WordPressのセキュリティ対策｜最低限やるべき7項目

01はじめに｜守る範囲を広げるより、順番を決めるほうが効きます

要点： セキュリティで迷うのは、やれることが多すぎるからです。実際に被害につながる入口は限られていて、そこをふさぐ7項目を決めておけば、担当者が代わっても運用が続きます。増やすのではなく、順番を固定してください。

「セキュリティ対策のプラグインは何を入れればいいですか」。WordPressのご相談で、いちばん多い聞き方です。ただ、この質問から始めると、たいてい失敗します。

プラグインを入れること自体は5分で終わります。問題は、その5分のあとに何も続かないことです。更新は止まったまま、管理画面のパスワードは3年前のまま。入口はふさがっていないのに、対策した気持ちだけが残ります。

この記事では、「入られる場所」から逆算して、やるべきことを7つに絞りました。順番にも意味があります。上から3つやるだけで、実際の被害の大半は届かなくなります。

なおZenWeb Japanは2000年創業のWeb制作会社です。WordPress制作と保守で他社が作ったサイトを引き継ぐ機会が多く、引き継ぎ時の点検で「どこが抜けているか」には、はっきりした傾向があります。更新が止まっているサイトが心配な方は放置したWordPressが危険な理由も先にご覧ください。

まずは、初めての方でも設定できる基本の考え方を動画で押さえてから、7項目を順に見ていきます。

02狙われるのは「会社」ではなく「穴」です

要点： 攻撃者は企業を選んでいません。公開された脆弱性の情報をもとに、その穴が残っているサイトを機械で探します。だから会社の規模は関係なく、条件に当てはまれば小さなサイトでも同じように見つかります。

「うちみたいな小さい会社が狙われるはずがない」。よく言われますが、この前提が実態と合っていません。攻撃は人が選ぶものではなく、条件に一致するサイトを機械が拾っていく作業だからです。

2025年にWordPressのエコシステムで見つかった脆弱性は11,334件で、前年から42％増えています（Patchstack「State of WordPress Security In 2026」）。しかも同じ調査では、そのうち91％がプラグイン由来で、本体（コア）で報告されたのは6件だけでした。

つまり、危ないのはWordPress本体ではありません。足していったプラグインとテーマが、そのまま入口の数になっています。

攻撃者は「どの会社か」を見ていません。「どの穴が空いたままか」だけを見ています。

時間の感覚も変わりました。同じ調査では、実際に大量に悪用された脆弱性が最初に攻撃されるまでの時間は、重み付け中央値で5時間。「来週まとめて更新しよう」では、もう間に合わない領域があります。国内でもIPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」で、委託先を含めた足元の点検が重ねて呼びかけられています。

03データで見る｜引き継いだサイトで、抜けていた項目

要点： 他社が作ったWordPressサイトを引き継いだ時点で点検すると、いちばん抜けているのはバックアップの確認で、次が管理画面のログイン 対策でした。逆にSSLはほぼ入っており、「見える対策」から先に済んでいる傾向があります。

並べてみると、傾向がはっきりします。外から見える対策ほど済んでいて、見えない対策ほど抜けています。SSLは鍵マークで誰かが気づきますが、バックアップが戻せるかどうかは、実際に戻すまでわかりません。

とくに1位のバックアップは、「取っていない」ではなく「取れているつもり」が大半でした。自動バックアップは動いていても、保存期間が7日しかない、データベースだけで画像が入っていない。事故が起きてから気づく形です。

04対策1｜プラグイン 更新を止めない仕組みをつくる

要点： 更新は7項目の土台です。ただ「気づいたらやる」では続きません。月に1度の実施日を決め、更新前にバックアップを取り、更新後に表示と問い合わせフォームを確認する。この3手をひとつの作業として固定してください。

プラグイン 更新をためらう理由は、たいてい「表示が崩れたら怖い」です。その心配は正しいのですが、止める理由にはなりません。崩れを直すのは数時間ですが、侵入されたあとの復旧は数週間かかることがあります。

崩れが怖いなら、崩れても戻せる状態にしてから更新すればよいだけです。実際の手順はこうなります。

1. 実施日を決める。 「毎月第1営業日の午前」など、担当者が変わっても引き継げる形にします。
2. 更新前にバックアップを取る。 自動任せにせず、この時だけは手動で1回取ってから始めます。
3. 本体・プラグイン・テーマの順に更新する。 本体を先にすると、プラグイン側が新しい本体に合わせて動きます。
4. トップページと下層ページを表示して確認する。 崩れはスマートフォン側に先に出るので、必ず両方で見てください。
5. 問い合わせフォームからテスト送信する。 いちばん壊れやすく、いちばん気づかれにくい場所です。届くところまで確認します。

自動更新は便利ですが、すべてを自動にするのはおすすめしません。本体のセキュリティ修正は自動、機能が変わる大きな更新と主要プラグインは手動、という分け方が現実的です。

更新のたびに表示が崩れる場合は、テーマやカスタマイズの作り方に無理があります。その場合は更新の問題ではないので、WordPressを自作して挫折する典型パターンもあわせてご確認ください。

05データで見る｜実際に入られたときの入口

要点： 復旧のご依頼を受けたサイトで入口を調べると、古いプラグインの脆弱性が最多で、次が管理画面への総当たりでした。上位2つで7割を超えます。対策の順番を上から3つに絞ってよい根拠がここにあります。

この表で見ていただきたいのは、入口の種類が思ったより少ないことです。上位2つを止めるだけで、実際の被害の73％に届きます。逆に言えば、この2つを放置したまま他の対策を足しても、体感は変わりません。

4番目の「同一サーバー内の別サイトから波及」も珍しくありません。使っていない古いキャンペーンサイトが同じ場所に残っていて、そこから入られる形です。

06対策2｜ログイン 対策で、管理画面の入口を狭くする

要点： ログイン 対策は、管理画面の場所を変える、回数を制限する、二要素認証を足すの3つで足ります。どれも設定は数十分で終わり、社内の運用もほとんど変わりません。効果に対して負担がいちばん軽い項目です。

WordPressの管理画面は、初期状態だと住所が全世界に知られています。だから何もしなくても、毎日のように機械が合言葉を試しに来ます。ここを狭くする作業が、ログイン 対策です。やることは3つです。

• 管理画面のURLを変える。 初期のままだと、探す手間なしで到達されます。SiteGuard WP PluginなどのプラグインでURLを変更し、社内には新しいアドレスを共有してください。
• ログインの試行回数を制限する。 何回か失敗したら一定時間ロックする設定です。総当たりは回数が命なので、これだけで成立しなくなります。
• 二要素認証を有効にする。 合言葉が漏れても、手元の端末がなければ入れません。管理者権限の人だけでも先に設定してください。

合わせて、合言葉そのものも見直してください。他のサービスと同じ文字列を使っている場合、強度に関係なく危険です。どこか一社から漏れた組み合わせが、そのまま試されます。使い回しをやめるだけで、上の表の21％のうち相当部分が消えます。

ログイン画面を隠すと不便では、というご心配もありますが、実務ではブックマークから入るだけなので影響しません。

07対策3｜WAF 導入で、更新が間に合わない時間を埋める

要点： WAF 導入の役目は、脆弱性が公開されてから更新するまでの空白を埋めることです。多くのレンタルサーバーに標準で付いているので、まず契約中の管理画面で有効になっているかを確認してください。追加費用なしで済むことがよくあります。

WAFは、サイトに届く通信を手前で見て、攻撃らしいものをはじく仕組みです。更新を頑張っていても、脆弱性が公開された直後の数時間は誰も守れません。その時間を埋めるのがWAFの仕事です。

ここで大事なのは、WAFは更新の代わりにはならないということです。Patchstackが2025年に行った検証では、一般的なホスティング側の防御で止められた攻撃は全体の26％にとどまりました。あくまで時間稼ぎと考えてください。

• まずサーバー標準のWAFを確認する。 エックスサーバー、さくらのレンタルサーバなど主要各社に標準搭載されています。管理画面で「オン」になっているかを見るだけです。
• 誤検知が出たら、範囲を絞って一時的に外す。 全部オフのまま戻し忘れる事故が、いちばん多い失敗です。問題が出たページだけ除外してください。
• プラグイン型WAFは、サーバー標準がない場合に足す。 二重に入れると管理画面が重くなり、切り分けも難しくなります。

WAFを入れて管理画面が重くなった、という相談もよくいただきます。原因が本当にWAFかは切り分けが必要なので、WordPressの表示が遅い原因と高速化の方法もあわせてご覧ください。

08データで見る｜ログイン 対策の前後で、不正試行はどう変わったか

要点： 管理画面のURL変更と回数制限を入れた前後で、記録された不正ログイン試行は1日あたり中央値で約20分の1になりました。攻撃が減ったのではなく、機械が住所を見つけられなくなっただけです。それでも効果は同じです。

数字が下がりきらず19回で止まるのは、古いURLを覚えた機械が、しばらく同じ場所を叩き続けるからです。時間が経つと、この分も自然に減っていきます。

対策前は、誰も気づかないうちに1日400回以上、合言葉を試されていました。

この数字が意味するのは、危険が突然やってくるものではないということです。すでに毎日試されていて、たまたままだ当たっていないだけです。だから「何も起きていないから大丈夫」という判断が、いちばん危ない考え方になります。

09対策4｜バックアップ 体制は「戻せるか」で判断する

要点： バックアップ 体制で確認すべきは、取れているかではなく戻せるかです。保存期間・保存場所・復元手順の3つを見て、年に1度は実際に戻す練習をしてください。取れているのに戻せない状態が、いちばん多い落とし穴です。

先ほどの表で、未実施率が最も高かったのがバックアップでした。ただ正確には「取っていない」ではなく、「戻せるかどうかを誰も確かめていない」状態がほとんどです。確認するのは3点だけです。

• 保存期間はどれくらいか。 改ざんは気づくまでに時間がかかります。7日しか残らない設定だと、気づいた時には汚染済みのデータしか残っていません。最低でも30日を目安にしてください。
• 保存場所は同じサーバーか。 同じ場所に置いていると、サーバーごと被害を受けたときに一緒に失われます。別のサービスや外部ストレージにも1本置いてください。
• 復元の手順を誰が知っているか。 手順書がなく、当時の担当者も退職している。この状態だと、実質バックアップはないのと同じです。

そして、年に1度でよいので実際に戻してみてください。テスト環境で構いません。戻したことがない仕組みは、動くかどうかわかりません。設定の間違いを見つけるための作業です。

バックアップや監視をどこまで外部に任せるかで費用は変わります。目安が知りたい方はホームページ保守費用の相場をご覧ください。

10対策5〜7｜権限の整理・SSL・使っていないものの削除

要点： 残りの3項目は、いずれも1時間程度で終わります。管理者権限を必要な人だけにする、SSLを常時有効にする、使っていないプラグインとテーマを削除する。地味ですが、事故が起きたときの被害の大きさを決めるのはこの3つです。

ここまでの4項目に比べると目立ちませんが、外せない3つです。

1. 権限を必要な人だけにする。 記事を書くだけの人に管理者権限は不要で、編集者や投稿者で足ります。退職した方のアカウントは削除し、協力会社には作業期間だけ権限を渡してください。
2. SSLを常時有効にする。 すでに導入済みでも、一部のページだけ暗号化されていない状態が残っていることがあります。サイト全体で確認してください。
3. 使っていないプラグインとテーマを削除する。 無効化では足りません。ファイルが残っていれば、そこに含まれる脆弱性は生きています。

3つ目は特に見落とされます。「いつか使うかも」で残しているプラグインは、更新されないまま入口になります。デフォルトのテーマも、最新の1つを残して他は削除して構いません。

権限の整理は、社内の事故対策としても効きます。誤って固定ページを消した、プラグインを勝手に入れられた。こうした相談の多くは、全員が管理者になっていることが原因です。

11データで見る｜対策にかかる手間と、復旧にかかった費用

要点： 7項目を最初に整えるのに必要な作業は、合計でおおむね1日分です。一方で改ざん後の復旧は、調査から再公開まで数週間かかることがあります。かかる時間の桁が違うところが、この比較のいちばん重要な点です。

上の緑の欄を全部足しても、5〜8時間です。1日で終わる作業を先延ばしにした結果、数週間の対応が発生します。しかも復旧中はサイトを止めることが多く、その間の問い合わせは丸ごと失われます。

さらに厄介なのが検索エンジンの警告です。改ざんが検知されると検索結果に警告が出て、解除を申請しても反映に時間がかかります。技術的な復旧が終わっても、集客が戻るのはそのあとです。

12やらなくてよいこと｜効果が薄いのに壊れやすい対策

要点： セキュリティ対策には、効果が小さいわりにサイトを壊しやすいものがあります。設定ファイルの直接編集、セキュリティプラグインの重ね入れ、必要な機能の一括停止の3つは、慣れていない環境では避けてください。

ネット上の解説には、上級者向けの手法も混ざっています。それ自体は間違いではありませんが、戻せる準備がない状態でやると、守る前にサイトが止まります。実際にご相談を受けた失敗を挙げます。

• 設定ファイルを直接書き換えて、サイトが真っ白になった。 .htaccessやwp-config.phpの編集は、1文字の間違いで全ページが表示されなくなります。管理画面にも入れなくなり、自力での復旧が難しくなります。
• セキュリティプラグインを3つ入れて、管理画面が開かなくなった。 同じ役割のプラグインは競合します。1つに絞ると、何かあったときの切り分けも簡単です。
• REST APIを全面的に止めて、フォームが動かなくなった。 問い合わせフォームや予約機能が内部で使っていることがあります。止める前に確認が必要です。

共通しているのは、どれも「安全にしたつもりが、公開を止めた」形になっていることです。迷ったら、増やさないほうが安全です。

13まとめ｜WordPress セキュリティ対策を進める順番

要点： 今日やるのはログイン 対策とバックアップの確認、今週やるのは更新の予定化とWAF 導入の確認、今月中に権限・SSL・不要物の削除。この順番なら、初日から効果が出はじめます。

最後に、着手の順番だけ整理します。上から順に進めてください。

1. 今日：ログイン 対策。 管理画面のURLを変え、試行回数を制限し、管理者の合言葉を使い回しでないものに変えます。
2. 今日：バックアップの確認。 保存期間と保存場所を見て、いつのデータまで戻せるかを確かめます。
3. 今週：更新の予定化とWAFの確認。 実施日を決めて確認手順まで書き残し、契約中のサーバーでWAFが有効かを見ます。
4. 今月：権限・SSL・不要物。 管理者を減らし、暗号化を全体に広げ、使っていないものを削除します。

この記事でいちばんお伝えしたいのは、セキュリティは大きな決断ではなく、決めた作業を続けるかどうかの話だということです。特別な知識より、月に1度の実施日のほうが効きます。

とはいえ、社内に担当を置けないこともあります。その場合は、続けにくい部分だけを外に出す形でも構いません。WordPress制作・保守では、更新と監視、復旧までをまとめてお引き受けしています。新しくサイトを作る段階からのご相談なら、ホームページ制作の費用相場もあわせてご覧ください。

14よくある質問

要点： WordPress セキュリティ対策について、ご相談の場でよくいただく質問をまとめました。プラグイン1つで足りるか、自動更新の可否、被害に気づく方法、費用の目安、社内でどこまでできるかの5つです。

1. セキュリティプラグインを1つ入れれば十分ですか

足りません。プラグインが担うのは主にログイン 対策とWAFの一部で、更新・バックアップ・権限は別の作業です。私たちが受けた復旧案件でも、セキュリティプラグインは入っていたのに古いプラグインの脆弱性から入られた例が最も多くありました。

2. 自動更新は全部オンにしてよいですか

本体のセキュリティ修正は自動で構いません。ただし機能が大きく変わる更新と、決済やフォームなど主要なプラグインは手動をおすすめします。自動にする場合でも、月に1度は表示とフォームの動作を目視で確認してください。

3. 改ざんされているかどうか、どうすればわかりますか

検索結果に見覚えのないページが出てくる、管理画面に知らない利用者が増えている、といった兆候が出ます。ただし訪問者を選んで見せ方を変える手口もあり、自分の画面が正常でも安心はできません。心当たりがあれば早めにご相談ください。

4. 対策にはどれくらいの費用がかかりますか

7項目の初期設定は5〜8時間程度の作業で、多くはサーバー標準の機能と無料プラグインでまかなえます。継続的な更新と監視を外部に任せる場合は月額のメンテナンス契約になり、サイトの規模と対応範囲で変わります。当社では見積り制でご案内しています。

5. 社内でどこまでできますか

ログイン 対策、バックアップの保存期間の確認、不要なプラグインの削除、権限の整理までは、多くの担当者がご自身でできます。設定ファイルの編集、WAFの誤検知の切り分け、改ざん後の復旧は、戻せる準備がないと危険なため専門家にお任せください。