WordPressのセキュリティ対策｜初心者が最初に確認する設定と運用方法【2026年版】

WordPressを始めると、「セキュリティ対策は何から手を付ければよいのか」「プラグインを入れれば十分なのか」と迷いやすいものです。対策項目を多く並べても、優先順位と確認場所が分からなければ運用へつながりません。

最初は、設定を変える前に、バックアップと現在の状態を確認することから始めましょう。そのうえで更新、アカウント、ログイン保護、通信、監視を順に点検すると、優先して対応する箇所を絞れます。

この記事では、WordPressを開設した初心者に向けて、最初に確認する6項目と、設定後も続ける運用方法を解説します。読み終えたら、自分のサイトで未確認の項目と、次に確認する画面が分かる状態を目指します。

WordPressのセキュリティ対策は4つの役割を重ねる

WordPressのセキュリティ対策は、攻撃を一度ですべて止める仕組みではありません。「弱点を減らす」「ログインを守る」「通信を守る」「異常に備える」の4つに分けると、設定の目的を判断しやすくなります。

WordPress公式の「WordPressの安全性を高める」でも、信頼できる配布元からの入手、更新、強力なパスワード、バックアップなど、複数の対策を組み合わせる考え方を確認できます。

それぞれ守る場所が異なるため、一つの設定だけでは十分ではありません。たとえばWAFは不審なアクセスを検知・遮断しますが、古いWordPress本体やプラグインの弱点そのものは直せないため、更新も必要です。また、ログインURLを変更して不正ログインを減らしても、操作ミスや更新失敗に備えるにはバックアップが必要です。

図のブラウザーは本体・テーマ・プラグインの更新、鍵は権限とパスワード、地球と盾はHTTPS・WAF、フォルダーと目はバックアップと監視を表しています。設定後も、更新や担当者変更のたびに各項目を見直します。

初心者が最初に確認する6項目

まずは次の表を上から確認し、「確認済み・要対応・未確認」をメモします。未確認だからといって、その場で設定値を変更する必要はありません。バックアップと復元方法を確かめてから、必要な変更へ進みます。

確認項目	確認する場所	確認できた状態
1．バックアップ	サーバーのバックアップ画面	ファイル・データベースの保存日時と復元方法が分かる
2．更新	ダッシュボード→更新	更新対象を把握し、対応する時期を決めている
3．管理者・パスワード	ユーザー一覧・プロフィール	管理者の所有者が分かり、使い回さない強力なパスワードを使っている
4．ログイン保護	SiteGuardなど利用中の保護機能	正規の利用者がログインでき、通知の受信先と履歴の見方が分かる
5．HTTPS・WAF	一般設定・公開ページ・サーバーパネル	HTTPSで警告なく表示でき、WAFの状態と対処先が分かる
6．監視	サイトヘルス・ログイン履歴・通知メール	優先する問題と、心当たりのない成功履歴を確認できる

すでにWordPressを公開している場合も、この表を上から一度確認すると抜けを見つけやすくなります。サイト公開前の設定全体を見直したい方は、「WordPress初期設定完全ガイド」もあわせて確認してください。

変更前にバックアップと復元方法を確認する

セキュリティ対策で設定やプラグインを変更する前に、ファイルとデータベースの両方を保存します。データベースには投稿や設定、ファイルにはテーマ、プラグイン、画像などが含まれるため、片方だけでは元の状態を再現できません。

自動バックアップがある場合も、保存日、対象、保存先、復元方法を確認してください。大きな更新やログイン設定の変更前は、現在の状態を別途取得しておくと、問題が起きた時点を特定しやすくなります。

エックスサーバーでの自動バックアップ、データ取得、復元手順は、「WordPressのバックアップ方法」で画面ごとに確認できます。

WordPress本体・テーマ・プラグインを更新する

WordPressの安全性を保つ基本は、使用中の本体・テーマ・プラグインを更新し、使っていないものを減らすことです。WordPress公式も、サイトを安全に保つためにテーマとプラグインを最新にする必要があると案内しています。

更新の有無は、「ダッシュボード」→「更新」で確認します。本体、プラグイン、テーマの状態を分けて見てください。セキュリティ修正の案内が出たときは、定例点検の日を待たずに内容と対応時期を確認します。

更新画面は2026年10月4日時点の確認例です。表示されるバージョンや件数はサイトによって異なります。

更新前はバックアップを取り、提供元の互換性案内を確認します。複数を一括で更新せず、一つ更新するたびに公開ページと管理画面を確認すると、問題が起きた対象を絞りやすくなります。更新前の準備から更新後の確認、不具合時の切り分けは、「WordPressの更新方法」で順に確認できます。画面の項目は、WordPress公式の「ダッシュボードの更新画面」も参照してください。

使っていないプラグインは無効化だけで放置せず、必要性と代替機能を確認してから削除します。削除前にそのプラグインが作成したデータや設定の扱いを開発元で確認してください。WordPress公式の「プラグインの管理」でも、安全なアンインストール手順を確認できます。

管理者アカウントとパスワードを見直す

まず「ユーザー」→「ユーザー一覧」を開き、管理者権限を持つアカウントが誰のものかを確認します。退職者や作業を終えた外部担当者など、現在は必要のない管理者が残っている場合は、投稿の所有者や作業範囲を確認してから権限変更または削除を判断します。

WordPressの「ユーザーの種類と権限」では、権限グループは上下関係ではなく、サイトで担当する役割を定義するものと説明されています。記事を書く人へ管理者権限が不要なら、編集者や投稿者など、作業に必要な範囲へ絞ります。

共同作業では一つの管理者アカウントを共有せず、利用者ごとにアカウントを作ります。誰が操作したか分かりやすくなり、担当を外れた人だけの権限を停止できます。

パスワードは、他サービスと使い回さない強力なものを設定します。「ユーザー」→「プロフィール」のパスワード生成機能と強度表示は、WordPress公式の「ユーザーのプロフィール画面」で確認できます。身に覚えのないログインが疑われる場合は、パスワードを変更します。続けて「ユーザー」→「プロフィール」を開き、「セッション」欄の「他のすべての場所でログアウト」を押すと、現在操作している端末以外でログイン中のWordPressからログアウトできます。

SiteGuardでログイン入口を保護する

SiteGuard WP PluginはEGセキュアソリューションズが提供する外部プラグインで、WordPress標準機能ではありません。導入しているサイトだけ、管理画面に「SiteGuard」の設定項目が表示されます。

ログインページ変更、画像認証、ログインロック、ログインアラート、ログイン履歴などを利用できます。ただし、すべての機能を同時に厳しくすると、自分や共同管理者がログインしにくくなることがあります。

ログインURL変更と画像認証は、変更後の入口を確認してから現在の管理画面を閉じることが重要です。初期状態、自動的に有効になる機能、安全な確認順は、「SiteGuard WP Pluginの設定方法」で詳しく解説しています。最新の機能一覧と設定項目は、開発元の「SiteGuard WP Plugin 使用方法」で確認できます。

HTTPSとサーバー側の防御を確認する

HTTPSは、ブラウザーとサイトの間で送受信する情報を暗号化する仕組みです。まず公開ページを開き、アドレスが「https://」で始まり、証明書の警告が出ないことを確認します。次に「設定」→「一般」で、「WordPressアドレス」と「サイトアドレス」の設定を確認します。

URL欄がhttpsでも、それだけで確認は完了しません。画像の欠けや混在コンテンツの警告がないかも公開ページで確かめます。SSL証明書や転送設定を変える必要がある場合は、先に利用中のレンタルサーバーの手順を確認してください。URL欄だけを試しに書き換えないでください。管理画面へ入れなくなる場合があります。WordPress側の基本は、「WordPressのHTTPS化」で確認できます。

レンタルサーバーにWAFがある場合は、現在の状態も確認します。WAFはWebアプリケーションの脆弱性を悪用するアクセスを検知・遮断する仕組みですが、更新の代わりにはなりません。エックスサーバーでは、「WAF設定」と「WordPressセキュリティ設定」で、WAF、国外アクセス制限、ログイン試行回数制限などの役割を確認できます。

サイトヘルス・ログイン履歴・通知を確認する

対策を設定した後は、異常へ気づける確認先を決めます。WordPressでは「ツール」→「サイトヘルス」を開くと、セキュリティやパフォーマンスに関する問題が優先度付きで表示されます。

サイトヘルスでは、表示された件数だけでなく、「致命的な問題」と「おすすめの改善」のどちらか、分類がセキュリティかパフォーマンスかを確認します。

画面の意味と各テストの説明は、WordPress公式の「サイトヘルス画面」で確認できます。警告が表示されたら、その項目の説明を開き、原因と影響範囲を確認します。変更が必要なら先にバックアップを取ります。なお、サイトヘルスが良好でも、不正アクセスや改ざんがないことを保証するものではありません。

SiteGuardを利用している場合は、「SiteGuard」→「ログイン履歴」で心当たりのない「成功」がないか確認します。日時とユーザーを自分や共同管理者の操作と照合し、IPアドレスだけで本人かどうかを断定しないでください。失敗やロックが多いだけで侵入されたとは限りません。

ログインアラートの送信先は、ログインしたユーザーの登録メールアドレスです。「管理者のみ」が有効な場合は管理者のログインだけが通知され、初期状態ではこの設定が有効です。サイトの「管理者メールアドレス」に一律に届く仕組みではありません。通知が届いたら心当たりを確認し、宛先と対象条件は開発元の「ログインアラート」で確認してください。

ログイン履歴は最大10,000件で、上限を超えると古いものから削除されます。ログイン試行が多いサイトでは、月1回だけの確認では見逃すおそれがあります。日常点検に組み込み、通知や不審な動きがあったときはその都度確認してください。保存される項目と上限は開発元の「ログイン履歴」に記載されています。

WordPressのセキュリティ対策を定期運用にする

設定は一度で終わりではありません。次は運用の目安です。サイトの利用頻度、担当人数、ログイン試行の量に合わせて調整してください。

タイミング	確認すること	次の行動
変更前	バックアップの日時・対象・復元方法	戻せる状態を確かめてから変更する
通知・異常に気づいたとき	ログイン通知、成功履歴、変更内容	心当たりがなければ記録して相談する
日常点検	ログイン履歴、公開ページの表示	試行が多ければ確認頻度を上げる
毎週の目安	更新状況・サイトヘルス	セキュリティ修正は定例日を待たず確認する
毎月・担当者変更時	管理者、通知先、バックアップの保存状態	不要な権限を整理し、受信と復元方法を再確認する

自動更新や自動バックアップを使っていても、結果の確認は必要です。自動化は確認作業を減らす仕組みであり、問題が起きないことを保証する仕組みではありません。

不正アクセスが疑われるときの初動

心当たりのない管理者、ログイン成功、投稿改変、見知らぬプラグイン、別サイトへの転送などが見つかったら、通常の設定変更を止めます。次の流れで対応しますが、記録や保存ができなくても、先にサーバー会社や保守担当者へ相談して構いません。

WordPress公式の「FAQ ハッキングされた場合は」でも、クリーンなバックアップからの復元やWordPressの再インストールが案内されています。エックスサーバーで復元対象と影響を確認する手順は、「WordPressのバックアップ方法」を参照してください。

よくある質問

セキュリティプラグインを入れれば十分ですか？

十分ではありません。セキュリティプラグインはログインや管理画面を守る手段の一つです。WordPress本体・テーマ・プラグインの更新、管理者権限、HTTPS、WAF、バックアップ、監視を組み合わせてください。

自動更新はすべて有効にした方がよいですか？

一律には決めません。影響が小さく、継続的に更新されているプラグインは自動更新を検討できます。一方、決済、フォーム、会員機能、表示を大きく変えるテーマやプラグインは、バックアップと互換性を確認し、一つずつ手動更新する方が問題を切り分けやすくなります。

管理者のユーザー名がadminなら、すぐ変更すべきですか？

ユーザー名だけを変えても対策は完結しません。まず、他サービスと使い回さない強力なパスワード、不要な管理者の整理、個別アカウント、ログイン保護を優先してください。ユーザーを作り直す場合は投稿の所有者が変わるため、バックアップと引き継ぎ先を確認してから行います。

ログイン失敗が多いと、すでに侵入されていますか？

ログイン失敗だけでは侵入されたと断定できません。SiteGuardを利用している場合は、ログイン履歴で心当たりのない成功がないか確認します。SiteGuardを利用していない場合も、「ユーザー」→「ユーザー一覧」に知らない管理者がいないか、投稿・プラグイン・設定に心当たりのない変更がないかを確認してください。

セキュリティ設定はどのくらいの頻度で確認しますか？

通知は届いた時点で確認し、ログイン履歴は日常点検に組み込みます。更新状況とサイトヘルスは毎週、管理者・通知先・バックアップは毎月を目安にし、担当者や設定の変更時にも見直します。セキュリティ修正の案内や異常がある場合は、定例日を待たずに確認してください。

まとめ

WordPressのセキュリティ対策は、プラグイン一つに任せるのではなく、復旧できる状態、更新、最小権限、ログイン保護、HTTPS・WAF、監視を重ねることが基本です。

まず6項目の点検表で、確認済み・要対応・未確認を整理しましょう。各項目の確認場所と、未確認の項目を誰がいつ調べるかが決まれば、最初の点検は一区切りです。その後も通知、日常点検、毎週・毎月の確認を続けます。

不正アクセスが疑われる場合は、原因が分からないまま削除や復元を進めません。分かる状況を控え、保存に手間取る場合も早めにサーバー会社や保守担当者へ相談してください。

目的別に次の記事を選ぶ

ログインURL変更や画像認証を設定する場合は、次の記事で、安全にログインできることを確かめる順序を確認してください。

エックスサーバーを使っている方は、次の記事で、自動バックアップの保存期間とデータ取得・復元の違いを確認できます。