WordPressのセキュリティ対策は何をすればいい？Webサイト運用で確認したいポイント
WordPressは多くのWebサイトで利用されているCMSですが、公開後も継続的なセキュリティ管理が欠かせません。本体・テーマ・プラグインの更新からアカウント管理、ログイン保護、バックアップ体制まで、Web制作者が押さえておきたい基本対策を解説します。
INDEX（目次）
- なぜWordPressにセキュリティ対策が必要なのか？
- WordPress本体を最新の状態に保つ
- テーマ・プラグインも確認する
- 使用していないプラグインは整理する
- 管理者アカウントを適切に管理する
- パスワードを適切に設定する
- ログイン画面への不正アクセスにも注意する
- SSLが正常に利用できているか確認する
- バックアップ体制も確認する
- 「更新すること」と「安全であること」は同じではない
- Web制作者が複数のWordPressサイトを管理すると？
- 問題が起きてから気付くのでは遅い
- SALUTOではWordPressセキュリティ監視にも対応
- WordPressセキュリティで確認したい7つのポイント
- まとめ
WordPressは、多くのWebサイトで利用されているCMSです。
企業サイト、店舗サイト、メディア、ブログなど幅広いWebサイトで利用され、Web制作の現場でも扱う機会が多いサービスです。
一方で、WordPressでWebサイトを公開した後には、セキュリティ対策を継続して行う必要があります。
WordPress本体をインストールしてサイトを公開しただけで、その後何もしなくてよいわけではありません。
特に複数のクライアントサイトを管理しているWeb制作者の場合、
企業サイト、店舗サイト、メディア、ブログなど幅広いWebサイトで利用され、Web制作の現場でも扱う機会が多いサービスです。
一方で、WordPressでWebサイトを公開した後には、セキュリティ対策を継続して行う必要があります。
WordPress本体をインストールしてサイトを公開しただけで、その後何もしなくてよいわけではありません。
特に複数のクライアントサイトを管理しているWeb制作者の場合、
Web制作者が公開後に継続確認すべき項目
- WordPress本体のバージョン更新
- 導入テーマのセキュリティと互換性
- プラグインの更新や不要プラグインの放置
- 管理画面へのアクセス・アカウント権限
- サーバー環境（PHPバージョン等）の適合
- SSL証明書の有効期限
- ドメイン自体の契約有効期限
など、継続して確認すべき項目が増えていきます。
本記事では、Webサイト公開後の保守において確認しておきたいWordPressセキュリティ対策の基本ポイントを整理して解説します。
本記事では、Webサイト公開後の保守において確認しておきたいWordPressセキュリティ対策の基本ポイントを整理して解説します。
なぜWordPressにセキュリティ対策が必要なのか？
WordPressに限らず、インターネット上で公開されているWebシステム全般には不正アクセスや脆弱性を狙った攻撃のリスクが常に存在します。
特にWordPressは世界中で圧倒的なシェアを持つCMSであるため、攻撃対象として自動スキャンや無差別な攻撃プログラムのターゲットになりやすいという特徴があります。
WordPressサイトは、一般的に以下のような複数の要素が組み合わさって動作しています。
特にWordPressは世界中で圧倒的なシェアを持つCMSであるため、攻撃対象として自動スキャンや無差別な攻撃プログラムのターゲットになりやすいという特徴があります。
WordPressサイトは、一般的に以下のような複数の要素が組み合わさって動作しています。
WordPressサイトを構成する主要要素
- CMS本体（コアファイル）：WordPressの基本プログラム
- テーマ（デザインテンプレート）：表示レイアウトや機能を担うファイル群
- プラグイン（拡張機能）：お問い合わせフォームや機能拡張プログラム
- 管理者・投稿者アカウント：管理画面へログインするための権限
- サーバー・データベース環境：PHP、MySQL、Webサーバーなどのインフラ層
ここで重要な考え方は、「WordPressだから危険」なのではなく、「適切な管理をせずに使い続けることがリスクになる」ということです。
構成要素ごとに適切な点検と管理を行っていれば、多くのトラブルや攻撃リスクを大幅に未然防止できます。
構成要素ごとに適切な点検と管理を行っていれば、多くのトラブルや攻撃リスクを大幅に未然防止できます。
WordPress本体を最新の状態に保つ
WordPressでは、開発コミュニティによって継続的にアップデートが提供されています。
これらの更新には、主に以下のような内容が含まれます。
これらの更新には、主に以下のような内容が含まれます。
WordPressアップデートに含まれる主な内容
- セキュリティ修正：新たに発見された脆弱性への対応パッチ
- 不具合修正（バグ修正）：動作エラーや予期せぬ動作の改善
- 新機能・互換性向上：エディタ機能の改善や最新PHPバージョンへの適応
セキュリティ上の観点からは、古いバージョンを長期間放置して使い続けないことが基本です。既知の脆弱性が公表されている古いバージョンは、自動攻撃ツールにとって格好の標的となります。
ただし、「最新版にすれば必ず安全」というわけではありません。
WordPress本体を不用意に更新すると、使用しているテーマや古いプラグインとの間で互換性トラブルが発生し、サイトの表示崩れや機能停止を引き起こすことがあります。テーマやプラグインとの動作互換性を事前に確認しながら、計画的に更新することが重要です。
ただし、「最新版にすれば必ず安全」というわけではありません。
WordPress本体を不用意に更新すると、使用しているテーマや古いプラグインとの間で互換性トラブルが発生し、サイトの表示崩れや機能停止を引き起こすことがあります。テーマやプラグインとの動作互換性を事前に確認しながら、計画的に更新することが重要です。
テーマ・プラグインも確認する
WordPressサイトのセキュリティインシデントにおいて、本体そのものよりも「プラグインやテーマの脆弱性」が侵入経路となるケースは非常に多く見られます。
サイト公開後の保守実務では、以下の項目を定期的に確認する習慣が欠かせません。
サイト公開後の保守実務では、以下の項目を定期的に確認する習慣が欠かせません。
テーマ・プラグインの定期確認項目
- 更新版が公開されていないか：開発元から脆弱性修正や改善パッチが出ていないか
- 長期間更新されていないものがないか：1年以上更新が停止している開発放棄プラグインはないか
- 使用していないプラグインが残っていないか：過去のテスト用や不要になった機能がないか
- 不要なテーマが残っていないか：現在有効化している親テーマ・子テーマ以外の古い標準テーマなど
Webサイトにどのプラグインが導入されており、それぞれがどのような役割を果たしているのか、必要な構成を正確に把握できる状態にしておくことが安全運用の第一歩です。
使用していないプラグインは整理する
Web制作の実務では、開発中に一時的に使ったプラグインや、以前の制作会社が導入したプラグインがそのままサーバー上に残っているケースが珍しくありません。
ここで注意したいのは、「停止（無効化）しているから安全」とは言えないという点です。
無効化されているプラグインであっても、ファイル自体がサーバー上に存在していれば、外部から直接スクリプトを実行される脆弱性が突かれるリスクは残ります。
重要なのは、「本当にそのサイトに必要なのかを確認する」ことです。
ただし、用途や依存関係を確認せずに安易に削除することを推奨しているわけではありません。特定のカスタムフィールドや過去の問い合わせデータの保持に関わっている場合もあるため、クライアントの運用状況やソースコードを精査した上で、不要と判断されたものを計画的にアンインストール・削除しましょう。
ここで注意したいのは、「停止（無効化）しているから安全」とは言えないという点です。
無効化されているプラグインであっても、ファイル自体がサーバー上に存在していれば、外部から直接スクリプトを実行される脆弱性が突かれるリスクは残ります。
重要なのは、「本当にそのサイトに必要なのかを確認する」ことです。
ただし、用途や依存関係を確認せずに安易に削除することを推奨しているわけではありません。特定のカスタムフィールドや過去の問い合わせデータの保持に関わっている場合もあるため、クライアントの運用状況やソースコードを精査した上で、不要と判断されたものを計画的にアンインストール・削除しましょう。
管理者アカウントを適切に管理する
どれほどシステム本体を堅牢にしていても、管理画面のアカウント管理がずさんであれば不正侵入を容易に許してしまいます。
長期運用されているWebサイトでは、登録ユーザー一覧を定期的に見直すことが不可欠です。
長期運用されているWebサイトでは、登録ユーザー一覧を定期的に見直すことが不可欠です。
アカウント管理で確認したいチェック項目
- 不要な管理者が残っていないか：過去の開発パートナーや外部委託先のアカウント
- 退職者や以前の制作会社のアカウントが放置されていないか
- 強度の低いパスワードが設定されていないか
- 複数人で同じ管理者アカウントを共有していないか：担当者ごとに個別のアカウントを発行する
- 必要以上の権限を与えていないか：記事投稿者には「管理者」ではなく「投稿者」「編集者」を付与する
パスワードを適切に設定する
WordPressの管理画面を狙う総当たり攻撃（ブルートフォースアタック）や辞書攻撃からサイトを守るには、適切なパスワード設定が基本です。
以下のような推測しやすいパスワードは絶対に避ける必要があります。
以下のような推測しやすいパスワードは絶対に避ける必要があります。
避けるべきパスワードの例
- 会社名、屋号、ブランド名
- サイトのドメイン名やURLの一部
- 代表者や担当者の誕生日、電話番号
- 「admin1234」「password」「qwerty」などの単純・連続した英数字
また、他サービスと同じパスワードを使い回さないことも鉄則です。万が一別のサービスで情報漏洩が起きた際、芋づる式にWordPressへログインされる「パスワードリスト攻撃」のリスクが高まるためです。
十分な文字数（12文字以上推奨）で英大文字・小文字・数字・記号を混在させた強固なパスワードを設定し、必要に応じて多要素認証（2要素認証）などの追加対策も検討しましょう。
十分な文字数（12文字以上推奨）で英大文字・小文字・数字・記号を混在させた強固なパスワードを設定し、必要に応じて多要素認証（2要素認証）などの追加対策も検討しましょう。
ログイン画面への不正アクセスにも注意する
WordPressのログイン画面（`/wp-login.php` や `/wp-admin/`）は、初期状態では全世界からアクセス可能な状態になっています。
ログイン画面に対する不正アクセス対策としては、以下のような対策例が挙げられます。
ログイン画面に対する不正アクセス対策としては、以下のような対策例が挙げられます。
ログイン保護の主な対策例
- 管理者アカウントの整理：初期の「admin」ユーザーを廃止し、推測しにくいユーザー名にする
- 強固なパスワードの適用
- 不要なログイン権限を与えない：権限の最小化
- 必要に応じたログイン保護：接続元IPアドレス制限、ログインURLの変更、連続失敗時のロックアウト機能、画像認証（CAPTCHA）の導入
ここで重要なのは、「この1つを設定すれば安全」という単一の対策に頼るのではなく、複数の対策を組み合わせることです。
運用負荷やクライアントの利用環境に合わせて、多層的な防御を設計することが推奨されます。
運用負荷やクライアントの利用環境に合わせて、多層的な防御を設計することが推奨されます。
SSLが正常に利用できているか確認する
WordPressサイトにおいて、SSL（HTTPS暗号化通信）は通信の盗聴や改ざんを防ぐための必須要件です。
特に管理画面へのログイン情報（ユーザー名・パスワード）やお問い合わせフォームの個人情報は、暗号化されていなければ危険に晒されます。
さらに注意したいのは、「HTTPS化を設定していても、証明書の更新に失敗すれば警告画面が表示される」という点です。
SSL証明書の仕組みや更新トラブルへの対策については、あわせて「ホームページのSSLとは？設定方法・メリット・注意点をわかりやすく解説」をご覧ください。
特に管理画面へのログイン情報（ユーザー名・パスワード）やお問い合わせフォームの個人情報は、暗号化されていなければ危険に晒されます。
さらに注意したいのは、「HTTPS化を設定していても、証明書の更新に失敗すれば警告画面が表示される」という点です。
SSL証明書の仕組みや更新トラブルへの対策については、あわせて「ホームページのSSLとは？設定方法・メリット・注意点をわかりやすく解説」をご覧ください。
バックアップ体制も確認する
一般的なWordPress保守において、万が一の改ざん・データ破損・トラブルに備えるバックアップは重要な命綱です。
バックアップ体制を確認する際は、以下の観点から具体的に確認しておく必要があります。
バックアップ体制を確認する際は、以下の観点から具体的に確認しておく必要があります。
一般的なWordPress保守で確認したいバックアップの4要件
- 何をバックアップするか：データベースだけでなく画像ファイルやテーマ・プラグインも含まれているか
- どのくらいの頻度か：サイトの更新頻度に合わせたスケジュールになっているか
- どこに保存するか：同一サーバー内だけでなく外部ストレージへ分散退避できているか
- どこまで復旧できるか：どの時点の状態まで巻き戻せるか
重要：必要なときに「復旧できる状態か」まで確認する
「バックアップがある」という認識だけで安心するのではなく、「いざという時に確実に復旧できる手順と体制が整っているか」まで検証しておくことが大切です。
※なお、バックアップはレンタルサーバーの機能や個別保守契約に基づいて実施する一般的な運用項目であり、SALUTOの提供機能ではありません。
「更新すること」と「安全であること」は同じではない
WordPress本体・テーマ・プラグインの更新は重要です。
ただし、「最新版だから絶対に安全」というわけではありません。
また、更新によって既存機能やプラグイン同士が競合し、サイト表示や動作に影響を及ぼす可能性もあります。
そのため、実務においては以下のステップを踏んで慎重に進める考え方が求められます。
ただし、「最新版だから絶対に安全」というわけではありません。
また、更新によって既存機能やプラグイン同士が競合し、サイト表示や動作に影響を及ぼす可能性もあります。
そのため、実務においては以下のステップを踏んで慎重に進める考え方が求められます。
安全にアップデートを進める5つのステップ
- 更新内容確認：セキュリティ修正か機能追加かをリリース情報で把握する
- サイト影響確認：現在稼働しているプラグインやテーマとの互換性を確認する
- 必要に応じた検証：規模の大きな更新はテスト環境で事前確認を行う
- 更新：アクセスが落ち着いている時間帯に慎重に実行する
- 更新後の動作確認：主要ページやフォームが正常に稼働しているかテストする
Web制作者が複数のWordPressサイトを管理すると？
1つのサイトだけであれば、管理画面を開いて更新通知を確認することも難しくありません。
しかし、制作会社やフリーランス制作者の場合、クライアントサイトは納品とともに確実に増え続けます。
5サイト、10サイト、20サイト、30サイト……
サイトごとに利用しているサーバー会社、ドメイン管理会社、WordPressのバージョン、プラグインの組み合わせはすべて異なります。
しかし、制作会社やフリーランス制作者の場合、クライアントサイトは納品とともに確実に増え続けます。
5サイト、10サイト、20サイト、30サイト……
サイトごとに利用しているサーバー会社、ドメイン管理会社、WordPressのバージョン、プラグインの組み合わせはすべて異なります。
サイトごとに並行して管理が必要な項目
- WordPress本体のバージョンと更新状況
- 導入テーマ・プラグインの脆弱性と更新通知
- SSL証明書の有効期限と自動更新状況
- ドメイン自体の契約期限と更新日
- サーバーの稼働状況（24時間死活監視）
サイト数が増加するにつれて、「どのサイトに問題があるのか把握すること自体が仕事になる」という深刻な業務負荷に直面します。
問題が起きてから気付くのでは遅い
Webサイトの保守運用において最も避けたいのは、クライアントや閲覧者からの指摘でトラブルを知ることです。
「サイトが表示できなくなってから調べる」よりも、「問題が起きる可能性に早めに気付く」ことがプロの保守には不可欠です。
これは、24時間サイト死活監視、SSL有効期限の管理、そして「ドメインが期限切れになるとどうなる？更新忘れを防ぐ管理方法」で解説したドメイン期限管理とまったく同じ考え方です。
「サイトが表示できなくなってから調べる」よりも、「問題が起きる可能性に早めに気付く」ことがプロの保守には不可欠です。
これは、24時間サイト死活監視、SSL有効期限の管理、そして「ドメインが期限切れになるとどうなる？更新忘れを防ぐ管理方法」で解説したドメイン期限管理とまったく同じ考え方です。
SALUTOではWordPressセキュリティ監視にも対応
こうした制作・保守業務の負担を軽減し、クライアントの信頼を守るために開発されたのが、Web制作者のための業務基盤「SALUTO」です。
SALUTOでは、受託Webサイトの安定運用を支える保守・監視機能を提供しています。
SALUTOでは、受託Webサイトの安定運用を支える保守・監視機能を提供しています。
SALUTOが提供するWebサイト保守・監視機能
- WordPressセキュリティ監視：管理下にあるサイトのWordPress状況を一元把握し、セキュリティリスクの早期検知を支援
- 24時間サイト死活監視：定期的な自動HTTPアクセス点検により、万が一のサイトダウンを素早く検知
- SSL証明書の期限管理：各サイトのSSL有効期限を自動追跡し、失効リスクを防止
- ドメイン期限管理：忘れがちな独自ドメインの有効期限を一覧で把握
さらにSALUTOの大きな特長は、単なる監視ツールにとどまらず、Web制作の実務全体がつながっていることです。
SALUTOでつながるWeb制作の実務フロー
顧客管理（クライアント情報の一元化）
↓
案件管理（制作進行・タスクの可視化）
↓
見積・請求（案件に紐づく請求書の発行・送付管理）
↓
工数管理（案件ごとの作業時間と採算性の把握）
↓
サイト公開
↓
保守・監視（死活監視・SSL・ドメイン・WordPressセキュリティ）
これらを別々のツールで行き来することなく、ひとつの管理画面で統合的に把握できる環境を実現します。
※SALUTOはサイトの監視・管理業務を支援するシステムであり、サーバーデータの自動バックアップ機能は含んでおりません。バックアップは各サーバーや専用保守体制にて実施してください。
※SALUTOはサイトの監視・管理業務を支援するシステムであり、サーバーデータの自動バックアップ機能は含んでおりません。バックアップは各サーバーや専用保守体制にて実施してください。
WordPressセキュリティで確認したい7つのポイント
Webサイトを公開した後に、制作者および運用者が日常的・定期的に確認しておきたい7つのセキュリティチェックポイントを整理します。
総合的な保守実務の考え方については、「ホームページ保守で必要な作業とは？Webサイト公開後に確認したい7項目」もあわせてご参照ください。
総合的な保守実務の考え方については、「ホームページ保守で必要な作業とは？Webサイト公開後に確認したい7項目」もあわせてご参照ください。
WordPress保守で確認したい7つのポイント
- WordPress本体：脆弱性修正を含むアップデート状況と互換性の確認
- テーマ：使用中テーマの更新情報と不要な古いテーマの整理
- プラグイン：導入プラグインの更新有無、長期間放置されたプラグインの精査
- 管理者アカウント：不要な退職者・外部ユーザーの削除と権限の適正化
- パスワード・ログイン環境：強固なパスワード設定とログイン保護措置
- SSL・サイト稼働状況：証明書有効期限の管理と24時間の死活監視
- バックアップ体制：万が一のインシデント時に復旧可能なデータ取得体制の確保（※一般的な保守設計項目）
まとめ
WordPressのセキュリティ対策は、「何か一つのプラグインを入れれば終わり」ではありません。
WordPress本体、テーマ、プラグイン、アカウント、SSL、バックアップ等を継続して管理する必要があります。
特に複数のクライアントサイトを管理するWeb制作者の場合、「問題が起きてから調べる」のではなく、「問題に早く気付ける管理体制を作る」ことが極めて重要です。
制作実務に集中しながらクライアントの信頼を守り続けるために、一元的に状況を把握できる管理体制の構築をぜひ検討してみてください。
WordPress本体、テーマ、プラグイン、アカウント、SSL、バックアップ等を継続して管理する必要があります。
特に複数のクライアントサイトを管理するWeb制作者の場合、「問題が起きてから調べる」のではなく、「問題に早く気付ける管理体制を作る」ことが極めて重要です。
制作実務に集中しながらクライアントの信頼を守り続けるために、一元的に状況を把握できる管理体制の構築をぜひ検討してみてください。
Web制作の業務基盤 SALUTO
案件・請求・進行・監視を、ひとつにまとめる。
ツールを行き来する時間を減らし、本来のクリエイティブな制作時間を取り戻す。
SALUTOはWeb制作者のためのオールインワン業務管理システムです。
