチェックが必要なのか
WordPressへの攻撃の多くは、プログラムが自動で世界中のサイトを巡回し、脆弱性（セキュリティ上の欠陥）や弱い設定を見つけ次第しかけてきます。規模の大小は関係ありません。さらに厄介なのは、改ざんやマルウェアの設置は、見た目には分からないまま進むことがある点です。トップページが普通に表示されていても、内部で不正な処理が動いている場合があります。
だからこそ、攻撃を待つのではなく、自分から定期的にサイトの状態を確認することが必要です。チェックの結果、更新の遅れや設定の穴が見つかれば、大きな被害になる前に手を打てます。
チェックの前に準備すること
チェックを始める前に、2つ用意します。1つは管理者権限でログインできる状態です。多くの確認は管理画面から行います。もう1つは、できればバックアップです。チェックの過程で設定を変えることがあるため、直前のバックアップがあると安心して作業できます。
自分でできるセキュリティチェック項目【基本編】
まずは管理画面でできる基本のチェックです。上から順に確認してください。
WordPress本体・プラグイン・テーマの更新状況を確認する
最も重要なチェックです。管理画面の「ダッシュボード → 更新」を開き、WordPress本体・プラグイン・テーマに未適用の更新がないかを確認します。更新が溜まっているほど、既知の脆弱性が放置されている状態です。あわせて、自動更新が有効になっているかも確認します。本体のバージョンは画面右下や「ツール → サイトヘルス」でも分かります。
サイトヘルス機能で状態を確認する
WordPressには標準で「サイトヘルス」という自己診断機能があります。「ツール → サイトヘルス」を開くと、セキュリティやパフォーマンス上の問題点が一覧で表示されます。「重大な問題」や「改善が必要」と出た項目は、内容を読んで対応します。専門知識がなくても、いまの環境に何が足りないかをおおまかに把握できます。
管理者ユーザーとユーザー名を確認する
「ユーザー」の一覧を開き、身に覚えのない管理者アカウントが増えていないかを確認します。不審なユーザーがいれば、乗っ取りのサインです。あわせて、ユーザー名が「admin」など推測されやすいものになっていないか、投稿者名（ニックネーム）にログインIDがそのまま表示されていないかも確認します。
使っていないプラグイン・テーマを確認する
「プラグイン」と「外観 → テーマ」を開き、使っていないものが残っていないかを確認します。有効化していなくても、インストールされているだけで脆弱性の入口になります。不要なものは停止ではなく削除するのが安全です。導入しているプラグインが信頼できる提供元のものか、長く更新されていないものがないかもあわせて見ます。
ログイン設定を確認する
ログイン画面のURLが初期状態（wp-login.php）のままになっていないか、ログインの試行回数を制限する設定が入っているか、二要素認証を導入しているかを確認します。これらが未設定なら、総当たり攻撃（パスワードを機械的に試す攻撃）を受けやすい状態です。セキュリティプラグインで設定状況をまとめて確認できます。
SSL化とバックアップの有無を確認する
サイトのURLが「https」で始まり、通信が暗号化されているかを確認します。あわせて、バックアップが定期的に取られているかも点検します。レンタルサーバーの自動バックアップ任せになっている場合は、実際に復元できる状態かどうかまで確認しておくと安心です。
無料ツールで外部からチェックする
管理画面の中だけでなく、外部から見たサイトの状態も確認できます。URLを入力するだけで使える無料ツールがあります。
URLを入れるだけの診断ツール
「Sucuri SiteCheck」や「WP KEEPER」などは、サイトのURLを入力するだけで、本体の更新状況、マルウェアの有無、既知の脆弱性の兆候などを外部からチェックできます。専門知識もメールアドレスの登録も不要で、数十秒で結果が出ます。まず自分のサイトのURLを入れて、警告が出ないかを確認してください。
脆弱性データベースで確認する
WPScanなどのサービスは、WordPress本体やプラグインの既知の脆弱性情報をデータベース化しています。自分が使っているプラグインの名前で検索すれば、報告されている脆弱性がないかを調べられます。IPA（情報処理推進機構）などが公開する脆弱性情報も参考になります。
ツールでできること・できないこと
無料ツールは手軽ですが、検出できるのは既知の脆弱性や外部から見える不備に限られます。設定ミスや、独自にカスタマイズした部分の欠陥、未知の脆弱性までは分かりません。「ツールで警告が出なかった＝完全に安全」ではない点は理解しておく必要があります。ツールは現状把握の入口として使い、それだけに頼らないことが大切です。
攻撃・改ざんされていないかを確認する
すでに攻撃を受けていないかも点検します。次の3点を確認してください。
身に覚えのない変更がないか
管理者ユーザーの追加に加えて、投稿した覚えのない記事や固定ページ、身に覚えのないファイルがサーバー上に増えていないかを確認します。特に、見慣れないPHPファイルは注意が必要です。
マルウェアスキャンをかける
セキュリティプラグイン（Wordfence Securityなど）には、サイト内のファイルを走査して不正なコードを検出するマルウェアスキャン機能があります。定期的にスキャンをかけ、検知された項目がないかを確認します。前述のSucuri SiteCheckでも外部からのマルウェアチェックができます。
Google Search Consoleを確認する
Google Search Consoleに登録している場合、「セキュリティと手動による対策 → セキュリティの問題」を確認します。Googleがサイトの改ざんやマルウェアを検知していれば、ここに警告が表示されます。検索結果に影響が出る前に気づける、重要な確認先です。
チェックで問題が見つかったら
チェックの結果、更新の遅れや設定の穴が見つかった場合は、更新やログイン設定の見直しなど、自分でできる範囲から対応します。具体的な対策はWordPressのセキュリティ対策を解説 自分でできる方法と、運用・保守で任せる線引きで解説しています。
一方、身に覚えのない管理者やファイル、マルウェアの検知など、すでに攻撃を受けた疑いがある場合は、自分で判断せず専門家に相談してください。乗っ取り後に仕込まれた裏口は、更新や設定変更だけでは取り除けないことがあります。
セキュリティチェックは定期的に
セキュリティチェックは一度やって終わりではありません。脆弱性は日々新しく見つかり、昨日まで安全だった環境が今日は危険になることもあります。最低でも月に一度は更新状況とサイトヘルスを確認し、無料ツールでの外部チェックも定期的に行う習慣をつけてください。更新の通知が来たら早めに適用することも、立派なチェックの一部です。
よくある質問
Q. セキュリティチェックは無料でできますか 基本的なチェックは無料でできます。管理画面での確認、サイトヘルス、URLを入れるだけの診断ツールは費用がかかりません。費用が発生するのは、専門家による詳しい脆弱性診断や、継続的な監視を依頼する場合です。
Q. どのくらいの頻度でチェックすればいいですか 最低でも月に一度は更新状況とサイトヘルスを確認してください。加えて、更新の通知が来たときや、WordPress本体の重大な脆弱性が公表されたときは、その都度確認するのが理想です。
Q. 無料ツールだけで安心してもいいですか 入口としては有効ですが、それだけでは不十分です。無料ツールが検出できるのは既知の脆弱性や外部から見える不備に限られます。設定ミスやカスタマイズ部分の欠陥は見つけられないため、不安が残る場合は専門家による診断を検討してください。
Q. チェックで異常が見つかったらどうすればいいですか 更新の遅れや設定の不備なら、自分で対応できます。ただし、身に覚えのない管理者やファイル、マルウェアの検知があった場合は、すでに侵害されている可能性があるため、専門家に相談してください。
自分でできるチェックから始める
WordPressのセキュリティチェックは、その大部分を専門知識なしで自分で行えます。管理画面で更新状況・サイトヘルス・ユーザー・ログイン設定を確認し、無料ツールで外部からの状態を点検し、攻撃や改ざんの兆候がないかを見る。この流れを月に一度でも回せば、大きな被害になる前に危険に気づけます。
