WordPressのセキュリティ対策｜中小企業の担当者が自分でできることと点検表

会社のホームページをWordPressで運営していると、「セキュリティ対策は何をすればいいのか」「どこまでやれば十分なのか」と迷うことがあると思います。WordPressは無料で使えて更新もしやすい一方で、放っておくと、ホームページの書きかえや乗っ取りにつながることがあります。

この記事では、ホームページを作る側の目線で、WordPressが狙われやすい理由と、よくある被害、担当者が自分でできる対策、サーバー側の対策、社内での決めごと、点検表までを順に整理します。内容は、WordPressの公式ドキュメント「Hardening WordPress（WordPressの強化）」と、IPA（情報処理推進機構）、JPCERT/CC（JPCERTコーディネーションセンター）が公開している情報をもとにしています。

なぜWordPressは狙われやすいのか

WordPressは、世界でもっとも多く使われているCMS（ホームページを更新するための仕組み）のひとつです。使っているサイトが多いということは、攻撃する側から見ると、ひとつの弱いところを見つければ、たくさんのサイトに同じ手口を試せるということです。

また、WordPressは、本体に「プラグイン」（機能を足す部品）や「テーマ」（見た目の部品）を組み合わせて使います。プラグインとテーマは、世界中のさまざまな開発者が作っています。WordPressの公式ドキュメントでも、弱いところが生まれやすい場所として、本体に加えてプラグインとテーマが挙げられています。部品が多いほど、どこか1つが古くなったり、開発が止まったりする可能性が高くなります。

もうひとつ知っておきたいのは、攻撃の多くは「会社を選んで」行われるわけではない、ということです。プログラムを使って、弱いところのあるサイトを機械的に探し、見つかったところから順に攻撃します。「うちは小さな会社だから狙われない」とは言えません。むしろ、更新が止まっているサイトほど見つかりやすくなります。

WordPressそのものが危ないわけではない

ここで誤解のないように書いておくと、WordPressそのものが特別に危ないわけではありません。本体には、見つかった弱いところを直す更新が定期的に出ています。問題になりやすいのは、更新されないまま何年も放っておかれたサイトや、だれが管理しているのか分からなくなったサイトです。セキュリティ対策の多くは、特別な技術よりも「決まったことを、決まった間隔で続けること」にかかっています。

よくある被害

WordPressのホームページが攻撃を受けると、次のような被害が起きることがあります。JPCERT/CCも、CMSの弱いところを悪用した改ざんや不正なプログラムの設置、情報の流出といった被害が報告されていると注意を呼びかけています。

被害	どんなことが起きるか
改ざん	ページの中身が書きかえられる。見た目は変わらず、見えないところに悪いサイトへの案内や不正なプログラムが埋め込まれることも多い
乗っ取り	管理画面に入られ、管理者のアカウントを追加されたり、パスワードを変えられたりして、自社で操作できなくなる
情報の流出	問い合わせフォームに届いた内容や、会員の情報など、サーバーに保存されている情報を持ち出される
迷惑メールの踏み台	サーバーに置かれたプログラムから、迷惑メールや詐欺メールが大量に送られる。サーバー会社から利用を止められることもある
ほかのサイトへの攻撃の踏み台	自社のサーバーが、ほかの会社のサイトを攻撃するための道具として使われる
検索結果への影響	危険なサイトとして警告が出たり、関係のないページが大量に作られたりして、検索からの訪問が減る

やっかいなのは、改ざんされていても、見た目ではすぐに気づけないことが多い点です。トップページはいつもどおりに見えるのに、検索結果から入ったときだけ別のサイトに飛ばされる、といった手口もあります。お客様や取引先から「御社のサイトを開いたら変なページに飛んだ」と言われて初めて気づく、ということも起こります。

中小企業にとっての本当の損

BtoBの会社にとって、ホームページは「この会社に頼んで大丈夫か」を確かめられる場所です。そのホームページが改ざんされていたり、警告が出ていたりすると、問い合わせが止まるだけでなく、取引先からの信頼にも傷がつきます。復旧のための費用や、社内での説明、取引先へのお詫びなど、目に見えない手間もかかります。対策にかける手間は、被害が起きたあとの手間に比べれば、ずっと小さく済みます。

自分でできる対策1　本体・プラグイン・テーマを更新する

もっとも大事で、もっとも効果が大きいのが、更新です。WordPressの公式ドキュメントでも、常に最新版を使うことが、セキュリティの基本として最初に挙げられています。見つかった弱いところは、更新で直されます。逆に言えば、更新しないかぎり、弱いところは残ったままです。

更新が必要なものは、次の3つです。

• WordPress本体：管理画面の「ダッシュボード」→「更新」で、新しいバージョンが出ているか分かります。
• プラグイン：「プラグイン」の一覧で、更新があるものに案内が出ます。
• テーマ：「外観」→「テーマ」で、更新があるものに案内が出ます。

自動更新はどこまで使うか

WordPress本体は、小さな更新（セキュリティの修正など）が自動で入る仕組みになっています。プラグインやテーマも、管理画面から1つずつ自動更新を有効にできます。

ただし、自動更新にすると、更新した結果、表示が崩れたり、フォームが動かなくなったりしても、すぐには気づけません。とくに、制作会社が独自に手を加えたテーマや、問い合わせフォームなど大事な機能に関わるプラグインは、自動更新にせず、決まった担当者が更新して表示を確かめる、という使い分けがおすすめです。どれを自動にして、どれを手で更新するかは、社内か保守を頼んでいる会社と決めておきましょう。

更新する前にやっておくこと

• バックアップ（後で説明します）を取っておく
• 大きな更新（本体のメジャーバージョンなど）は、すぐに入れるか、少し様子を見るかを決めておく
• 更新したあとに、トップページ、主なページ、問い合わせフォームが動くかを確かめる

更新を何か月も止めると、まとめて更新したときに、何が原因で不具合が出たのか分かりにくくなります。少しずつ、こまめに更新するほうが、結果として安全で手間も少なく済みます。

自分でできる対策2　使っていないプラグイン・テーマを削除する

プラグインやテーマは、「停止」しているだけでは、ファイルはサーバーに残ったままです。WordPressの公式ドキュメントでも、使っていないものは削除するように書かれています。止めているプラグインでも、ファイルに弱いところがあれば、そこを狙われることがあります。

次のようなものは、整理の候補です。

• 「停止中」のまま、何か月も使っていないプラグイン
• 試しに入れて、そのままになっているプラグイン
• 使っているテーマ以外の、標準で入っている古いテーマ
• 長いあいだ更新されていない、開発が止まっているように見えるプラグイン

テーマは、使っているテーマのほかに、何かあったときの予備として、WordPress標準の新しいテーマを1つだけ残しておくと安心です。子テーマ（親テーマを元にした自社用のテーマ）を使っている場合は、親テーマを消すと表示が崩れるので注意してください。どれを消してよいか分からないときは、作った制作会社に確かめてから消しましょう。

長いあいだ更新されていないプラグインは、使い続けるなら、代わりになるものに替えるか、その機能自体が本当に必要かを見直します。プラグインは「便利だから足す」より「必要なものだけにしぼる」ほうが、安全で、サイトも軽くなります。

自分でできる対策3　強いパスワードと2段階認証

管理画面に入られてしまえば、どんな対策もほとんど意味がなくなります。ログインの守りは、更新と同じくらい大切です。

強いパスワードにする

WordPressの公式ドキュメントでは、辞書にある言葉、短いもの、名前の組み合わせなどを避けるように書かれています。次の点を守りましょう。

• 長く、推測されにくいものにする（WordPressがユーザー作成時に作る、ランダムなパスワードを使うのも手です）
• 会社名、サイト名、誕生日、電話番号などを使わない
• ほかのサービスと同じパスワードを使い回さない
• パスワードをメールや付せんでやりとりしない。社内で共有するなら、パスワードを管理する仕組みを使う

2段階認証を使う

2段階認証は、パスワードに加えて、スマートフォンのアプリに出る番号などを入れないとログインできないようにする仕組みです。WordPressの公式ドキュメントでも、追加の守りとして2段階認証を有効にすることがすすめられています。パスワードがもれても、それだけではログインされにくくなります。

WordPressの本体には、2段階認証の機能は標準では入っていないため、プラグインやサーバー会社の機能で追加するのが一般的です。少なくとも、管理者の権限を持つアカウントには入れておきたいところです。

自分でできる対策4　管理者アカウントを整理する

WordPressには、「管理者」「編集者」「投稿者」など、できることの範囲がちがう権限があります。長く運営していると、だれのものか分からないアカウントや、必要以上に強い権限のアカウントが増えていきがちです。

• 管理者は最小限に：設定やプラグインを触れる「管理者」は、本当に必要な人だけにします。お知らせや実績を更新するだけの人は「編集者」や「投稿者」で足ります。
• 1人1アカウント：1つのアカウントを何人かで使い回すと、だれが何をしたか分からなくなります。
• 推測されやすいユーザー名を避ける：WordPressの公式ドキュメントでも、管理者のユーザー名を「admin」のままにしないよう書かれています。
• 見覚えのないアカウントがないか：「ユーザー」の一覧に、知らない管理者が増えていないかを定期的に確かめます。知らないアカウントは、乗っ取りのサインのこともあります。

制作会社や以前の担当者のアカウントが、管理者のまま残っていることもよくあります。今も作業を頼んでいるかを確かめ、頼んでいないなら削除するか、権限を下げましょう。

自分でできる対策5　ログインの試行を制限する

管理画面のログインには、パスワードを片っぱしから試す攻撃（総当たり攻撃）が毎日のように来ます。IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」でも、不正なログインへの対策が項目の1つになっています。

対策としては、次のようなものがあります。

• 決まった回数ログインに失敗したら、しばらくログインできないようにする
• 管理画面に入れる場所（会社のネットワークなど）を限る
• 管理画面の手前に、もう1つパスワードをかける（WordPressの公式ドキュメントでも紹介されている方法です）

これらは、プラグインで入れる方法と、サーバー会社の管理画面で設定できる方法があります。サーバー会社に同じような機能があるなら、まずそちらを確かめると、プラグインを増やさずに済みます。

自分でできる対策6　バックアップを取る

バックアップは、被害を防ぐものではなく、被害にあったときに元に戻すためのものです。WordPressの公式ドキュメントでも、定期的にバックアップを取ることが求められています。

WordPressのバックアップでは、次の2つをそろえて取る必要があります。

取るもの	中身
ファイル	WordPress本体、テーマ、プラグイン、アップロードした画像など
データベース	ページや記事の文章、設定、ユーザーの情報など

確かめておきたいのは、次の点です。

• 自動で取れているか：サーバー会社の自動バックアップがあるか、何日分残るかを確かめます。
• サーバーの外にも置いているか：同じサーバーの中だけにあると、サーバーごと被害にあったときに使えないことがあります。
• 少し前の分まで残っているか：改ざんに気づくまで時間がかかることがあるため、直前の分だけでなく、さかのぼれる分があると安心です。
• 戻し方が分かっているか：取ってあっても、戻し方をだれも知らなければ、いざというときに使えません。

自分でできる対策7　信頼できる配布元からだけ入れる

プラグインやテーマは、出どころがはっきりしたものだけを入れます。WordPressの公式ドキュメントでも、信頼できる配布元から入手するように書かれています。有料のものを無料で配っているような場所から入れたものには、不正なプログラムが仕込まれていることがあります。

プラグインを選ぶときに見るところ

この記事では、特定のセキュリティプラグインはおすすめしません。サーバー会社の機能で足りることも多く、何が合うかはサイトによってちがうためです。プラグインを入れるときは、セキュリティ用かどうかにかかわらず、次の点を確かめましょう。

見るところ	確かめること
配布元	WordPress公式のプラグイン一覧、または開発元の公式サイトから入手できるか
最終更新日	最近も更新されているか。長いあいだ止まっていないか
今のWordPressとの相性	使っているWordPressのバージョンで動作が確かめられているか
利用の多さと評価	多くのサイトで使われているか。問題の報告が放っておかれていないか
機能の重なり	ほかのプラグインやサーバー会社の機能と、同じことをしていないか

セキュリティ用のプラグインを何個も重ねて入れると、機能がぶつかって動かなくなったり、サイトが重くなったりすることがあります。入れるなら、何を守るために入れるのかを決めて、必要なものだけにしましょう。

サーバー側の対策

WordPressの中の対策に加えて、WordPressが動いているサーバーの側でも確かめたいことがあります。多くは、サーバー会社の管理画面で確かめられます。

PHPを新しく保つ

WordPressは、PHPというプログラミング言語で動いています。PHPにも、古いバージョンでは修正が出なくなる期限があります。WordPressの公式サイトの動作環境のページでは、PHP 8.3以上がすすめられており、それより古いバージョンでも動くものの、すでにサポートが終わっていて、セキュリティ上の心配が増えると書かれています。

PHPのバージョンの確かめ方と、上げるときの手順はWordPressのPHPバージョンとは？確認方法と安全な更新の手順・注意点で、2026年10月に公表されたPHPの重大な脆弱性についてはPHPの脆弱性（PHP2Shell）とは？で詳しく説明しています。

https（SSL）にする

https にすると、ホームページとのやりとりが暗号化されます。ログインのパスワードや、問い合わせフォームに入れた内容を、途中で盗み見られにくくなります。WordPressの動作環境のページでも、HTTPSへの対応がすすめられています。IPAの20ヶ条でも、通信の暗号化が項目に入っています。まだ http のままの場合は、「保護されていない通信」と出るのはなぜ？を参考にしてください。

サーバー会社のWAFなどの機能

WAF（ウェブアプリケーションファイアウォール）は、ホームページへの怪しいアクセスを見分けて止める仕組みです。WordPressの公式ドキュメントでも、守りを強める方法の1つとして紹介されています。多くのレンタルサーバーでは、管理画面からWAFを有効にできます。

ほかにも、サーバー会社によって、次のような機能があります。使えるものがないか、一度確かめておきましょう。

• 海外からの管理画面へのアクセスを制限する機能
• WordPressのログインの試行を制限する機能
• 自動バックアップと、そこから戻す機能
• 改ざんや不正なファイルを見つけて知らせる機能

WAFを有効にすると、まれに、正しい操作（記事の保存など）まで止められることがあります。うまく保存できなくなったときは、サーバー会社の案内に沿って設定を見直します。

運用の決めごと

ここまでの対策は、一度やれば終わりではありません。続けるためには、社内での決めごとが欠かせません。担当者が1人で抱えていると、異動や退職をきっかけに、だれも見ていないサイトになってしまいます。

決めること	例
だれが更新するか	主な担当者と、その人が不在のときの代わりの人
いつ更新するか	毎月の決まった日。急ぎの修正が出たときは、その週のうちに
どこまで自分でやるか	本体・プラグインの更新は社内、表示が崩れたら制作会社に相談、など
ログイン情報の置き場所	WordPress、サーバー、ドメインのログイン情報をどこで管理するか
人が入れかわるとき	退職・異動した人のアカウントをその日のうちに削除し、共有していたパスワードを変える
何かあったときの連絡先	制作会社、サーバー会社、社内の責任者の連絡先

とくに、退職した人のアカウントが残ったままになっているケースはよくあります。人事の手続きの中に「ホームページのアカウントの削除」を入れておくと、忘れにくくなります。

また、ドメインやサーバーの契約が、だれの名義になっているかも確かめておきましょう。前の担当者や制作会社の名義になっていると、何かあったときに自社で手を打てないことがあります。名義は、自社に移しておくと安心です。

月ごと・年ごとの点検表

JPCERT/CCは、Webサイトへの攻撃に備えて、使っているソフトウェアのバージョンの確認を数週間〜1か月に1回程度、ログイン情報（パスワードの使い回しなど）の確認や委託先との契約の確認を1年に1回程度行うよう呼びかけています。これを参考に、中小企業の担当者が続けやすい形にまとめたのが、次の点検表です。

毎月の点検

項目	確かめること
本体の更新	WordPress本体が最新か
プラグイン・テーマの更新	更新が出ているものを更新したか
更新後の表示	主なページと問い合わせフォームが動くか
ユーザー	知らないアカウントが増えていないか
バックアップ	自動バックアップが止まらずに取れているか
見た目	スマートフォンと検索結果から入って、おかしなところに飛ばされないか

毎年の点検

項目	確かめること
PHPのバージョン	サポートが続いているバージョンか
プラグインの棚卸し	使っていないもの、長く更新されていないものはないか
パスワード	使い回しや、推測されやすいものはないか
アカウントと権限	退職者・取引の終わった会社のアカウントがないか。管理者が多すぎないか
バックアップから戻す練習	戻し方が分かる人がいるか
契約	サーバー・ドメインの名義と更新日、保守の契約の中身
https とサーバーの機能	https の証明書が切れていないか。WAFなどが有効か

点検表は、紙でも表計算ソフトでもかまいません。点検した日と、した人を残しておくと、引きつぎのときに役立ちます。

保守を頼む場合に確かめること

社内に担当者を置けない場合は、制作会社などに保守を頼むのも1つの方法です。ただし、「保守」と言っても、どこまでやってくれるかは会社によってちがいます。頼む前に、次の点を確かめておきましょう。

• 更新の範囲：本体だけか、プラグインとテーマも含むか。PHPのバージョンの見直しも入るか
• 更新の頻度：毎月なのか、何かあったときだけなのか。急ぎの修正が出たときはどうするか
• 更新後の確認：更新したあとに表示や問い合わせフォームを確かめてくれるか
• バックアップ：だれが、どこに、何日分取るか。戻す作業も含まれるか
• 被害にあったとき：復旧まで対応してくれるか。別料金になるか
• 報告：何をしたかを、毎月などの決まった形で知らせてくれるか
• アカウントと名義：ログイン情報や、ドメイン・サーバーの名義を自社でも持てるか

保守の費用の考え方は、ホームページの維持費・管理費の相場で整理しています。マツケンスタジオでは、ドメインとサーバーはお客様の名義のままにしており、更新が難しい場合は月額サポートで代わりに更新することもできます。

WordPressの運用が負担になっている場合は、更新の手間が少ない作り方に乗り換えるという選択肢もあります。WordPressから乗り換えるには？乗り換え先の比べ方と移行の手順で、乗り換え先の比べ方をまとめています。

被害に気づいたときの最初の行動

どれだけ気をつけていても、被害を完全にゼロにすることはできません。「ページが書きかえられている」「知らない管理者がいる」「サーバー会社から連絡が来た」など、おかしいと思ったときは、あわてて自己流で直そうとせず、まず次のことを行います。

1. 今の状態を記録する（画面の写真、気づいた日時、どんなことが起きているか）
2. 制作会社・保守会社、サーバー会社に連絡する
3. 別の安全なパソコンから、WordPress、サーバー、データベースなどのパスワードを変える
4. 必要なら、ホームページを一時的に止める

その後の調べ方や、元に戻す流れはWordPressの改ざんの対処法の記事で詳しく説明しています。被害にあったときに慌てないよう、連絡先と手順だけは、先に決めておきましょう。

まとめ

WordPressのセキュリティ対策の中心は、特別な技術ではなく、毎月の更新と、使わないものの整理、ログインの守り、バックアップです。そこに、サーバー側の設定（PHP、https、WAF）と、「だれが、いつ、何をするか」という社内の決めごとが加わります。

• 本体・プラグイン・テーマは、こまめに更新する
• 使っていないプラグイン・テーマは削除する
• 強いパスワードと2段階認証で、管理画面を守る
• 管理者のアカウントを整理し、退職者のアカウントはすぐに消す
• バックアップを取り、戻し方も確かめておく
• 点検の担当と日にちを決め、点検表で続ける

どれも「絶対に安全」にするものではありませんが、続けることで、狙われにくく、被害にあっても戻しやすいホームページになります。自社だけで続けるのが難しいと感じたら、保守を頼むことも含めて、無理なく続けられる形を考えてみてください。