WordPressセキュリティ対策7選｜初心者向け基本設定

「WordPressのセキュリティ対策って、結局何をすればいいの？」

そんな疑問を持ったことはありませんか？

脆弱性に関するニュースを見ると、自分のサイトは大丈夫なのか気になりますよね。でも、調べてみると専門用語が多く、何から手をつければいいのかわからなくなることも。

WordPressの基本的なセキュリティ対策は、大きく7つに整理できるんです。

この記事では、初心者の方でも確認できる対策を、順番に紹介します。

最初からすべてを設定する必要はありません。まずは、自分のサイトが今どのような状態なのかを確認するところから始めましょう。

WordPressにセキュリティ対策が必要な理由

WordPressは、世界中で多くのWebサイトに利用されているシステムです。

利用者が多い一方で、脆弱性が見つかると、その弱点を狙った攻撃の対象にもなりやすいという特徴があります。

特に注意したいのが、更新されないまま放置されている部分です。

• 古いバージョンのままになっているプラグイン
• 長期間使っていないテーマ
• 簡単なパスワードを設定している管理者アカウント

こうした部分が、不正アクセスのきっかけになることがあります。

つまり、WordPressのセキュリティ対策で大切なのは、問題が起きてから対応するのではなく、放置しない仕組みをつくることです。

初心者でも確認できるWordPressセキュリティ対策7選

まずは、基本となる7つの対策を確認してみましょう。

No.	対策	目的
1	WordPress本体・テーマ・プラグインの更新	見つかった脆弱性を修正する
2	PHPのバージョン確認	サーバー側の安全性を保つ
3	バックアップ	トラブルが起きたときに復旧できるようにする
4	ログインの保護	不正ログインを防ぐ
5	WAF（ウェブアプリケーションファイアウォール）	不審なアクセスをブロックする
6	不要なプラグイン・テーマの削除	攻撃につながる弱点を減らす
7	管理者アカウントの整理	不正利用のリスクを減らす

① WordPress本体・テーマ・プラグインを最新にする

WordPressのセキュリティ対策で、まず確認したいのが更新状況です。

WordPress本体やテーマ、プラグインの更新には、新しい機能の追加だけでなく、発見された脆弱性の修正も含まれています。

更新をせずに使い続けると、すでに知られている弱点が残った状態になることがあります。

確認する場所は、WordPress管理画面の「ダッシュボード」→「更新」です。

• WordPress本体
• テーマ
• プラグイン

この画面で、更新が必要なものを確認できます。

ただし、更新すれば必ず安全というわけではありません。テーマやプラグインの組み合わせによっては、不具合が起きることもあります。

「更新したいけれど、サイトが壊れないか心配」という方は、こちらの記事も参考にしてください。

基本は、バックアップを取ってから一つずつ更新し、表示や動作に問題がないか確認することです。

② PHPのバージョンを確認する

WordPressは、PHPというプログラミング言語を使って動いています。

このPHPにもバージョンがあり、定期的に更新されています。

古いバージョンを使い続けると、公式のセキュリティサポートが終了し、新しく見つかった脆弱性への修正が提供されなくなることがあります。

PHPのバージョンは、次の場所から確認できます。

• WordPress管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」→「PHPバージョン」
• レンタルサーバーの管理画面（エックスサーバーの場合は「PHP Ver.切替」）

サポートが終了しているバージョンを使っている場合は、切り替えを検討しましょう。

ただし、PHPのバージョンを変更すると、古いテーマやプラグインが正常に動かなくなる場合もあります。事前に対応状況を確認することが大切です。

2026年10月に話題になったPHPの脆弱性についても、別の記事で詳しく解説しています。

③ バックアップを定期的に取る

セキュリティ対策というと、攻撃を防ぐことに意識が向きがちですが、トラブルが起きたときに復旧できる状態にしておくことも重要です。

例えば、次のようなケースです。

• 更新後にサイトが正常に表示されなくなった
• 不正アクセスによってサイトが改ざんされた
• 操作ミスで必要なデータを削除してしまった

こうした場合でも、正常な状態のバックアップがあれば、復旧できる可能性があります。

バックアップで意識したいのは、次の3つです。

• サーバーに自動バックアップ機能があっても、大きな更新の前には別途バックアップを取る
• バックアップ用プラグインを利用する場合は、サーバーの外にもデータを保存する
• バックアップから実際に復元できるか確認しておく

特に気をつけたいのが、バックアップを取っているだけで安心してしまうことです。

いざというときに復元できなければ意味がありません。

可能であれば、テスト環境などで一度復元を試しておくと安心です。

④ ログインを守る

WordPressの管理画面は、サイトを管理するための重要な場所です。

ログイン画面に対して不正なアクセスが試みられることもあるため、ログイン情報の管理と認証の強化が欠かせません。

基本的な対策には、次のようなものがあります。

• 長く推測されにくいパスワードを設定する（他のサービスと使い回さない）
• 二段階認証を導入する（パスワードに加えて、認証アプリなどで本人確認を行う）
• ログイン試行回数を制限する（一定回数失敗した場合に一時的に制限する）
• 画像認証を導入する
• 必要に応じてログインURLを変更する

こうした設定は、セキュリティ対策用のプラグインでも対応できます。

例えば、「SiteGuard WP Plugin」では、ログインURLの変更や画像認証、ログインロックなどを設定できます。

二段階認証には「WP 2FA」などのプラグインがあります。

ただし、複数のセキュリティプラグインを導入すると、機能が重複する場合もあるため注意が必要です。

まずは、パスワードの見直しと二段階認証の導入を優先するとよいでしょう。

⑤ WAF（ウェブアプリケーションファイアウォール）を有効にする

WAFは、Webサイトへのアクセスを監視し、不審な通信を検知・ブロックする仕組みです。

わかりやすく言えば、サイトの入口で怪しいアクセスをチェックする警備員のような役割です。

レンタルサーバーによっては、WAFが標準機能として用意されています。

エックスサーバーの場合は、サーバーパネルの「WAF設定」から確認できます。

• 対象のドメインでWAFが有効になっているか
• 必要な設定が「ON」になっているか

まずは、この2点を確認しましょう。

ただし、WAFを有効にしていれば、すべての攻撃を防げるわけではありません。

正常な操作が誤ってブロックされる場合もあります。

あくまで、ほかのセキュリティ対策と組み合わせて利用するものと考えておきましょう。

⑥ 使っていないプラグイン・テーマを削除する

以前使っていたプラグインやテーマが、そのまま残っていませんか？

WordPressでは、使っていないプラグインやテーマでも、インストールされていることでセキュリティ上のリスクになる場合があります。

特に、長期間更新されていないものには注意が必要です。

次のようなものがないか、確認してみましょう。

• 使っていないプラグイン → 削除する
• 使っていないテーマ → 削除する（現在使用しているテーマと必要な親テーマは残す）
• 長期間更新されていないプラグイン → 代替プラグインへの変更を検討する

プラグインを停止しているだけでは、ファイル自体はサーバーに残っています。

不要なものは削除しておくほうが安全です。

ただし、削除する前には、本当に使われていないかを確認してください。

特にテーマは、子テーマと親テーマの関係に注意が必要です。

判断に迷う場合は、先にバックアップを取ってから作業しましょう。

⑦ 管理者アカウントを整理する

見落としやすいのが、WordPressのユーザー管理です。

サイト制作時に作成したアカウントや、以前の担当者のアカウントが残っているケースもあります。

WordPress管理画面の「ユーザー」を開き、次の点を確認してみましょう。

• 見覚えのないユーザーが登録されていないか
• 退職した担当者や、契約が終了した外注先のアカウントが残っていないか
• 必要のないユーザーに「管理者」権限が付与されていないか

ユーザー権限の基本は、必要な人に、必要な範囲の権限だけを付与することです。

例えば、記事を投稿するだけなら「投稿者」、ほかの人の記事も管理するなら「編集者」といった使い分けができます。

すべてのユーザーに管理者権限を付ける必要はありません。

管理者権限を持つアカウントが増えるほど、万が一不正利用された場合のリスクも高くなります。

定期的にユーザー一覧を確認し、不要なアカウントや権限を整理しておきましょう。

月に1回の確認チェックリスト（まずは5分から）

ここまで紹介した7つの対策は、一度設定すれば終わりというものではありません。

WordPressやプラグインは日々更新されていますし、サイトの運用状況も変わっていきます。

そのため、定期的に状態を確認する習慣をつくることが大切です。

まずは月に1回、次の項目をチェックしてみましょう。

• WordPress本体・テーマ・プラグインに更新がないか
• PHPがサポート中のバージョンになっているか
• バックアップが正常に保存されているか
• 見覚えのないユーザーが追加されていないか
• 不要なプラグインやテーマが残っていないか
• WAFが有効になっているか

確認だけなら、5分程度でできる項目も多くあります。

ただし、更新作業やバックアップの復元確認などは、別途時間を確保して行いましょう。また、重要なセキュリティ更新は月1回の確認を待たず、早めに対応することが大切です。

カレンダーに毎月の確認日を登録しておくと、忘れずに続けやすくなります。

自分で確認するのが難しいときは

「確認する場所はわかったけれど、自分で設定を変更するのは不安」

そんな方もいらっしゃると思います。

特に、現在問題なく動いているサイトほど、設定を変更して不具合が起きるのは避けたいですよね。

セキュリティ対策は大切ですが、無理に自分だけで進めなくても大丈夫です。

まずは、今のサイトにどのようなリスクがあるのか、何から対応するとよいのかを把握することが大切です。

ご自身で判断するのが難しい場合は、サイトの現状確認や、必要な対策の整理についてご相談ください。

まとめ

WordPressのセキュリティ対策で大切なのは、特別な設定をたくさん追加することではないんです。

基本的な対策を行い、安全な状態を維持できるようにすることです。

今回紹介した7つの対策を振り返ってみましょう。

すべてを一度に対応する必要はありません。

まずはWordPressの管理画面を開いて、更新状況とバックアップの設定を確認してみてくださいね。

小さな確認を積み重ねることが、サイトを安全に運用する第一歩になります。