WordPressは世界中で利用されているCMS（コンテンツ管理システム）ですが、その普及率の高さからセキュリティリスクの対象にもなりやすいのが現実です。
本記事では、WordPressサイトを安全に運営するために必要なセキュリティ対策を徹底解説します。基本的なポイントから高度な対策まで網羅しているので、ぜひ参考にしてください。
1. WordPressを常に最新バージョンに更新する
最も基本的で重要な対策がWordPress本体、プラグイン、テーマの更新です。
開発者は定期的にセキュリティホールを修正していますが、これを更新しなければ脆弱性が残り続けます。
更新のポイント
- WordPress本体は自動更新を有効にする。
- 使用していないプラグインやテーマは削除する。
- 定期的にバックアップを取り、更新時のトラブルに備える。
2. 強力なユーザー名とパスワードを使用する
簡単なユーザー名やパスワードはブルートフォース攻撃の標的になります。
以下のポイントを意識して、強力な認証情報を設定しましょう。
強力な認証情報の作り方
- 「admin」というユーザー名を避ける
- パスワードは12文字以上で英数字・記号の組み合わせにする
- パスワードマネージャーを活用する
さらに、二要素認証（2FA）を導入することでセキュリティが向上します。
3. セキュリティプラグインの活用
WordPressのセキュリティを強化するために、セキュリティプラグインを活用するのも効果的です。
おすすめのセキュリティプラグイン
- Wordfence Security：ファイアウォールとマルウェアスキャン機能を提供
- iThemes Security：ログイン試行制限、データベースの保護など多機能
- Sucuri Security：サイトモニタリングやマルウェア除去が可能
これらを適切に設定すれば、悪意のあるアクセスを未然に防げます。
4. 定期的なバックアップ
万が一、サイトが攻撃されてしまった場合でも、バックアップがあれば復旧が可能です。
バックアップは定期的に取り、複数の場所（サーバー外のクラウドストレージなど）に保存しておきましょう。
おすすめのバックアッププラグイン
- UpdraftPlus：クラウドストレージ（Google Drive、Dropboxなど）と連携可能
- BackWPup：スケジュール設定で自動バックアップ
バックアップは、データベースと**ファイル（テーマ、プラグイン、メディア）**を忘れずに対象にしましょう。
5. サーバーと通信の保護（HTTPSの導入）
SSL証明書を導入し、サイトをHTTPS化することで、通信内容を暗号化できます。
HTTPS化はSEOにもプラスの効果があります。
HTTPS化の方法
- レンタルサーバーが提供する無料SSLを利用する
- Let’s Encryptを活用する
HTTPSに対応すると、アドレスバーに鍵マークが表示され、訪問者に安全なサイトであることをアピールできます。
6. ファイル権限とディレクトリ構造の見直し
サーバー上のファイル権限の設定は、適切でないと外部から不正アクセスされる可能性があります。
以下の推奨設定を参考にしてください。
- wp-config.php：
400または440 - ディレクトリ：
755 - ファイル：
644
また、wp-config.phpの配置をルートディレクトリの外に移動することで、セキュリティを強化できます。
7. REST APIとXML-RPCの制御
WordPressのREST APIやXML-RPCは便利な機能ですが、攻撃対象になることもあります。
制御方法
- REST APIは、不要な場合はプラグインを使ってアクセスを制限する。
- XML-RPCを無効化することで、ブルートフォース攻撃を防止する。
8. ログ監視と不審なアクセスの検出
定期的にアクセスログやエラーログを確認し、不審なアクセスがないかをチェックしましょう。
これにより、攻撃の兆候を早期に発見できます。
SucuriやWordfenceのリアルタイムモニタリング機能を活用すると、手間が省けます。
まとめ
WordPressサイトのセキュリティ対策は、基本を徹底することが最も重要です。
本記事で紹介した対策を順番に実践することで、多くのリスクを軽減できます。常に最新の情報をチェックし、定期的な見直しを行いながら、安全なWordPress運営を心がけましょう。
