【WordPressのセキュリティ対策】初心者でも簡単にできる方法を徹底解説

WordPressは世界でもっとも利用者数が多いCMSで、2022年時点のCMSにおけるシェア率は6割を超えています。

CMS（Contents Management System：コンテンツ・マネジメント・システム）とは、Webの専門知識がない初心者でも、簡単にWebサイトの作成・更新・運営ができるシステムのことです。

しかし、利便性が高く世界中で利用されている点が、皮肉にもハッカーに狙われやすい原因になっています。

WordPressのファイル構造は基本的にどのサイトも同じであるため、1つでも欠点を発見できれば大量のハッキングが可能になるからです。

CMSのハッキング事例に関する調査では、約90％がWordPressだったといわれており、他のCMSを圧倒する被害を受けています。

WordPressは世界でもっとも利用者数が多いCMSで、2022年時点のCMSにおけるシェア率は6割を超えています。

WordPressはオープンソース（ソースコードを無償で一般公開していること）であるという点も、セキュリティ対策が必要な理由のひとつと言えます。

オープンソース誰でも利用できるように公開されているため、便利な反面、セキュリティの脆弱性も見つけやすいのです。

脆弱性とはセキュリティ上の欠陥のことで、この脆弱性を利用することで、データの改ざんや抜き取りがおこなわれるケースが多いのです。

また、WordPressに機能を自由に後付けできるプラグインにも脆弱性が存在するので、注意が必要です。

上記2つの理由から、WordPressで作ったWebサイトやブログは世界中のハッカーから狙われやすいというデメリットがあります。

ハッカーが他人のWebサイトやブログをターゲットとする理由は、金銭目的やデータの搾取・破壊目的のほか、単なる愉快犯などさまざまです。

実は、WebサイトやブログがWordPressで作られているかどうかはブラウザの検証ツールから簡単に確認できます。

そのため「WordPressを使っているのがバレなければ狙われる心配はない」と安易に考えるのは危険です。

たとえばGoogle Chromeの場合、キーボードの「F12」を押すと「検証ツール」が開きます。

検証ツールの「Souces」タブ内にあるフォルダ内に「wp-〇〇」が含まれていると、WordPressで作成したサイトということになります。

セキュリティ対策が必要なもう1つの理由は、WordPressサイトはマルウェアが埋め込まれやすいことです。

マルウェアとは、簡単に言うと悪意のあるプログラムのことです。具体的には下記のような被害があります。

これらが原因で、自分が気づかないところで他人に被害を与えている事例もあります。

しかし、すべてのWordPressにマルウェアが埋め込まれるわけではありません。

WordPress本体のバージョンが古かったり、プラグインに脆弱性（ハッカーが外部から改ざんしやすい構造）があったりすると、攻撃を受けやすいと言えます。

過去には、「Yuzo Related Posts」「File Manager」といったプラグインに脆弱性が見つかり、多くの被害が出ました。

自分のサイトがマルウェアに攻撃されていないか、日々確認しておくことが重要です。

まずは、定期的にWordPressのバックアップを取ることが大切です。

バックアップを取っておくことで、攻撃を受けたとしても、簡単に前の状態に復旧することができます。

しかし、毎日バックアップを取るのは大変ですし、いつバックアップを取ったのか分からなくなったり、うっかり取るのを忘れてしまったりする方も多いと思います。

そこで導入したいのが、自動的にバックアップを取ってくれるプラグインです。

数あるプラグインの中でも、初心者におすすめなのが「UpdraftPlus」。

おすすめの理由は以下の3点です。

バックアップの作業自体も下記の手順で、初心者でも3分ほどでできます。

ここでバックアップを取っておけば、万が一ファイルが改ざんされても簡単に元に戻せます。

WordPressでサイトを作成した方は、必ずバックアップの設定をしておきましょう。

WordPress自体もセキュリティ強化のため、日々アップデートが繰り返されています。

WordPressは自分でアップデートを行う必要があります。

また、WordPressと同時に下記のアップデートも忘れずに行いましょう。

アップデートが発生したものは、下記のようにWordPressの管理画面上に通知が表示されます。

更新の必要があるものは、必ず最新の状態に保ちましょう。

セキュリティをさらに強化するために、WordPressだけでなくサーバー側の対策もしておくことをおすすめします。

どのサーバーにも基本的に備わっている、下記項目の設定は確認しておきましょう。

これらを設定することで、国内外からの悪意あるアクセスをはじくことができます。

これらの設定は、一度済ませてしまえば後から手を加える必要がありません。

まだやっていない方は、今からでも設定しておきましょう。

WordPressを運営するなかで、初期設定時のユーザー名である「admin」を使用している方は多いかもしれません。

しかし「admin」は予測されやすく、ハッカーの侵入を許す要因となるので変更するべきです。

ただしWordPressの仕様上、既存のユーザー名は変更できないため、ユーザー名を新規に作って置き換える方法で変更します。

WordPressの管理画面にログイン後、左側にあるメニューの「ユーザー」から「新規追加」を選択します。

上から順番に必要項目を入力していきます。

新たにユーザーが追加されていることを確認できたら、これまで使っていた既存の管理者ユーザーを削除するために一旦ログアウトします。

画面右上のアイコンから「ログアウト」を押下します。

新しく作成したユーザー名でログインします。

ダッシュボード左側メニューの「ユーザー」から「ユーザー一覧」を選択します。

既存の管理者ユーザー名を選択し、「削除」を押下してください。

「すべてのコンテンツを以下のユーザーのものにする」にチェックを入れ、「削除を実行」ボタンを押すとユーザー名の変更が完了です。

また、セキュリティ上の面から「ユーザー名」と「ブログ上の表示名」を一緒にするのは避けるべきなので、変更しておきましょう。

ダッシュボード左側メニューの「ユーザー」から「ユーザー一覧」を選択します。

ニックネームを変更したいユーザー名の下部にある「編集」を押下します。

「ニックネーム（必須）」の項目に、ユーザー名とは異なる名前を入力します。

新しいニックネームを確定するために、ページ最下部にある「プロフィールを更新」ボタンを押下します。

同じ画面上で「ブログ上の表示名」からプルダウンから変更したいニックネーム名を選び、最下部にある「プロフィールを更新」ボタンを押下して設定完了です。

セキュリティ上の観点から、ずっと同じログインパスワードを使い続けるのはハッキングのリスクを高めてしまうため避けましょう。

以下のポイントに注意のうえ定期的に変更してください。

実際にパスワードを変更するには以下の手順でおこないます。

ダッシュボード左側メニューの「ユーザー」から「ユーザー一覧」を選択します。

パスワードを変更したいユーザー名の「編集」のテキストリンクを押下します。

プロフィールの編集画面が開いたら「アカウント管理」項目にある「新しいパスワードを設定」ボタンを押下します。

あらかじめパスワードが入力されているので、表示されるパスワードを使用しても大丈夫です。

自分で入力する際は「強力」と表示されるパスワードを入力してください。

最後に、最下部にある「プロフィールを更新」ボタンを押下して完了です。

WordPressのなかでも特に被害を受けやすいのが、ログイン画面です。

なぜなら、初期設定のWordPressのサイトは、ログイン画面のURL構造が同じであるためです。

WordPressのサイトは、http(s)://○○○.com/wp-admin/のように「/wp-admin」または「/wp-login.php」をつけて開くとログイン画面にアクセスできてしまいます。

つまり、悪意のあるハッカーが簡単にWordPressのログイン画面にたどり着き、総当たり攻撃でパスワードを入れハッキングすることが可能なのです。

万が一、IDとパスワードが一致して侵入を許してしまうと、ファイルの改ざんや情報を抜き取られるなどの被害にあってしまいます。

そのような被害にあわないためにも、下記のセキュリティ対策をしておくことをおすすめします。

これらは、本記事で解説しているセキュリティ対策プラグインで簡単に設定ができます。

不正ログインの手口として有名なのは、パスワードに使用される英数字と記号をすべて組み合わせて何度もログインを試みる方法です。

これは総当たり攻撃またはブルートフォース攻撃と呼ばれるハッキング方法です。

そのためログイン試行回数を制限することが有効なセキュリティ対策と言えます。

たとえば「〇回ログインに失敗すると〇分間または〇時間ログインできなくなる」といった設定をすることで、セキュリティを高めることが可能です。

WordPressではプラグイン「Limit Login Attempts Reloaded」の導入によってログイン試行回数の制限ができます。

簡単に設定でき、あなたのWordPressサイトを不正ログインのリスクから守ってくれます。

また、プラグイン自体もWordPressで攻撃を受けやすい要素のひとつです。

誰でも簡単に扱えて、拡張性が高く便利なことから、自分のWordPressにたくさんのプラグインを導入している方も多いでしょう。

プラグインに含まれるプログラムに脆弱性が見つかると、ハッカーに侵入され、悪意のあるプログラムを埋め込まれることがあります。

むやみにプラグインを導入すると、そのぶんハッキングされる危険性が高まるのです。

また、複数のプラグイン同士が干渉することでサイトのデザインが崩れたり、正常に動かなくなってしまったりする場合もあります。

使用頻度が少ないプラグインやなくても問題のないプラグインは、できるだけ削除しておきましょう。

SiteGuard WP Pluginは、WordPress管理画面の保護ができるプラグインです。

WordPress管理画面へのログインページURLは、初期設定のままでは誰でもアクセスできるためセキュリティ上好ましくありません。

SiteGuard WP Pluginを利用することで簡単にログインURLを変更できるため、不正アクセスの抑止に繋がります。

またログインした際にメールで通知が届き、不正アクセスに素早く気づける点もメリットです。

CAPTCHA認証（画像認証）も利用できるので、ロボットによるログイン試行を防ぐためにも有効なセキュリティ対策プラグインと言えます。

All In One WP Security & Firewallは、WordPressのセキュリティを総合的に高めてくれるプラグインです。

WordPressはソースコードを見るとバージョンが確認できます。

古いバージョンを使用しているとハッカーのターゲットにされるため大変危険ですが、このプラグインはバージョン情報を非表示にできるため、不正アクセスの防止が可能です。

また「セキュリティポイント採点」と呼ばれるシステムを搭載し、WordPressサイトのセキュリティレベルを測定したうえで、効果的な対策を練ることができます。

さらにログインに数回失敗したIPアドレスがあった場合、一定時間ログインさせない機能が備わっている点もメリットです。

初期状態は英語表記のため、必要に応じて日本語化ファイルをインストールしましょう。

Akismet（Akismet Spam Protection）は、スパムコメントと呼ばれる迷惑な書き込みを自動で防いでくれるプラグインです。

コメント機能を有効にしていてスパムコメントが投稿された場合、1つずつ削除するのは効率的ではありません。

Akismetを導入することでスパムコメントを自動で判定しフォルダ分けしてくれるため、コメント機能を使用する方にとって欠かせないプラグインと言えます。

スパムコメントのブロックによってディスク容量に余裕ができるので、表示速度の改善にも繋がるでしょう。

ただし、コメント機能に特化したセキュリティ対策プラグインのため、WordPressサイトでコメント機能を使用しない場合は不要です。

Limit Login Attempts Reloadedは、WordPressの管理画面へのログイン試行回数を制限し、不正ログインを防止できるプラグインです。

プラグインの導入により、ログインの試行回数や、ログインに失敗した際のアカウントロックの時間を自由に設定できます。

アカウントのロック回数に応じてロックする時間の設定もできるので、ブルートフォース攻撃による不正ログインの防止にも有効です。

アカウントロックをメールで通知してくれる機能も搭載し、異常があった際に気づくことができます。

reCaptcha by BestWebSoftは、画像認証でセキュリティを強化して不正ログインを防止するプラグインです。

Googleの「reCAPTCHA v2およびv3」と連携でき、登録・ログイン・コメントの各フォームにreCAPTCHA 機能（画像認証機能）を追加できます。

reCaptcha by BestWebSoftを使用するには、WordPressサイトをGoogleに登録のうえ設定する必要があり、初心者の方には少し難しいかもしれません。

しかしセキュリティの高さには定評があり、悪質なロボットの侵入を防ぐのに役立つプラグインです。

BackWPupは、WordPressサイトのバックアップによってデータ改ざんなどの被害を最小限に抑えられるプラグインです。

WordPressサイトで使われている全てのデータを1つのファイルにまとめて保存できるため、取得したバックアップデータを紛失するリスクを軽減できます。

また、バックアップしたデータを連携する外部サービスに自動でアップロードしたり、メールに添付して送信したりすることも可能です。

日付や時間を指定した定期的なバックアップの取得もできるので、万が一ハッキングされた場合も被害を少なくできるでしょう。

プラグインの導入によりセキュリティ対策が可能とはいえ、導入方法がわからない方もいるかもしれません。

そこで、プラグインのインストール方法を解説します。

まずダッシュボード左側メニューの「プラグイン」から「新規追加」を選択します。

プラグインの新規追加ページに切り替わるので、右上の検索窓で導入するプラグインを検索しましょう。

ここでは、先ほど紹介したセキュリティ対策プラグインの「SiteGuard WP Plugin」をインストールしてみます。

検索結果にプラグインが表示されたら「今すぐインストール」ボタンを押下します。

続いて「有効化」ボタンを押下します。

インストール済みプラグインの一覧が表示され、有効化したプラグインが表示されているのを確認できたらインストール作業が完了です。

Webにくわしくない初心者でもたった10分で始められるレンタルサーバー「ConoHa WING」。

とっても簡単だから今すぐ始めちゃいましょう。

また下記の記事では、ConoHa WINGを使ってWordPressを開設する方法を、画像付きでくわしく解説しています。

他社のレンタルサーバーをご利用中で、ConoHa WINGにお乗り換えを検討されている方も安心です！

煩雑なレンタルサーバーの移行もかんたんにお乗換えいただけるよう、いくつかのサポートを用意しています。