初心者でもできるWordPressのセキュリティ対策10選

WordPressのサイトは常にセキュリティ対策が欠かせません。

特に高機能で誰でも利用できるWordPressは世界中で利用されているため、悪意を持ったハッカーなどの攻撃対象となる可能性が高いからです。

実は、WordPressは脆弱性がありそのまま使うのは危険です。

この記事は以下のような人におすすめ

・WordPressのセキュリティ対策の基本について知る
・実際にやるべきセキュリティ対策
・プラグインソフトを使ってより強力にサイトを守る方法

WordPressをインストールしただけの状態では、無防備なのでしっかりとセキュリティー対策をしましょう。

セキュリティ対策の考え方

セキュリティ対策の考え方・要点としては大まかに以下の2つです。

なるべく攻撃されないようにする
万が一、攻撃を受けても復帰できるようにしておく

ネット上にある限り、攻撃を100%防ぐことは不可能なので、なるべく攻撃をされないようにすることが必要です。

そして万が一攻撃を受けてしまった場合でも、バックアップファイルをしっかり取っておくことで、復元できる体制を整えておくのがポイントです。

なぜWordPressが狙われるのか

そもそもWordPressが攻撃されるリスクが高いのには以下の理由があります。

理由その1：ユーザー数が多いから

第一にWordPressが世界で最も利用されているCMS（コンテンツ・マネジメント・システム）だからです。

攻撃する側から見ると、1つの脆弱性(プログラムのミス)を見つけることができれば、世界中のサイトを標的にすることができ効率的だからです。

パソコンの世界でもMacよりWindowsの方が危険に晒されているのと同じ理由で、ユーザー数が多いからこそ標的になるリスクも上がるということです。

理由その2：オープンソースだから

WordPressのソースコードは詳細が一般に公開されているオープンソースと呼ばれるものなので、脆弱性を発見しやすいという点があります。

管理画面のログイン構造など、パターンがわかりやすいため脆弱性を見つけることができると、攻撃がしやすいということにつながります。

WordPressで必要なセキュリティ対策

WordPress初心者でも簡単な操作でセキュリティ対策を取ることができるので、以下の項目はすべて実施しておくことをおすすめします。

必要なセキュリティ対策

WordPress本体を最新版にする
テーマやプラグインを最新の状態にする
ユーザーの表示名を変更する
パスワードを複雑にする
不要なプラグインを削除する

WordPress本体を最新版にする

WordPressのセキュリティ対策の基本中の基本はWordPress本体のバージョンを最新にしておくことです。
WordPressにはメジャーアップデートと呼ばれるものと、マイナーアップデートと呼ばれる2種類のアップデートがあります。

メジャーアップデートとは、大きな機能の追加や管理画面のレイアウト変更などが伴うもので、半年～1年に1回程度行われるもので、手動で更新する作業が必要になります。
管理画面にログイン後、ダッシュボードの上部に「今すぐ更新してください」というお知らせが表示されるので、ウィザードに従ってアップデートをすることをおすすめします。

マイナーアップデートは、主にバグやセキュリティ対策などの小さなアップデートのことで、基本的に自動更新されるので、特に操作の必要はありません。
アップデートされると管理者宛にアップデートした旨の連絡が届くようになっています。

テーマやプラグインを最新の状態にする

WordPressの本体と同様に利用しているテーマやプラグインのアップデートの通知が表示されている場合は、最新のバージョンにアップデートすることをおすすめします。

単純な機能の追加によるアップデートや、セキュリティの向上を目的とした更新がありますので、常に最新の状態に保つのが理想です。

稀にアップデートしたことによって不具合がでる可能性もあるので、テーマやプラグインの更新の際には、万が一に備えて該当するファイルをバックアップしてから更新をすると良いでしょう。

ユーザーの表示名を変更する

実は、WordPressのユーザー名はデフォルトの状態では公開されてしまっているのです。

以下のようにあなたのサイトのアドレスの末尾に「?author=1」と付け加えてアクセスしてみてください。

https://サイトのアドレス/?author=1

デフォルトのままだとあなた(管理者)のユーザー名が表示されると思います。
あとはパスワードがわかればログインされてしまう状態になり危険です。

そのため、このようにユーザー名を表示させない方法があるので下記のページを参考に設定を変更しておきましょう。
WordPressユーザー名や表示名を変更する方法・隠す方法

パスワードを複雑にする

当然ですがユーザー名とパスワードが複雑であればあるほど、ログインされるリスクは減ります。

最近のWordPressでは自動的に英数字と記号を組み合わせた難読化されたパスワードが生成されるようになっています。
覚えるのは難しいと思うので、覚えられる範囲でできるだけ難しいパスワードにしましょう。

特に辞書にある単語や短いパスワードは絶対に避けましょう。

不要なプラグインを削除する

WordPressのインストール時に標準で入っているプラグインや、使っていないプラグインは削除しましょう。

例えば、「Hello Dolly」や「Akismet Anti-Spam」は使うことがないと思うので削除して結構です。

テーマにあらかじめ組み込まれている機能を使えば、プラグインソフトが不要であったり、機能が重複しているプラグインがある場合も、削除して最低限のプラグインソフトで運用するようにしましょう。

不要なプラグインを入れたままにしているとページの表示速度が遅くなるなどのデメリットもあります。

プラグインソフトを使ったセキュリティ対策

WordPressにはセキュリティを高めるための設定を簡単に行えるようにしたプラグインがあります。

広く使われているソフトはいくつかありますが、この記事では、「SiteGuard WP Plugin」というプラグインソフトを使った設定について紹介します。
株式会社ジェイピー・セキュアが開発した国産のセキュリティ対策ソフトです。
海外製のソフトと違ってすべて日本語で書かれているので理解がしやすいと思います。

とても簡単な操作で、高機能な設定までできるプラグインですが、最低限ここまでやっておくと各段にセキュリティを高めることができる、という機能をいくつか絞って紹介します。
【2021年版】WordPressのおすすめプラグインソフト7選

ログインURLを変更する

標準のWordPressではログイン画面のURLがすべて同じで、サイトのURLの末尾に/admin/、または /wp-login.php　と入力するとログイン画面が表示されます。
このログイン画面のURLを変更することで、容易にログイン画面に辿り着けないようにすることができます。

WordPressが攻撃されるのはほとんどがログインをされて行われるため、ここをしっかりと防ぐことでリスクを大きく
減らすことが可能です。

ログイン画面のURLは必要な人だけに共有するようにしましょう。

画像認証

ログイン画面でユーザー名とパスワードの入力の他に、表示された画像の中に書かれた文字列を入力しないとログインできないようにするための機能です。

毎回ランダムに生成された画像認証の文字列を入力しなければならないという手間はかかりますが、ロボットによるいわゆる”総当たり攻撃”を防ぐことができるので、設定しておくと安心です。