WordPressは世界中のWebサイトの約4割で使われている人気のシステムですが、その人気ゆえに攻撃者から狙われやすいという側面もあります。「うちは小さな会社だから狙われない」と考えるのは危険です。実際の攻撃の多くはプログラムによる無差別攻撃で、企業規模に関係なくすべてのサイトが対象になります。本記事では、専門知識がなくても今すぐ実践できるWordPressのセキュリティ対策を6つに絞ってわかりやすく解説します。
なぜWordPressのセキュリティ対策が必要なのか
WordPressが攻撃を受けると、サイトの改ざん、顧客情報の流出、スパムメールの踏み台化など、深刻な被害につながります。とくに中小企業のサイトは「対策が手薄」と見なされやすく、攻撃の標的になりがちです。
被害が出てからの復旧には数十万円規模の費用と数週間の時間がかかるケースも珍しくありません。さらに、改ざんされたサイトはGoogleの検索結果に「このサイトは安全ではありません」と警告が表示され、信用の回復には長い時間がかかります。セキュリティ対策は「転ばぬ先の杖」として、被害が出る前に行うことが何より重要です。
対策1：WordPress本体・テーマ・プラグインを常に最新に保つ
WordPressへの攻撃の大半は、古いバージョンに残された脆弱性（ぜいじゃくせい：プログラムの安全上の欠陥）を突いたものです。本体だけでなく、テーマやプラグインの脆弱性が狙われるケースが特に多いことがわかっています。
管理画面の「更新」メニューに通知が出たら、できるだけ早く更新しましょう。月に1回など、更新日を決めて定期的にチェックする運用ルールを作るのがおすすめです。また、長期間更新されていないプラグインは開発が止まっている可能性が高いため、削除して代替を探すことを検討してください。
対策2：推測されにくいユーザー名とパスワードを使う
攻撃者はまず「admin」というユーザー名と単純なパスワードの組み合わせを機械的に試します。これをブルートフォース攻撃（総当たり攻撃）と呼びます。
対策のポイントは次の3つです。
- ユーザー名に「admin」を使わない：すでに使っている場合は新しい管理者ユーザーを作成し、旧ユーザーを削除しましょう
- パスワードは12文字以上：英大文字・小文字・数字・記号を組み合わせ、他のサービスとの使い回しは避けます
- ユーザーごとに適切な権限を設定する：記事の投稿だけを行う担当者には「編集者」や「投稿者」権限を割り当て、「管理者」権限を持つ人を最小限にします
対策3：ログインページを保護する
WordPressのログインページは初期設定では「サイトURL/wp-login.php」と決まっているため、攻撃者は簡単にログイン画面へたどり着けます。
セキュリティプラグインを使えば、ログインURLの変更、ログイン試行回数の制限（例：5回失敗したら一定時間ロック）、画像認証の追加などが簡単に設定できます。「SiteGuard WP Plugin」などの定番プラグインなら無料で導入でき、日本語にも対応しています。さらに二段階認証（パスワードに加えてスマートフォンの確認コードを求める仕組み）を導入すれば、万一パスワードが漏れても不正ログインを防げます。
対策4：SSL化（https化）で通信を暗号化する
SSLとは、サイトと閲覧者の間の通信を暗号化する仕組みです。URLが「http://」ではなく「https://」で始まっていればSSL化されています。
SSL化されていないサイトでは、お問い合わせフォームに入力された名前やメールアドレスが通信途中で盗み見られる危険があります。また、ブラウザに「保護されていない通信」と警告が表示されるため、訪問者に不安を与え、問い合わせ率の低下にも直結します。多くのレンタルサーバーでは無料のSSL証明書が提供されており、管理画面から数クリックで設定できるので、未対応の場合はすぐに実施しましょう。
対策5：定期的なバックアップ体制を作る
どれだけ対策をしても、被害を100％防ぐことはできません。万一の際にサイトを元の状態に戻せる「保険」がバックアップです。
「BackWPup」や「UpdraftPlus」といったプラグインを使えば、データベースとファイルの両方を自動で定期バックアップできます。更新頻度の高いサイトなら週1回以上、バックアップデータはサーバー内だけでなく、外部のクラウドストレージにも保存しておくと安心です。あわせて、年に1回程度は実際に復元できるかのテストも行いましょう。
対策6：セキュリティプラグインで監視を自動化する
日々の監視を人の手で行うのは現実的ではありません。セキュリティプラグインを導入すれば、不正ログインの検知、ファイル改ざんのチェック、スパムコメントの遮断などを自動化できます。
導入時の注意点として、同じ機能を持つセキュリティプラグインを複数入れると干渉して不具合の原因になります。信頼できるものを1つ選び、設定を確実に行うことが大切です。導入後は通知メールが届くよう設定し、異常があればすぐ気づける体制を整えましょう。
まとめ
WordPressのセキュリティ対策として、本体・テーマ・プラグインの更新、強固なユーザー名とパスワード、ログインページの保護、SSL化、定期バックアップ、セキュリティプラグインの導入という6つの方法を紹介しました。
すべてを一度に行う必要はありません。まずは「更新」と「パスワードの見直し」から始め、段階的に対策を積み重ねていきましょう。自社での対応が難しい場合は、保守管理まで任せられる制作会社に相談するのも有効な選択肢です。大切な会社の資産であるホームページを、しっかりと守っていきましょう。