【WordPress】これだけは押さえておきたい！WordPressのセキュリティ対策10選

admin

2025-07-04

こんにちは。WebディレクターのNです。

WordPressは世界で43.5%*の市場シェアを持つ人気CMSですが、その普及率の高さゆえにサイバー攻撃の標的になりやすいという課題を抱えています。
これらの攻撃の多くは、「自動化ツール」で行われており、世界中のあらゆるサイトを無差別にスキャン＆攻撃するボット（bot）が動いています。

「ウチのサイトは小さいから大丈夫」は通用しません。

そこで今回は、効果的なWordPressのセキュリティ対策10点を紹介してみたいと思います。

このコラムが少しでもみなさまにお役立てできれば幸いです。

それではさっそくいってみましょう！

*出典：w3techs（2025年4月現在）

——–
セキュリティ対策が後回しにされる主な理由

セキュリティ対策を怠った場合の被害リスク

セキュリティ対策10選

まとめ

——–

■セキュリティ対策が後回しにされる主な理由

一言で言うと、「必要性を感じていない」もしくは「ハードルが高く見える」ことが主な理由です。

具体的には、

・更新によるサイトの不具合が怖いので、古いバージョンを使い続ける

・本業やコンテンツの更新作業だけで手一杯

・専門的なセキュリティの知識が無いので、面倒

・自分のサイトは狙われない（なぞの過信）

など。

これらの理由が重なることで、セキュリティ対策が優先順位の低いものになりがちです。
特に、「問題が起きてから対処すればいい」という考え方が、かえってリスクを大きくする悪循環を招いているのが現状です。

■セキュリティ対策を怠った場合の被害リスク

では、セキュリティ対策を後回しにした結果、どのような被害リスクが生じるのでしょうか。
代表的なものを4つ紹介します。

・不正アクセス

WordPressの脆弱性を突かれることで、管理画面やデータベースに不正アクセスされる可能性があります。不正アクセスによって、機密情報の窃取やデータ改ざんが行われることがあります。

・Webサイト改ざん

攻撃者によりWebサイトが改ざんされると、ユーザーが悪意のあるページへ誘導されたり、マルウェアをダウンロードさせられる危険があります。
このような改ざんは企業の信頼を損ない、大きな損害につながる恐れがあります。

・重要情報の漏えい

データベースへの侵入により、顧客や企業の機密情報が漏洩するリスクがあります。
この場合、損害賠償や法的問題が発生する可能性もあります。

・踏み台化による犯罪への加担

改ざんされたWebサイトがサイバー攻撃の踏み台として利用されるケースもあります。
これにより、意図せず犯罪行為に加担してしまう恐れがあります。

■セキュリティ対策10選

次に、効果的なWordPressのセキュリティ対策を10点を紹介します。

この対策を上から順番にやっていくだけでも、初心者レベルから中級者の守りができるでしょう。

WordPress本体・プラグイン・テーマの定期的なアップデート
WordPress本体やプラグイン、テーマを更新し、脆弱性を修正することで攻撃リスクを軽減します。
未使用のプラグインやテーマを削除する
不要なプラグインやテーマは脆弱性の原因となる可能性があるため、削除しておきます。
ログインパスワードを強化する
大文字、小文字、数字、記号を組み合わせた複雑なパスワードを設定し、定期的に変更します。
ログインURLの変更
初期のログインURL（/wp-login.php）は推測が容易なため、IDやパスワードがわかれば、突破されてしまう可能性があります。プラグイン（例: SiteGuard WP Plugin）や、手動編集などで、より複雑なURLに変更しておきましょう。
画像認証の導入
ログイン時に画像認証を追加し、不正アクセスを防ぎます。こちらもプラグインで設置可能です。

**管理者・編集者の環境で、固定IPアドレスを取得していることが条件です。

定期的なバックアップ
データベースやファイルのバックアップを定期的に取得します。
取得には、プラグイン（例: All-in-One WP Migration）またはサーバーの自動バックアップ機能を利用する方法があります。
セキュリティプラグインの導入
WordPressのセキュリティ専用プラグイン（例: Wordfence）を利用して、脅威からサイトを守ります。
wp-config.phpへのアクセス制限
WordPressの設定ファイル「wp-config.php」を保護し、不正な変更を防ぎます。
アクセス制限をかけるには、.htaccessファイルに下記のコードを記述します。