「WordPressのセキュリティって何を見ればいいの？」——こう感じる方は多いと思います。最初から高度な設定をする必要はありません。

この記事では、現場で最低限チェックしておきたいセキュリティ項目を8つにまとめました。各項目に「なぜ必要か」「どう確認するか」「どう対策するか」を書いています。

1. 管理画面のURLが wp-admin のままになっていないか

なぜ必要か

WordPressの管理画面は、初期状態だと https://あなたのサイト/wp-admin で開きます。このURLは誰でも知っているため、不正ログインを試す攻撃の入口になりやすいです。

URLを変えただけで絶対安全になるわけではありませんが、「誰でもすぐたどり着ける入口」を減らす効果があります。初心者でも取り組みやすい対策のひとつです。

確認方法

ブラウザで次を開いてみてください。

• https://あなたのサイト/wp-admin
• https://あなたのサイト/wp-login.php

ログイン画面が表示される場合は、初期URLのままです。

対策

ログインURLを変更できるプラグインを使うのが一般的です。

• WPS Hide Login … ログインURLを独自のものに変更できる。軽量で初心者向け
• All In One WP Security … ログインURL変更に加え、ログイン制限などもまとめて設定できる

変更後は、新しいURLを社内で共有し、ブックマークを更新してください。元の /wp-admin が開けなくなっても、故障ではなく設定どおりです。

2. /author やAPIでユーザー名があらわになっていないか

なぜ必要か

攻撃者は、ログインID（ユーザー名）が分かるとパスワード探しに集中できます。WordPressでは、著者ページやAPI経由でユーザー名が見えてしまうことがあります。

たとえば次のようなURLです。

• https://あなたのサイト/?author=1
• https://あなたのサイト/author/ユーザー名/
• https://あなたのサイト/wp-json/wp/v2/users

ここで管理者のユーザー名が見えると、不正ログインの手がかりになります。

確認方法

ブラウザで上記URLを開いてください。

• ?author=1 で著者ページやユーザー名付きURLに飛ぶ
• /wp-json/wp/v2/users でユーザー情報がJSON表示される

どちらかでもユーザー名が見える場合は対策を検討します。

対策

基本は次の2点です。

• 著者アーカイブ（投稿者一覧ページ）へのアクセスを制限する
• REST APIのユーザー情報公開を制限する

プラグイン例:

• All In One WP Security … ユーザー列挙の防止設定がある
• Disable REST API 系プラグイン … 必要に応じてREST APIを制限

ユーザー投稿一覧を使っている場合

「この人が書いた記事一覧」を公開したい場合

ブログで執筆者ごとの記事一覧を見せたい場合、著者ページを完全に閉じると不便なことがあります。そのときは、「ログインに使う名前」と「読者に見せる名前」を分けるのがポイントです。

たとえば、次のようにします。

• ログイン用の名前：外から分かりにくい英数字にする（例：site-editor01）
• 記事に表示する名前：読者向けの名前にする（例：編集部、担当A）
• 記事一覧ページのURLにも、ログイン用の名前を使わない
• サイト管理用の強い権限アカウントでは記事を書かず、記事投稿専用のアカウントを別で用意する
• ユーザー情報が一覧で見えてしまうAPI（/wp-json/wp/v2/users）は制限し、必要な著者ページだけ公開する

大切なのは、攻撃者に「ログイン画面で入力する名前」を教えすぎないことです。記事に出す名前と、管理画面に入るときの名前は、同じでなくても問題ありません。

3. サイトがSSL化されているか

なぜ必要か

SSL化（HTTPS）は、ブラウザとサーバーの通信を暗号化する仕組みです。これがないと、ログイン情報や問い合わせ内容が盗み見されるリスクが高まります。検索結果やブラウザ表示でも不利になりやすいです。

確認方法

• アドレス欄が https:// で始まっているか
• 鍵マークが表示されているか
• http:// で開いたときに https:// へ自動で切り替わるか

対策

多くのレンタルサーバーでは、管理画面から無料SSLを設定できます。設定後は、WordPressのサイトアドレスも https:// になっているかを確認してください。

補助プラグイン例:

• Really Simple Security（旧Really Simple SSL） … HTTPをHTTPSへ寄せる設定を支援

4. 管理者のパスワードは十分に強いか

なぜ必要か

どれだけ入口を隠しても、パスワードが弱いと突破されやすくなります。誕生日、会社名、簡単な単語の使い回しは特に危険です。

確認方法

• 短くないか（目安12文字以上）
• 使い回しになっていないか
• 社内の複数人で同じパスワードを共有していないか

対策

長くて予測しにくいパスワードに変更し、可能ならパスワード管理ツールを使います。余裕があれば二要素認証も追加してください。

5. 使っていないプラグイン・テーマが残っていないか

なぜ必要か

使っていないプラグインやテーマにも、古い脆弱性が残ることがあります。無効化だけでは不十分な場合があり、削除した方が安全です。

確認方法

• 「プラグイン」一覧で無効化のまま残っているものがないか
• 「テーマ」一覧で使っていないテーマが複数残っていないか

対策

不要なものは削除します。ただし、削除前に「本当に使っていないか」だけは確認してください。念のため、バックアップを取ってから進めると安心です。

6. WordPress本体・プラグイン・テーマは更新されているか

なぜ必要か

WordPressの被害の多くは、すでに修正方法が公開されている古いバージョンを狙ったものです。更新を先延ばしにするほど、リスクは増えます。

確認方法

管理画面の「更新」を開き、本体・プラグイン・テーマに更新がないかを見ます。

対策

バックアップを取ったうえで更新します。怖い場合は、一度に全部更新せず、重要なものから進めてください。更新後は、トップページ・問い合わせ・主要ページの表示を確認します。

7. バックアップは取れているか

なぜ必要か

セキュリティ対策は「侵入されないこと」だけでなく、「何かあったときに戻せること」も含みます。バックアップがないと、改ざんや更新トラブルの被害が大きくなります。

確認方法

• サーバーの自動バックアップがあるか
• バックアッププラグインで取得しているか
• 直近のバックアップ日時が分かるか

対策

サーバーバックアップがあるなら、その内容と復元方法を確認します。サイト側でも取得するなら、次のようなプラグインが使われることが多いです。

• UpdraftPlus … バックアップと復元が比較的分かりやすい
• BackWPup … 定期バックアップ向き

8. ログインの試し打ちを止められる仕組みがあるか

なぜ必要か

攻撃者は、パスワードを総当たりで試し続けることがあります。回数制限がないと、弱いパスワードは特に狙われやすくなります。

確認方法

セキュリティプラグインで「ログイン試行制限」「ログインロック」などの設定があるかを確認します。何も入っていない場合は、対策なしの可能性が高いです。

対策

おすすめプラグイン例:

• Limit Login Attempts Reloaded … ログイン失敗回数を制限
• All In One WP Security … ログイン制限をまとめて設定しやすい

まとめ

初心者の担当者が最初に見るべきなのは、難しい専門設定よりも「入口」「公開情報」「更新」「バックアップ」です。今回の8項目を確認するだけでも、放置サイトよりかなり安全な状態に近づけます。

特に効果が出やすいのは次の順です。

1. SSL化
2. パスワード強化
3. 更新と不要プラグイン削除
4. バックアップ確認
5. ログインURL変更・ユーザー名露出対策・ログイン制限

「自分で触るのは不安」「更新で壊れないか心配」という場合は、無理に全部を内製しなくても構いません。KONATECHでは、WordPressの更新・保守・セキュリティ面の確認相談も月額でお受けしています。最低限の点検からでもお気軽にご相談ください。