この記事のレベル

初心者	（3.5）
重要度	（4.0）
難しさ	（3.0）

こんにちは、編集長のカワウソです！

「WordPressのセキュリティ対策について、何をどうすればよいのか分からない……」と悩んでいませんか？

WordPressは利用者が多い分、攻撃者によって狙われやすく、セキュリティ対策を怠ると被害を受けるリスクが高まります。

そこで今回は、WordPressのセキュリティ対策について、解説します。

この記事を読めば、WordPressにおける必要最低限のセキュリティ対策が分かります。

なお、この記事では前提として、小規模の予算で運営される企業ホームページを想定した内容となっております。

それではどうぞ！

なぜWordPressのセキュリティ対策が重要なのか？

まず、なぜWordPressのセキュリティ対策が重要なのかについて解説します。

WordPressは利用者が多く攻撃者に狙われやすい

WordPressは利用者が多く、攻撃者に狙われやすいです。

WordPressは世界のホームページの43.7%で使用されており、CMSシェアでも62.2%を獲得しています（2024年12月11日時点）。

▲出典：W3 Techs「Usage statistics and market shares of content management systems」

つまり、攻撃者にとってWordPressは、効率よく多くのホームページを狙えるプラットフォームなのです。

また、広く普及していることで、多くの初心者が利用しており、セキュリティの甘いホームページも少なくありません。

小規模なホームページも例外ではない

「セキュリティリスクって言っても、被害を受けるのは大企業だけでしょ？」と思われている方も多いことでしょう。

しかし、近年は小規模なホームページが攻撃されるケースも増えていますよ。

というのも、小規模なホームページでも、他システム（他社）への攻撃のための「踏み台」として利用されるケースがあるのです。

つまり、企業ないしはホームページの知名度や、アクセス規模と必ずしも相関しないということ。

WordPressの利便性を活かしつつ、ホームページを安全に運営できるように、必要最低限からでもよいので、セキュリティ対策を施しましょう。

WordPressでよくあるセキュリティ被害

では実際に、WordPressではどのようなセキュリティ被害があるのでしょうか。

いくつかあるセキュリティ被害のなかでも、ここでは代表的なもの3つを紹介します。

SPAMメールや詐欺メールの配信元として悪用される

ホームページが乗っ取られると、管理者通知やお問い合わせフォームなどで利用される「WordPressのメール送信機能」が悪用され、SPAMメールや詐欺メールの配信元になるおそれがあります。

とくに、脆弱なテーマ（デザインテンプレート）や、プラグイン（拡張機能）を通じて侵入されるケースが多いです。

不正スクリプトが埋め込まれてしまうと、ホームページ運営者の意思とは無関係に、多方面に大量のSPAMメールが送信されてしまいます。

その結果、自社が利用しているサーバーのIPアドレスが、スパム対策団体やスパムフィルタリングサービスなどのブラックリストに登録され、正規のメールが送信できなくなることも。

当然のことながら、企業の信頼性も損なわれてしまうでしょう。

WordPress、テーマ、プラグインを常に最新の状態に保ち、セキュリティ対策を徹底することが重要です。

フィッシング詐欺のために改ざんされる

ホームページが改ざんされると、攻撃者により「フィッシング詐欺用のページやリンク」が設置され、訪問者の個人情報やクレジットカード情報が盗まれるおそれがあります。

フィッシング対策協議会によると、2023年（上半期＋下半期）のフィッシング報告数は、過去最高100万件を超えました。

▲出典：フィッシング対策協議会「フィッシングレポート 2024」

攻撃者は脆弱なテーマやプラグイン、または不正ログインを通じてWordPressに侵入します。

改ざんされたホームページと言っても、元々信頼されているため、訪問者が騙されやすく、フィッシング詐欺の被害が広がりやすいのです。

具体的な事例として多いのは「決済ページ」。
見た目は正規のページに見えるものの、実際には攻撃者が作成した偽ページで、入力されたクレジットカード情報がそのまま盗まれます。

フィッシング詐欺は、企業の信用失墜だけでなく、訪問者に直接的な被害を与える深刻な問題です。

サーバーが他システムへの攻撃の踏み台として使われる

ホームページが乗っ取られると、攻撃者にサーバーリソースを奪われ、他システムへの「DDoS攻撃」や「ブルートフォース攻撃」の踏み台として利用されるおそれがあります。

攻撃者はWordPressの「XML-RPC機能（リモート機能）」などを悪用し、他システムに対して、大量のリクエストを送信します。
これにより、乗っ取られたサーバーがリクエストの送信元として機能し、他のシステムを攻撃するための一部に組み込まれてしまうのです。

サーバーリソースが過剰に消費されれば、ホームページがダウンする（機能しなくなる）だけでなく、被害者から攻撃元として訴えられるおそれもあるでしょう。

WordPressの機能を正しく理解し、不要な機能は無効化するなど、根本的なセキュリティ対策が重要です。

WordPressのセキュリティ対策10選

ここからは、WordPressのセキュリティ対策について具体的に解説します。

なお、（１）～（４）に関しては、WordPressそのもののセキュリティを高める前に、やっておくべきことです。

とくにこれからホームページを作る方は、参考にしてください。

それぞれ解説します。

実績が豊富なレンタルサーバーを選ぶ

何よりもまず、実績が豊富なレンタルサーバーを選びましょう。

なぜなら、WordPressはサーバーにインストールするもの。
信頼できるレンタルサーバーでないと、WordPressのセキュリティも十分に高められません。

たとえば、実績が豊富なレンタルサーバーには、WordPressのセキュリティ対策機能があります。

以下は、当社『エックスサーバー』のWordPressセキュリティ対策機能です。

さらに、実績が豊富なレンタルサーバーは長年の運営経験により、「WordPressのセキュリティに関する情報」をつかむための体制が整っています。

万が一、WordPress、テーマ、プラグインなどに「脆弱性（セキュリティホール）」が発生したとしても、利用者向けにその通知をしてくれることがありますよ。

（例）【重要】WordPressプラグイン「Really Simple Security(9.0.0 ～ 9.1.1.1)」における緊急性の高い脆弱性について

このように、同じWordPressを使うにしても、実績が豊富なレンタルサーバーを選んだほうが、メリットがあるのです。

なお、レンタルサーバーの実績が豊富かどうかは、運営年数、導入企業数、サイト運営数、シェアなどから、総合的に判断しましょう。

サーバーのセキュリティを強化する

レンタルサーバーを契約したあとは、サーバーのセキュリティを強化してください。

ここで言うサーバーのセキュリティとは、以下のようなものを指します。

前述のとおり、WordPressはサーバーにインストールするものです。
サーバーのセキュリティが甘いと、WordPressが危険にさらされます。

レンタルサーバーを契約したら、料金の支払い、サーバー、ドメインなどを管理するための管理画面をいくつか持つはずです。

これらのログインに使用しているパスワードを強化してください。

ログイン用パスワードは、「英大文字小文字＋数字＋記号混じりで 10 桁以上」が推奨されています（参考：内閣サイバーセキュリティーセンター「インターネットの安全・安心ハンドブック＜中小組織向け抜粋版＞」。

また、レンタルサーバーによっては、ログイン画面に2要素認証を設定できますよ。

そのほか、レンタルサーバーには基本的に「WAF」が用意されています。

このように、まずWordPressを使うための土台部分について、セキュリティを高めていきましょう。

SSL化する（HTTPSを導入する）

ホームページは必ずSSL化してください。

SSL化されていないホームページは、第三者から通信内容を傍受されるおそれがあります。

訪問者の個人情報が漏洩するリスクが高まるので、忘れずに設定しましょう。

SSLの設定はサーバーの管理画面からできます。
（参考：エックスサーバー「無料独自SSL設定」）

なお、SSL化しても「http」から始まるURLにアクセスできてしまう場合があります。
これは「http」に対するアクセスが、「https」へ転送されていないのが原因です。

転送設定について詳しくは、レンタルサーバーのマニュアルをご覧ください。
（参考：エックスサーバー「Webサイトの常時SSL化」）

定期的にバックアップを取る

WordPressを運用するうえで重要なのが、定期的にバックアップを取ることです。

バックアップがあれば、仮にWordPressが被害を受けても、以前の状態に復旧できます。

いくら強靭なセキュリティ対策を施したとしても、絶対に安心できるわけではありません。
いつでも、安全な状態に戻れるようにすることが、最大のセキュリティ対策なのです。

なお、レンタルサーバーには、基本的に「自動バックアップ機能」があります。

とはいえ、バックアップデータには保存期限があるので、定期的にダウンロードして、ローカル環境（パソコン）やクラウドストレージなどに保存しておきましょう。
（参考：エックスサーバー「自動バックアップからのデータ取得」）

WordPress管理画面に強力なパスワードを設定する

WordPressの管理画面に強力なパスワードを設定してください。

WordPressに限ったことではありませんが、不正アクセスの事例として、他人のユーザー名やパスワードを不正に利用する「なりすまし行為」が、あとを絶ちません。

簡単に推測できてしまうパスワードでは、「WordPressをどうぞ自由に使ってください」と言っているようなもの。

WordPressでは、「ユーザー ＞ プロフィール」の画面で「新しいパスワード」をクリックすることで、強力なパスワードを簡単に設定できます。

なお、WordPressにログインできなくなると困るため、「プロフィールを更新」をクリックする前に、パスワードをコピーしておきましょう。

WordPress管理画面にアクセス制限をかける

WordPressの管理画面（wp-admin）にアクセス制限（Basic認証）をかけるとよいです。

これにより、管理画面にアクセスすること自体に認証が必要になるため、前段階でセキュリティを高めることが可能です。

なお、レンタルサーバーでは、基本的にアクセス制限（Basic認証）機能が用意されているので、チェックしてみてください。
（参考：エックスサーバー「アクセス制限」）

WordPress、テーマ、プラグインを最新バージョンに保つ

WordPress、テーマ、プラグインは、最新バージョンを保ってください。

長らくアップデートされていないソフトウェアは、脆弱性が発生する原因になってしまうためです。

最新バージョンには、基本的に既知の脆弱性に対する修正が含まれます。

最新バージョンにアップデートすることで、セキュリティが高まるでしょう。

不要なWordPress、テーマ、プラグインは削除する

不要なWordPress、テーマ、プラグインは削除しましょう。

ホームページ運営において、テスト用にWordPressをインストールしたり、テーマやプラグインを試験的に複数導入することもあると思います。

しかし、使っていないものは、その存在を忘れてしまって、ついつい放置してしまうことも。
前述のとおり、アップデートされていないソフトウェアは、脆弱性が発生する原因になってしまいます。

そのため、不要なものは削除するのが一番手っ取り早いです。

ユーザー権限を適切に設定する

WordPressのユーザー権限を適切に設定しましょう。

複数のユーザーを登録する場合、誰にでも「管理者権限」を与えてしまうと、攻撃者に不正にログインされた場合に、被害を受けやすくなります。

場合によっては、WordPressを乗っ取られるおそれもあるでしょう。

なお、WordPressの権限グループの概要は、以下のとおりです。

管理者権限は必要最低限のユーザーのみに付与してください。

セキュリティプラグインを導入する

プラグインを利用すれば、レンタルサーバーやWordPressの管理画面のメニューでは設定できないようなセキュリティ対策も施せます。

たとえば、「XO Security」というプラグインだと、以下のようなセキュリティ対策が可能です。

なお、通常のプラグインと同じく、定期的にアップデートされているものを導入しましょう。

長らく放置されているプラグインだと、本来セキュリティを高めるはずが、逆に脆弱性を生む原因になってしまいます。
アップデートされているかどうかは、プラグインの情報ページから確認可能です。

▲出典：WordPress.com「XO Security」

同時に、最新版のWordPressに対応しているかどうか、過去に脆弱性が発見された事例がないか（あった場合は修正されているか）なども確認しましょう。

不正アクセスの被害を受けた場合の対処法

ホームページの改ざんや不正なファイル設置といった「不正アクセス」の被害を受けた場合は、契約中のレンタルサーバーに相談しましょう。

レンタルサーバーによって、対処法が異なります。

なお、弊社『エックスサーバー』ではマニュアルページに、不正アクセスを受けた場合の対処法を記載しています。

（参考：エックスサーバー「不正アクセス（ファイルの改ざん、不正なファイル設置）について」）

まとめ

この記事では、WordPressのセキュリティ対策について解説しました。

もし、まだバックアップを取っていない方がいれば、すぐに対応してください。

万が一のときのために、すぐに復旧できる体制を構築しておくことが重要です。

それでは、最後まで読んでいただき、ありがとうございました。

ホームページの開設を検討している方へ

※ 2024年10月時点、W3Techs調べ。

『エックスサーバー』と『XServerビジネス』の違いは、以下の記事で詳しく解説しています。

なお、当メディア「初心者のための会社ホームページ作り方講座」では、初心者の方にわかりやすく会社のホームページを始められる方法を紹介しています！

ホームページの始め方・立ち上げに関する、ご質問・ご相談はツイッターDM( @kawauso_xsv )までお気軽にどうぞ！