WordPressのセキュリティ対策：小さな会社がまずやることと、後回しでよいこと

小さな会社のWordPressのセキュリティ対策は、次の8つから始めれば足ります。①本体・テーマ・プラグインを最新に保つ。②使っていないプラグインとテーマを消す。③強いパスワードと二段階認証。④管理者のアカウントを必要な人だけにする。⑤バックアップをサーバーとは別の場所に残す。⑥ログインの試行に制限をかける。⑦SSL（https）で通信を暗号化する。⑧サーバー側にある機能を確かめて使う。

①〜④はWordPressの管理画面だけで、今日のうちに手を付けられます。⑤〜⑧はサーバーの管理画面や契約の確認が要ります。セキュリティ用のプラグインは、このうち⑥や③を補う道具で、入れれば終わりというものではありません。逆に、ログイン画面のURLを変えるといった「見えにくくする」対策は、8つのあとで構いません。

内容は、2026年10月8日にWordPress.orgの公式の手引き（Hardening WordPress、Brute Force Attacksなど）、IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」、各プラグインの公式ページで確かめたものです。管理画面の表示は、WordPressの版によって少し変わることがあります。

まずやる8つと、どこで設定するか

順	やること	どこで
1	本体・テーマ・プラグインを最新に	「ダッシュボード」→「更新」
2	使っていないプラグイン・テーマを消す	「プラグイン」「外観」→「テーマ」
3	強いパスワードと二段階認証	「ユーザー」→「プロフィール」＋プラグイン
4	管理者を必要な人だけに	「ユーザー」→「ユーザー一覧」
5	バックアップを別の場所に	サーバーの機能かプラグイン
6	ログインの試行に制限	サーバー・WAFかプラグイン
7	SSL（https）	サーバー、「設定」→「一般」
8	サーバー側の機能を確かめる	サーバーの管理画面・契約

順番には理由があります。1と2は、すでに知られている脆弱性（プログラムの欠陥）をふさぐ対策で、狙われやすさに直結します。3と4は、ログインの入口を固める対策です。5は、何かあったときに戻すための備えで、これがないと他の対策が破られたときに打つ手がなくなります。6〜8はサーバー側の力を借りる対策です。

1〜2：更新と、使っていないものを消す

1. 本体・テーマ・プラグインを最新に保つ

WordPress.orgの手引きは、常に最新の版を使うことを挙げ、プラグインも常に更新しておくよう書いています。修正された脆弱性の詳しい内容はたいてい公開されるので、更新していないサイトほど攻撃しやすくなる、というのがその理由です。

2026年7月22日には、IPAがWordPress本体の脆弱性について注意喚起を出し、影響を受ける版のサイトは直ちに更新するよう呼びかけました。対象の版と修正版、自社のサイトが当てはまるかの確かめ方はWordPressの脆弱性とはにまとめています。

手間を減らすには、自動更新を使い分けます。本体の小さな修正は初期設定で自動で当たり、プラグインとテーマも一つずつ自動更新にできます。ただ、問い合わせフォームのように止まると困る機能まで自動にするかは、考えて決める必要があります。どれを自動にし、どれを手で更新するかの分け方、更新の順番、うまくいかなかったときの戻し方はWordPressのアップデート手順にまとめています。自動更新が失敗していることもあるので、「更新」の画面も時々見ます。

古い版のままでも修正は届くのでは、と考える方もいるかもしれません。WordPress.orgは、深刻な修正を古い系列の版にも配ることがありますが（2026年9月の7.1.2の修正は4.7の系列まで配られました）、公式に支えているのは最新の版だけだと明記しています。古い系列に留まる理由がなければ、最新に上げておきます。

2. 使っていないプラグインとテーマを消す

停止中のプラグインも、ファイルはサーバーに残っています。WordPressのサイトヘルス（「ツール」→「サイトヘルス」）は、停止中のプラグインは攻撃者にとって狙いやすい標的なので、使わないなら削除を考えるように、という趣旨を表示します。プラグインは「無効化」してから「削除」、テーマは「外観」→「テーマ」で詳細を開いて「削除」です。

テーマは、いま有効なテーマ、子テーマを使っているならその親、それにWordPressの標準のテーマを一つ残します。どのプラグインが危ないかの見分け方や、公開が停止されたプラグインの見つけ方はWordPressの脆弱性とは：自社サイトが当てはまるか確かめる手順に詳しく書きました。

3〜4：ログインの入口を固める

3. 強いパスワードと二段階認証

パスワードについて、WordPress.orgの手引きは、名前や辞書にある言葉、短いもの、数字だけ・文字だけのものを避け、パスワードを作る道具とWordPressの強さの表示を使うよう勧めています。IPAの20ヶ条も、推測されやすい単純なパスワードを使わないこと、使い回さないことを挙げています。「ユーザー」→「プロフィール」の「アカウント管理」にある「新しいパスワード」欄で「新しいパスワードを設定」を押し、WordPressが作る長いパスワードに替えて、いちばん下の「プロフィールを更新」で保存します。パスワード管理の道具に控えておくのが手堅いやり方です。漏れた心配があるときは、パスワードを替えたうえで、同じ画面の「セッション」にある「他のすべての場所でログアウト」を押すと、ほかの端末に残っているログイン状態も切れます。

二段階認証（パスワードに加えて、スマートフォンのアプリなどに出る数字を入れてログインする仕組み）は、WordPress.orgのログイン対策の手引きが「すべての管理者と、強い権限を持つユーザーで有効に」と勧めているものです。ただし、同じ手引きにあるとおり、WordPress本体には二段階認証は入っていません。プラグインで足します。

一例として、WordPress.orgの名前で公開されている「Two Factor」というプラグインがあります。公式ページによると、認証アプリ（Google Authenticatorなど）で出す数字、メールで届く数字、緊急用の使い捨てコード（10個）を選べます。入れたあとは、それぞれのユーザーが「プロフィール」の画面に加わる二段階認証の欄で方法を選んで保存します。緊急用のコードは、スマートフォンをなくしたときにログインできなくなるのを防ぐものなので、忘れずに控えておきます。二段階認証は、後で書く総合型のセキュリティプラグインにも含まれていることがあります。

パスワードと同じくらい気をつけたいのが、外の道具とつなぐための「合鍵」です。WordPressの「アプリケーションパスワード」や、AIなど外部のサービスとの連携の承認は、それを持つ相手に、そのユーザーとしての操作を許します。当社もAIとの接続にAI Engineというプラグインを使っています。こうした接続は合鍵と同じなので、使わなくなったものは取り消し、読むだけの用途なら権限を絞るのが基本です。アプリケーションパスワードは、プロフィールの画面の「アプリケーションパスワード」の欄で一つずつ取り消せるほか、「すべてのアプリケーションパスワードを取り消す」でまとめて取り消せます（取り消すと、それを使っていた連携は止まります）。考え方はClaudeでWordPressのホームページを作る方法の「認証情報の扱い」に書きました。

4. 管理者のアカウントを必要な人だけにする

WordPress.orgの手引きは、「admin」というユーザー名を使わないこと、管理者の数を絞り、日々の作業は権限の小さいアカウントで行うことを勧めています。IPAの20ヶ条も、不要なアカウントを残さないこと、特に開発やテストで使ったアカウントが残っていないかを確かめるよう書いています。

「ユーザー」→「ユーザー一覧」を開き、上に並ぶ絞り込みの「管理者」を押します。
並んだ一人ひとりについて、いま管理者である必要があるかを決めます。辞めた人、以前の制作会社、テスト用のアカウントは、削除するか権限を下げます。
削除するときは、そのユーザーが書いた投稿を別のユーザーに引き継ぐかを選ぶ画面が出ます。記事を残したいなら、引き継ぐ方を選びます。
記事を書くだけの人は「編集者」や「投稿者」にします。自社の管理者は、少なくとも一人は社内の人が持ちます。

権限ごとにできることの違いと、制作会社に渡す権限の決め方はWordPressのユーザー権限にあります。

5〜6：バックアップと、ログインの試行の制限

5. バックアップをサーバーとは別の場所に残す

WordPress.orgの手引きは、データベースを含めて定期的にバックアップを取ること、日付ごとの控えを残して、攻撃を受ける前の状態に戻せるようにすることを勧めています。ログイン対策の手引きも、戻し方を試してある、サーバーから切り離せるバックアップを持つよう書いています。押さえるのは次の4点です。

ファイル（画像、テーマ、プラグイン）とデータベース（記事や設定）の両方を取る。
サーバーとは別の場所にも置く。サーバーごと使えなくなったときに備えるためです。
一つだけでなく、日付の違う控えを何世代か残す。乗っ取りに気づくのが遅れると、直近の控えはもう乗っ取られたあとの状態かもしれないからです。
戻し方を一度試しておく。取ってあっても、戻せなければ役に立ちません。

WordPressの「リビジョン」（記事や固定ページの過去の版）は本文を戻すためのもので、プラグインや設定の変更は戻せません。リビジョンはバックアップの代わりにはならない、と考えてください。取り方とプラグインの選び方はWordPressのバックアップ方法にまとめています。

6. ログインの試行に制限をかける

パスワードを総当たりで試す攻撃（ブルートフォース攻撃）への備えです。WordPress.orgのログイン対策の手引きは、ログインの回数の制限は、できればサーバーやWAF（ウェブサイトへの不審な通信を手前で止める仕組み）の側で行い、それができないならセキュリティ用のプラグインで行う、と書いています。プラグインはサイトの中で動くので、攻撃が多いときにはサーバーの負担になる、というのがその理由です。同じ手引きは、ログイン画面に画像認証などを置いてロボットの試行を遅らせることや、xmlrpc.php（外部のアプリから投稿するための窓口）を使っていなければ止めることも挙げています。

注意したいのは、自社の人が締め出されることです。回数の制限や二段階認証を入れたら、ログインできなくなったときに誰がどう解除するかを先に決めておきます。締め出されたときの確かめ方はWordPressにログインできないときにあります。

7〜8：SSLと、サーバー側の機能

7. SSL（https）で通信を暗号化する

SSLは、サイトとの通信を暗号化する仕組みで、アドレスが https で始まるのはこれが入っているからです。WordPress.orgの手引きは、少なくとも管理画面への接続は暗号化することを、ログイン対策の手引きはサイト全体を https にすることを勧めています。確かめ方は2つです。

「設定」→「一般」の「WordPress アドレス (URL)」と「サイトアドレス (URL)」が https で始まっているか。
「ツール」→「サイトヘルス」の「ステータス」に、HTTPS に切り替えるよう勧める項目が出ていないか。

証明書は、レンタルサーバーの料金に無料のものが含まれている場合があり、その場合は期限の更新も自動で行われることがあります。費用の見方はホームページの保守費用の相場のSSLの項に書きました。https にしたはずなのに「保護されていない通信」と出る場合の確かめ方と直す順番は、保護されていない通信を消す：WordPressのSSL化とhttps変更の順番にまとめています。

8. サーバー側にある機能を確かめて使う

IPAの20ヶ条は、クラウドなどのサービスを使う場合、事業者の側がどこまで対策しているかを把握したうえで、足りない分を自分たちで行うよう求めています。レンタルサーバーでも同じで、多くの場合、サーバー会社が受け持つのはサーバーまでで、その上に入れたWordPressとプラグインを保つのは使う側です。サーバーの管理画面か契約で、次の4つを確かめます。

WAFがあるか、有効になっているか。
自動バックアップがあるか。何日分を残し、どうやって戻すか。
管理画面へのアクセスを、国や接続元で絞る機能があるか。
PHPの版を選べるか。いまの版は古くないか（サイトヘルスが古いPHPを重大な問題として知らせることがあります）。

WAFは便利な反面、正しい操作まで止めることがあります。外部のサービスやAIとWordPressをつなぐ通信が、WAFやセキュリティ用のプラグインに止められてつながらない、ということも起こります。何かが急に動かなくなったら、WAFの記録も見るようにします。

セキュリティプラグインは何を任せるものか

セキュリティ用のプラグインは、大きく分けると次の型があります。どれも上の8つの一部を補うもので、1・2・4・5の代わりにはなりません。以下の数字や機能は、2026年10月8日にWordPress.orgの各プラグインのページで確かめたものです。当社はここに挙げたものを勧めるのではなく、選ぶときの比べ方の例として挙げています。

型	主な機能	例
ログインを守る型	試行の制限、画像認証、ログイン画面のURL変更	SiteGuard WP Plugin
総合型	ファイアウォール、不正なファイルの検査、二段階認証、脆弱性の通知	Wordfence Security
二段階認証だけの型	認証アプリ・メール・緊急用コード	Two Factor
脆弱性の通知の型	入れているものの既知の脆弱性を知らせる	WPVulnerability

SiteGuard WP Plugin：日本の会社が作っているもので、有効インストール数は50万以上。ログイン画面のURLの変更、画像認証、ログインの失敗が続いたときの一時的なロック、本体やプラグインの更新をメールで知らせる機能があります。
Wordfence Security：有効インストール数は500万以上。無料版にもファイアウォールや不正なファイルの検査、二段階認証があります。ただし公式ページによると、ファイアウォールの規則と検査の定義の更新は、無料版では有料版より30日遅れて届きます。
Two Factor：WordPress.orgの名前で公開されている二段階認証のプラグインで、有効インストール数は10万以上。
WPVulnerability：本体・プラグイン・テーマなどの既知の脆弱性を調べ、サイトヘルスに表示したり、メールで知らせたりします。有効インストール数は1万以上。

選ぶときは、プラグインのページの「最終更新日」「検証済み最新バージョン」「有効インストール数」を見て、手入れが続いているものを選びます。そのうえで、当社の考えでは、同じ働きのものを重ねないことが大事です。たとえば総合型を入れたなら、ログインを守る型を別に足す必要は薄く、重ねるとログインの不具合が起きたときにどれが原因か分かりにくくなります。サーバーのWAFとプラグインのファイアウォールが重なる場合も、どちらで守るかを決めておきます。

後回しでよいこと、やりすぎに注意すること

検索で上位に出る解説でよく勧められている対策の中にも、8つより後でよいものがあります。

ログイン画面のURLを変える、使っているものを隠す：WordPress.orgの手引きは、隠すことを主な守りにするのは一般に筋がよくないとし、ログイン画面のURLを隠すことは雑音を減らすが、それだけに頼るべきではない、と書いています。変えるなら、新しいURLを社内で共有しておかないと、自分たちが入れなくなります（WordPressの管理画面の開き方）。
国単位でアクセスを恒久的に締め出す：ログイン対策の手引きは、正しい利用者まで締め出し、保守も難しいとして避けるよう書いています。絞るなら、管理画面やログイン画面だけに限ります。
セキュリティプラグインを何個も入れる：上に書いたとおり、重なると原因の切り分けが難しくなります。

8つが済んで余力があれば、次の3つを足します。一つめは、管理画面からテーマやプラグインのファイルを直接書き換える機能を止めることです。WordPress.orgの手引きによると、wp-config.php（WordPressの設定ファイル）に DISALLOW_FILE_EDIT という1行を加えると止められ、乗っ取られたときに管理画面からプログラムを書き換えられるのを防げます。二つめは、自動更新や更新の知らせのメールを読む人を決めることです。三つめは、Search Consoleの「セキュリティの問題」レポートを月に一度見ることで、ハッキングされた内容やマルウェアが見つかるとここに出ます。検索結果に偽のサイトが出る仕組みと、自社サイトが悪用されないための確かめ方は、SEOポイズニングとは：検索結果の偽サイトと、自社サイトが悪用されないためににまとめています。

対策を続ける人を決める

8つのうち、一度で終わるのは7くらいで、残りは続ける作業です。更新は週に何度も来ることがあり、ユーザーやプラグインは人の出入りや作り直しのたびに増えます。外に任せていても、サイトの安全の責任は運営者に残ります。誰が続けるかを決めることが、9つめの対策だと考えてください。社内で続けるか、保守として頼むかの判断はWordPressの保守とはにまとめました。

当社は、ホームページの運営に加わり、問い合わせが来るところまでを引き受けています。サイトを安全に保つことはその土台なので、ご相談の際は、更新や権限の整理がいまどうなっているかもあわせて伺います。自社のサイトでどこから手を付けるべきか判断がつかない場合は、相談するから、いまのサイトの状況をお知らせください。

参考にした公式の説明

※内容は2026年10月8日に各公式の説明で確かめたものです。プラグインの機能や数字は更新で変わることがあります。