WordPress のセキュリティ対策は、特別な道具をそろえるより、基本を決まった順番で続けるほうが効きます。この記事では、保守の仕事で実際にやっている順番に沿って、まず手を付けたい 7 つをまとめました。
以前は、同じテーマの記事を 3 本に分けて載せていました。中身が重なっていたので、この 1 本にまとめ直しています（2026 年 10 月）。
WordPress が狙われやすい理由
WordPress は使っている人が多いので、攻撃する側から見ると、同じやり方を多くのサイトに試せる相手です。狙われるのは有名なサイトだけではありません。機械が片っ端から試してくるので、小さなサイトも同じように狙われます。
入られる原因で多いのは、更新していない本体・プラグイン・テーマ、使い回しの弱いパスワード、そして公開フォルダに置きっぱなしの古いファイルです。どれも、地道な手入れで防げるものです。
1. 本体・プラグイン・テーマを更新する
いちばん効くのは更新です。公開されている弱点は、修正バージョンが出たあとに狙われることが多いので、更新を止めたままにするのがいちばん危険です。
小さなバージョンアップ（6.8.1 → 6.8.2 のような修正のバージョン）は、自動更新のままにしておくのがおすすめです。大きなバージョンアップやプラグインの更新は、先に作業環境で試してから本番に入れると安心です。使っていないプラグインとテーマは、止めるだけでなく消しておきましょう。止めていても、ファイルが残っていれば弱点も残ります。
PHP のバージョンも同じで、サポートの切れたバージョンは早めに上げます。上げる前の確かめ方は「エックスサーバーで PHP を 8.3 に上げる前に、サブドメインのサイトまでまとめて確かめる」に書きました。
2. バックアップを取り、戻せるかを確かめる
どれだけ守っても、入られる可能性はゼロにはなりません。最後に頼れるのはバックアップです。データベースとファイル（特に wp-content）の両方を、定期的に取っておきます。
大事なのは、バックアップをサーバーの外にも置くことです。同じサーバーにしかないと、サーバーごと壊れたときに一緒に失います。また、公開フォルダにバックアップのファイルを置いたままにすると、ファイル名を知られたときにサイト全体とデータベースを落とされてしまいます。作り終えたら手元に移して、サーバーからは消しておきましょう。
取ったら一度は戻してみて、本当に戻せるかを確かめておくと、いざというときに慌てません。手順の例は「Duplicator プラグインを使ったバックアップと復旧の手順」にあります。
3. ログインを守る
管理画面のパスワードは、ほかのサービスと使い回さず、長くて推測しにくいものにします。パスワードマネージャーで作って覚えさせるのが楽です。管理者のアカウントは必要な人だけにして、記事を書くだけの人には「編集者」や「投稿者」の権限を割り当てます。
あわせて、ログインの守りをプラグインで足します。ログインの URL を変える、何度も失敗した接続元を止める、画像認証を出す、ログインがあったらメールで知らせる、といった機能です。このサイトでは SiteGuard WP Plugin を使っていて、設定は「SiteGuard WP Plugin のおすすめ設定」にまとめました。ほかのプラグインとの比べと、ログインの URL を変えたときの落とし穴は「SiteGuard と CloudSecure を比べる」に書いています。
ログインの守りは、1 つのプラグインにまとめるのがおすすめです。同じ役目のプラグインを重ねると、片方の設定がもう片方を打ち消したり、自分が管理画面に入れなくなったりします。
4. 使わない入口を閉じる
使っていない入口は、閉じておくと狙われる場所が減ります。代表的なのが xmlrpc.php で、外部のアプリから投稿しないなら止めて問題ありません。プラグインの設定で止まらないときの方法と、止まったかの確かめ方は「SiteGuard の XML-RPC 無効化が効かないときに .htaccess で xmlrpc.php を止める」にあります。
REST API は、ブロックエディターやお問い合わせフォームなど、WordPress の中でも使われています。まるごと止めると管理画面やフォームが動かなくなるので、止めるなら「ログインしていない人のユーザー一覧だけ」のように、範囲を絞って止めます。
5. 公開フォルダを片付ける
移転や作業のときに置いた古い PHP ファイル、テスト用のファイル、wp-config.php の控えなどが、公開フォルダに残っていることがあります。外から開けると、中のパスワードを読まれたり、古いスクリプトの弱点を使われたりします。
片付けるときは、本番のファイルを外から開いて確かめるのではなく、手元のコピーで中身を読んでから消すのが安全です。やり方は「公開フォルダに残った古い PHP スクリプトの見つけ方と片付け方」に書きました。
6. SSL（HTTPS）と、サーバーの守りを使う
今はほとんどのサーバーで、無料の SSL 証明書を使えます。サイト全体を HTTPS にして、http で来た人は https に転送しておきます。ログインのパスワードやお問い合わせの中身を、途中で読まれないようにするためです。
レンタルサーバーの WAF（不正な通信を止める機能）も、できるだけオンにします。ただし、記事の中にコードを載せるサイトでは、保存のときに WAF が引っかかることがあります。どこまでオンにするかの考え方は「エックスサーバーの WAF をどこまでオンにするか」にまとめました。
7. 外からどう見えているかを確かめる
対策をしたつもりでも、外から見ると情報が漏れていることがあります。たとえば、ログイン ID が分かってしまう、WordPress のバージョンが出ている、debug.log が開ける、といったものです。
このサイトの「WordPress セキュリティー診断」で、ご自分のサイトの URL を入れると、外から分かる情報を確かめられます。管理画面の「サイトヘルス」も、更新の止まりや設定の問題を教えてくれます（「サイトヘルスの『致命的な問題』の改善方法」）。
続けるための目安
一度やって終わりではなく、続けることで効いてくるのがセキュリティ対策です。目安として、更新とログイン履歴の確認は週に 1 回、バックアップから戻せるかの確認と使っていないプラグインの片付けは月に 1 回くらいが続けやすいと思います。
自分でやる時間がない、すでに様子がおかしいという場合は、保守や診断のご相談も受けています。改ざんの痕跡や古いプラグインを調べる診断は「WordPress の診断」をご覧ください。
