---
title: "オレインデザインがおすすめするWordPressサイトのセキュリティ対策"
canonical_url: "https://olein-design.com/blog/my-recommended-security-measures-for-wordpress-websites"
language: "ja"
date_published: "2025-11-18T16:07:24+09:00"
date_modified: "2026-01-19T10:39:08+09:00"
content_type: "post"
author: "久野晃司"
taxonomies:
  category:
    - "ホームページ運営"
---

# オレインデザインがおすすめするWordPressサイトのセキュリティ対策

最近、SNS では定期的に WordPress のセキュリティに関する話題が沸いては議論され、賑わいを見せてくれていますが、正直なところ毎度提言される内容はそれほど変わらず、それをエサにフォロワーや露出を上げるといった機会に使われているようにも感じます。

しかし、WordPress をはじめとするシステムを利用したウェブサイト管理・運用を行う場合、最低限の運用やセキュリティに関する知識と考え方を持っておくべきだと、個人的には考えています。

この「考え方を持っておくべき」という点ですが、自身の考えを持つためには、その考えを支える根拠（エビデンス）が必要となります。ですので、最低限の学習が必要になることが少なくありません。

本記事では、僕が考える WordPress を使う上で必要なセキュリティ対策を、根拠を示しながら紹介していきます。

根拠となる情報を一緒に確認していただきながら、みなさんそれぞれで自身が信じられる WordPress セキュリティ対策を導き出していただけると良いかと思います。

目次

## 絶対に欠かすことができない３つのセキュリティ対策

まずは必ず欠かすことはできないと僕が考えている３つの対策を紹介します。その後に、３つの対策に対して追加する形で取り組むべき対策を紹介しますが、**それらはすべてこの３つの対策が施されていることを前提とした内容となっている**ことに注意してください。

僕が欠かすことができないと考えている３つのセキュリティ対策は、

1. 本体・テーマ・プラグインを最新の状態に保つ
2. バックアップを定期的に取得する
3. ログインなど認証を強固にする

以下に詳しく解説していきます。

### 本体・テーマ・プラグインを最新の状態に保つ

WordPress を利用する上で随時アップデートが可能となるものとして、

- WordPress 本体（コア）
- インストールしているテーマ
- インストールしているプラグイン

があります。

これらはそれぞれ随時アップデートが行われ、管理画面に通知がされます。その更新通知を確認したら、可能な限り早くアップデートを実施するべきと考えています。なぜなら、それぞれが最適な状態を保つためにアップデートが実施されるからです。

WordPress 本体であればセキュリティ対策の強化やバグ修正などを含むことがありますし、インストールしているテーマやプラグインでも同様の対応のためにアップデートが実施されることがあります。

このように利用しているプロダクトを、それぞれ最適な状態に保つためにも、アップデートは必要不可欠なものです。WordPress に限らずシステムを利用する場合には、必要なアップデートを運用計画に含むことは必須です。

WordPress 公式ドキュメントにも以下のように記述があります。

> The most important thing to do for WordPress security is to keep WordPress itself and all installed plugins and themes up to date. It is also encouraged for users to choose themes and plugins that are actively receiving updates.
>
>  （訳）WordPressのセキュリティにおいて最も重要なことは、WordPress本体とインストール済みのすべてのプラグインおよびテーマを最新の状態に保つことです。また、ユーザーは積極的に更新が提供されているテーマやプラグインを選択することが推奨されます。
>
>  参照: [https://developer.wordpress.org/advanced-administration/security/](https://developer.wordpress.org/advanced-administration/security/)

こちらのドキュメントは、WordPress を高度に管理するために情報が集められたハンドブックになるのですが、運用に必要な情報がたくさん紹介されているので、ぜひ一読されることをお勧めします。

### バックアップを定期的に取得する

バックアップというのは、ウェブサイトを運用している WordPress のデータを、復元可能なデータとして保存することだと理解していただいて良いかと思います。

個人的には、データを取得する頻度も大切だと考えています。ウェブサイトの更新頻度によって、データを取得する最適な頻度も変わってきます。

よく更新されるウェブサイトのバックアップデータを、数ヶ月に一回のペースで取得していては、何か問題が発生してバックアップデータを活用したいと考えた際に、有用なデータにならない可能性があります。

また、できれば運営者側で復元までの作業を行えた方が、有事に迅速に対応することができるかとは思いますが、技術的なハードルが高いとも考えられるため、理想としては復元できるスキルを保持していると良いと考え、必須とは考えていません。

ウェブサイトに限らずスマートフォンなどでも同じかと思いますが、何かトラブルが起きた際に必要となるのがバックアップデータです。そして、必要性を感じてからでは用意できないことが多いです。

WordPress 公式ドキュメントの中にも、以下のように記述があります。

> Site backups are essential because problems inevitably occur and you need to be in a position to take action when disaster strikes.
>
>  （訳）サイトのバックアップは不可欠です。なぜなら、問題は必ず発生するものであり、災害が発生した際にすぐに対処できる態勢を整えておく必要があるからです。
>
>  参照：[https://developer.wordpress.org/advanced-administration/security/backup/#wordpress-backups](https://developer.wordpress.org/advanced-administration/security/backup/#wordpress-backups)

事前に運用計画の一部として、適切な頻度でバックアップを行うことを徹底しましょう。

### ログインなど認証を強固にする

ログイン画面から簡単に管理画面へ入られているケースもまだまだ少なくはありません。

まず、単純にアカウント名とパスワードが推測可能なものに設定されているケースがとても多いということです。

仮にアカウント名は便宜上シンプルなものになったとしても、パスワードを強固なものにしておくだけでも違うでしょう。

個人的には、WordPress 側が自動的に作ってくれるパスワードを利用するか、もしくはwebブラウザが生成してくれるパスワードを活用するなどして、強固なパスワードを利用することをお勧めします。

また、画像認証機能をログイン画面に導入するのも良いでしょう。その際には、日本語話者であることを活かして（この記事を読まれているということは、日本語話者だという推測から）、一般的な英数字を入力するものではなく、ひらがなを入力させるものを採用するのも良いでしょう。

この機能は手軽に導入することができるので、ぜひ調べてみてください。

[埋め込みコンテンツ](https://ja.wordpress.org/plugins/xo-security/)

上に紹介するプラグインでも導入できる機能として、２要素認証というものがあります。

こちらを導入することで、アカウント名とパスワードを知っている人間で、かつ登録されているデバイスを所持している人間だけがログインを完了できるようになります。

ですので、仮にアカウントとパスワードを解読されたとしても、アカウントと紐づけてあるデバイスが手元にないと最終的にログインが完了しないということです。

二要素認証を導入することで、より認証を強固にすることができます。確かにログインするには手間がかかるようになりますが、ウェブサイトの安全性を確保するための施策としては大変有効だと考えています。

## 追加のセキュリティ対策

これまで紹介してきた３つの対策を行った上で、より一層強固な対策を施したいという場合にぜひ参考にしていただきたい情報を以下に紹介します。

それぞれの内容を把握した上で、ぜひ採用するかどうかを検討していただければと思います。

### 信頼できるテーマ・プラグインだけを使う

WordPress では多くの利用できるテーマやプラグインが、無料・有料を問わず配布され利用できるよう提供されています。

また、提供方法も大きく分けると２通りあり、

- WordPress 公式ディレクトリ経由での配布
- （独自ウェブサイトなど）それ以外の配布

があります。

WordPress 公式ディレクトリに掲載されているテーマやプラグインは、レビュアーによるレビューが完了しないと掲載されないため、一定の品質は保っていると考えることができます。

しかし、定期的に更新されていないテーマやプラグインも多くあり、日常的にメンテナンスされているものを選択する必要があります。安易にインターネット検索などでお勧めされているだけで採用することは控え、自身で責任を持って採用を検討する必要があります。

こういった観点からも、利用するテーマやプラグインの開発者がどんな人なのか、または知っている人であると、より信頼を寄せることもできるでしょう。（それが完璧とは言えませんが）

何はともあれ、テーマやプラグインの利用を決めるということは、それらを通して起こり得る全てに責任を負うということでもあります。そのためにも、日常的にテーマやプラグインの情報収集や調査を行うことを意識したいですね。

[埋め込みコンテンツ](https://developer.wordpress.org/plugins/wordpress-org/detailed-plugin-guidelines/)

### 管理者アカウントを最小限にし、ユーザー権限を適切に分ける

WordPress は、ユーザーごとにできること・できないことを制御するためのロール（役割）と権限の仕組みを持っています。

[埋め込みコンテンツ](https://wordpress.org/documentation/article/roles-and-capabilities/)

例えば、投稿だけできればい良い人に対して、管理者権限まで与えてしまうと、必要のない権限をそのアカウントに与えることになります。そして、そのアカウントが乗っ取られた場合に被害が最大化してしまいます。

管理者権限というのは、想像以上にパワフルな権限であることを理解する必要があります。その権限を、WordPress やウェブサイト運用についての知識や責任を持てない人に与えることは、大きなリスクになることを意味します。

まずは、必要のないアカウントは用意しないことが大切です。その上で、それぞれのアカウントに必要な役割を与えることができるユーザー権限を用意することは望ましいです。

### ログイン試行回数の制限とログインログの監視

ログイン画面に対して、アカウント名とパスワードをランダムに選定して入力をしログインを試みる攻撃を**ブルートフォース攻撃**と呼びます。

[埋め込みコンテンツ](https://owasp.org/www-community/controls/Blocking_Brute_Force_Attacks)

当然、推測可能なパスワードを設定している場合、このブルートフォース攻撃でパスワードを当てられてしまう可能性があるため、前述しているように強固なパスワードの設定を強く推奨しています。

しかし、強固なパスワードを設定したとしても、無限に試されることで判明してしまうリスクもゼロではありません。

しかし、ログインを試すことができる回数に制限を設けることで、そのリスクを一層減らすことができます。

そして、自分以外にもユーザーがいる WordPress サイトの場合、他のユーザーも含めた全てのアカウントのログイン履歴などを記録しておくことも有益です。

身に覚えのないログインを簡単に記録（ログ）から探すことができるようになります。

しかし、残念ながら WordPress の標準機能としては、これら２つ（ログイン試行回数の制限とログインログの記録）を提供することができません。ですので、プラグインなどで用意する必要があります。

先ほど紹介した XO Security プラグインでは、二要素認証以外にもログイン試行回数の制限とログインログの記録を行うことができます。

興味がある方はぜひ調べてみてください。

[埋め込みコンテンツ](https://ja.wordpress.org/plugins/xo-security/)

### セキュリティプラグインや WAF（Web Application Firewall） の導入

利用するサーバーから設定できる WAF を活用することも検討されることをお勧めします。手軽に利用できるレンタルサーバーサービスの多くが、管理画面から簡単に WAF を利用することができます。

[埋め込みコンテンツ](https://www.xserver.ne.jp/manual/man_server_waf.php)

[埋め込みコンテンツ](https://help.sakura.ad.jp/rs/2233/)

WAF は、悪意のあるリクエストや概知の攻撃パターンをアプリケーションの前段で遮断してくれます。

便利な機能ではあるのですが、場合によっては WordPress の通常動作を誤検知することがあります。代表的な誤検知として、

- HTML/JavaScript を含む投稿の保存
- カスタム投稿タイプのメタ保存
- 一括編集やバルク操作

などが知られています。このような誤検知によって通常の WordPress 動作に支障をきたす場合は、別途対応が必要になる場合があります。

- 管理画面へのアクセスをホワイトリスト登録
- `admin-ajax.php` と REST API をWAF に対象外にする
- セキュリティプラグインとの機能重複を見直す

などなど、必要に応じて対応できる上で導入を検討してください。

### ウェブサイト全体の HTTPS 化（常時SSL）

近年では、ウェブサイトを HTTPS 化することは一般的になってきているので、ここで取り上げる必要はないかもしれません。

しかし、本記事をお読みの**非技術職の方**の中には「HTTPS化とは？」という方もみえるかもしれません。そういった方々も対象にした記事ですので、あえて取り上げさせていただきます。

ウェブサイトを介した情報のやりとりを全て暗号化する仕組みであり、近年では対応していないウェブサイトの方が少なくなっているかと思います。

また、Google 検索などでの優位性に関しても言及されることが多く、多くのWebブラウザでは、HTTPS 化していないウェブサイトにアクセスする際に、アラートやメッセージが表示されます。閲覧者に危険なウェブサイトであると認識されないためにも対応は必須です。

[埋め込みコンテンツ](https://jprs.jp/pubcert/about/aossl/)

### 管理画面からテーマ・プラグイン編集機能を無効化

これまで紹介してきた施策を施していれば、悪意のあるログインをされる可能性はかなり低いと考えていますが、仮に入られた際に管理画面から悪事を働かれないようにすることもできます。

WordPress の管理画面では、利用しているテーマやプラグインのファイルを直接編集できる機能があります。

![WordPress 6.8 でテーマファイルエディターにアクセスした際のスクリーンショット](https://olein-design.com/wp-content/uploads/2025/11/image-1024x681.png)

この機能を介して、悪意のあるコードを記述し実行させることもできます。ですので、この機能を利用できなくするという対処も可能です。

[埋め込みコンテンツ](https://developer.wordpress.org/advanced-administration/security/hardening/#disable-file-editing)

```
define( 'DISALLOW_FILE_EDIT', true );
```

このコードを記述することで、ファイル編集機能を利用できなくすることが可能です。

また、悪意がなくても WordPress に詳しくないユーザーが誤って編集をしてしまうという場合もあるかもしれません。ですので、管理者権限を持たないユーザーのみ機能を制限するということも検討できるでしょう。

### 定期的なセキュリティ・脆弱性診断

WordPress 本体や利用しているテーマ・プラグインには、常に新しい脆弱性が発見されており、アップデートでは追いついていない場合もあるかもしれません。

そういった場合を想定して、WPScan や Jetpack Scan といったツールを活用し、自身が管理する WordPress ウェブサイトの診断を行うことができます。

一部有償となったり、実行するには技術が必要な場合もありますので、必要に応じて技術者に相談すると良いでしょう。

[埋め込みコンテンツ](https://ja.wordpress.org/plugins/wpscan/)

[埋め込みコンテンツ](https://jetpack.com/resources/scan-wordpress-site-for-vulnerabilities/)

## まとめ

これが全てではありませんが、いろいろなセキュリティ対策を紹介してきました。

個人的には冒頭でも紹介しているように、最低限の3つをしっかりと取り入れていれば、大きな問題を抱えることは少ないと考えています。

基本的な取り組みをしっかりと行う上で、加えてどんな取り組みを行うかは、取り組み内容を確認し、そのメリット・デメリットも理解した上で取り入れることが重要です。

どこかの誰かが言っていた取り組み、という理解の浅い状態で取り入れることは、場合によってはメリットよりもデメリットの方が勝る場合があります。

どんな取り組みを採用する場合でも、しっかりと内容を把握した上で取り入れ、安心・安全に WordPress ウェブサイトを運用できる環境を手に入れましょう！