WordPressのセキュリティ対策｜権限・更新・日常点検と異変時の初動

※本記事にはPRを含む場合があります。

こんにちは。『脱会社員』脱サラを応援し続けるブログ、運営者の『なかびー』です。

WordPressのセキュリティが心配でも、見つけた設定を全部有効にする必要はありません。まず確かめたいのは、誰がどのアカウントで管理しているか、更新と点検を誰が行うか、異変が起きたときにどこへ連絡できるかです。対策を増やす前に、今のサイトを説明できる状態にすると、優先順位が見えてきます。

この記事では、レンタルサーバーに設置したWordPressを自分で運営する初心者に向けて、予防・発見・復旧準備を一続きで整理します。特殊な設定ファイルを一括編集する手順や、侵入を完全に防ぐという約束は扱いません。操作権限のないサイトや仕事で預かったサイトでは、管理者の承認と契約範囲を確認してから進めてください。

情報は2026年10月3日に公式資料で確認しています。画面や利用できる機能は、サーバー、WordPressの構成、テーマ、プラグイン、契約によって変わります。本文中のケースと点検票は説明用の仮定・自作例です。図版も説明用の生成イメージであり、実際の管理画面や侵入被害を撮影したものではありません。

WordPressのセキュリティは管理範囲の整理から始める

まず守りたいものを三つに分ける

守る対象は、記事や画像のような公開コンテンツ、問い合わせ内容や利用者情報のような非公開データ、そして管理画面に入るためのアカウントです。公開記事しかないブログでも、勝手に別のリンクを埋め込まれたり、読者を意図しない場所へ誘導されたりすると困ります。扱う情報が少ないことと、対策が不要であることは同じではありません。

運営者が使うメール、ドメイン管理、サーバー契約も確認範囲に入れます。WordPressのパスワードを再設定するメールに入れなければ、復旧が難しくなります。サイト本体だけを見て「対策済み」とするより、管理の入口を紙に書き出す方が、見落としを探しやすくなります。

最初の棚卸しでは、秘密の値を書き写す必要はありません。「サーバー契約は自分名義」「通知先は運営用メール」「ドメインは別サービス」といった対応関係だけを残します。パスワードや復旧コードを普通の共有表へ並べると、新たな流出経路になります。管理一覧と秘密情報の保管場所は分けましょう。

サーバー会社と自分の担当を確認する

サーバー会社がどこまで保守するかは契約によって異なります。サーバー基盤の管理と、自分で入れたプラグインの設定、記事の公開範囲、外注者のアカウント管理は、別の仕事として考える必要があります。「レンタルサーバーだから全部お任せ」と思い込まず、説明ページとサポート窓口で確認します。

WordPress公式のHardening WordPressも、安全対策をリスクの低減として説明し、ホスティングとサイト運営者の責任範囲を理解する重要性を示しています。本記事ではその考え方を、個人ブログの担当表に置き換えて整理します。

たとえば「自動バックアップあり」と書かれていても、保存世代、復元費用、利用できる期間、復元を実行する人まで同じではありません。問い合わせを送ってから作業する方式なのか、自分で操作できるのかも確認します。サービス名だけを控えるより、必要なときに何を頼めるかを一文で残すと役立ちます。

※表は横にスクロールできます。

記事を書くだけの人と管理する人を区別する

一人で運営している場合でも、記事を書く作業とサイトの設定を変更する作業を意識して分けると、事故を減らしやすくなります。下書き作業中に更新通知が見えたからといって、その場で複数の設定まで変えると、後から何が原因で表示が変わったのか分かりにくくなります。

共同運営なら、誰が更新を決め、誰が確認し、誰が連絡を受けるかを決めます。肩書きだけではなく、「執筆者は本文を作成」「公開判断は編集者」「プラグインの更新は管理担当」のように操作単位で書くと、必要な権限も選びやすくなります。

仮定の例として、二人で運営する趣味ブログなら、二人とも常に管理者である必要があるかを見直せます。ただし、他の人の権限をいきなり下げると、予定していた作業ができなくなることがあります。現在の担当作業を確認し、変更後の操作を試す時間まで相談しておきましょう。

対策の順序は、現状把握から変更へ進める

初日の作業は、一覧を見る、連絡先を確認する、バックアップの有無を調べるところまででも構いません。状態が分からないまま機能を追加すると、既存の保護と重複したり、自分がログインできなくなったりする可能性があります。確認と変更を別の作業として扱うのが基本です。

次に、明らかな未対応を整理します。誰のものか分からないアカウント、更新通知の放置、受信できない管理メールなどは、確認先と対応期限を決めます。問題の重大さが分からない場合は、推測で消すより、サーバーや制作担当へ事実を伝えて判断を仰ぎます。

設定変更は一つの目的ごとに行い、変更前の状態、変更した項目、確認した結果を残します。この記事に出てくる対策を同日にすべて実施する必要はありません。サイトの重要度と保守体制に合わせて、戻せる範囲から進める方が、長く続けられる運用になります。

アカウントと権限を守る｜ログインを人と目的で分ける

一人ひとりのアカウントで作業する

同じログイン情報を複数人で使うと、誰が何を変更したのかを確認しにくくなります。外注者が交代したときも、その人だけの利用を終えることが難しくなります。共同作業では本人用のアカウントと担当範囲を用意し、共通パスワードをチャットに流す運用を避けます。

権限を決めるときは、記事を下書きするだけなのか、自分の記事を公開するのか、他の人の記事を編集するのか、テーマやプラグインまで扱うのかを分けます。WordPressの標準ロールには役割の違いがありますが、プラグインや独自設定で権限が変わることもあります。

標準の役割と操作の対応は、WordPress公式のRoles and Capabilitiesで確認できます。実サイトでは名前だけで判断せず、管理者に現在の権限を確認してください。マルチサイトなど構成が違う場合も、同じ表示名だから同じ操作ができるとは限りません。

パスワードは使い回しと共有方法を見直す

他のサービスと同じパスワードを使うと、そちらで情報が流出した場合にWordPressにも影響が及ぶおそれがあります。サイト名や自分の名前から簡単に予想できるものを避け、サービスごとに異なる強いパスワードを管理することが基本です。長さだけを増やして使い回しを続ける方法では、問題が残ります。

パスワード管理ツールを使う場合も、ツール自体の保護、復旧方法、利用端末の管理を確認します。選んだ製品の公式案内に従い、共同作業者へ秘密情報を渡す必要が本当にあるかを先に考えましょう。ログイン作業の代行より、相手専用のアカウントを用意できないかを検討します。

スクリーンショットや動画を共有するときは、画面にパスワード、認証コード、接続情報が映っていないかを確認します。モザイクをかけるつもりで元画像を公開フォルダーに置けば、その時点で共有範囲が広がることもあります。編集前の素材と共有用の画像は、保存場所から分けて扱ってください。

二要素認証は利用可否と復旧方法をセットで確認する

二要素認証などの追加認証を使える場合は、提供元の公式案内を確認します。WordPress本体の構成、ホスティング、導入済み機能によって利用方法が違うため、どのサイトでも同じ場所にスイッチがあるとは言えません。追加のプラグインが必要かどうかも、現在の環境を確認してから判断します。

設定前には、端末の故障・機種変更時にどう戻るか、復旧コードをどこへ安全に保管するか、管理者全員が利用できるかを整理します。設定できた安心感だけで、復旧方法を未確認のままにしないことが重要です。認証コードや復旧コードを問い合わせ文に添付してはいけません。

自分を締め出す心配がある場合は、管理者やサポートに導入順序を相談します。作業時間を確保し、正規の再ログインを確認してから作業を終えます。認証が失敗したからといって、保護機能を次々に無効化するのではなく、どの段階で止まっているかを記録しましょう。

※表は横にスクロールできます。

外注の開始と終了を一組にする

依頼時には、必要な作業、使える期間、作業対象のサイト、連絡手段を決めます。「念のため管理者」で渡すのではなく、求める作業に必要な権限を確認します。権限が不足する場合は、相手から操作内容を説明してもらい、期間と範囲を限定して対応できるかを考えます。

終了時は、完成物の確認だけでなく、アカウント、外部連携、共有フォルダー、サーバー接続などの利用状況を点検します。WordPressのアカウントを整理しただけで、別のサービスへのアクセスまで終わるわけではありません。開始時に一覧を残しておくと、終了時の漏れを減らせます。

アカウントを削除するときは、その人が作った記事の扱いにも注意します。保存内容を消すのか、別の担当に割り当てるのか、実際の確認画面を読んで判断してください。急いで整理するより、関係者に終了を伝え、記事と権限を別々に確認する方が確実です。

管理用メールと端末にも目を向ける

WordPressへの入口が安全でも、管理用メールが他人に使われれば、パスワード再設定などを通じて影響が広がる可能性があります。管理メールを受信できるか、使わなくなったアドレスが残っていないか、正規の通知を見つけられるかを確認します。

共有パソコンで管理画面を開く場合は、利用環境のルールと保存状態に注意します。作業後のログアウト、ブラウザーに保存する情報、端末の画面ロックなど、自分が管理できる範囲を確認してください。業務用端末の設定を個人判断で変更するのは避け、所属先のルールを優先します。

パソコンやブラウザーの更新も、ブログ運営の準備に含めます。サイト側の機能を増やす前に、自分の作業端末の警告や不審な拡張機能を放置していないかを点検しましょう。心当たりのないソフトの実行を勧めるメールや、偽のサポート案内にも注意が必要です。

更新・機能・公開データを点検｜事故につながる入口を減らす

更新は必要性と確認時間を一緒に考える

更新通知を見たら、WordPress本体、テーマ、プラグインのどれかを確認します。変更内容、安全性に関する案内、現在の環境との互換性を読み、必要な対応を決めます。安全性の修正を含む重要な更新を、いつもの月末点検まで機械的に待たせる運用は避けます。

一方で、出勤直前にまとめて更新し、結果を確認せず離れる進め方も困ります。バックアップや検証環境、問い合わせ受付への影響を確認し、作業後のテストができる時間を確保します。大切なのは更新を恐れて止めることでも、内容を見ずに押すことでもなく、対応を完了させる体制です。

自動更新の設定は環境によって異なります。WordPress公式のプラグイン・テーマ自動更新の説明を確認し、通知や実行結果まで点検してください。有効にしたという記憶だけでなく、実際の版と更新状況を見ることが必要です。

使っている機能と入手元を把握する

一覧には、現在使っているもの、停止中のもの、用途が分からないものが混在することがあります。名前だけで必要・不要を決めず、提供する機能と使っているページを調べます。フォーム、SEO、バックアップ、会員機能などは、表から見えない処理を持つこともあります。

無料で有料版を配るとうたう非公式な配布物や、出所を確認できないファイルは避けます。公式の配布元や正規の提供者から入手し、更新を受けられるかを確認します。安さだけで選ぶと、改変の有無や将来の保守を自分で判断しなければならなくなります。

使わなくなった機能は、保存データと依存関係を確認して整理します。停止しているから安全性の点検から外してよい、と考えない方がよいでしょう。削除に伴って失われる設定やデータがないかを調べ、必要な記録を残してから正規の手順で進めます。

WAFやログイン制限は役割と影響を理解して使う

WAFはWebへの通信を検査する仕組みの一つですが、提供方法や判定の範囲は製品・サービスで異なります。有効にすればすべての侵入を防げるわけではなく、更新やアカウント管理を省略する理由にもなりません。現在サーバー側に機能があるか、誰が管理しているかを調べます。

正当な編集やフォーム送信が止まった場合も、すぐ全面的に無効化するのではなく、日時、対象操作、表示された案内を控えてサポートに相談します。設定を調整するなら、影響する機能と戻し方を確認します。「保存できないから保護を切る」が習慣になると、原因も未解決のまま残ります。

ログイン試行の制限や管理画面のアクセス制限も同様です。外出先や別担当者の利用、外部サービスとの連携を考慮する必要があります。IPアドレスが変わる環境なのか、制限対象にしてはいけない通信がないかなど、分からない点は管理者に確認し、一般的な設定例をそのまま貼り付けないでください。

※表は横にスクロールできます。

メディアと公開URLに秘密情報を置かない

記事を下書きにしていても、アップロードしたファイルの公開範囲が同じとは限りません。請求書、本人確認書類、顧客一覧、認証情報の画像などを、公開サイトのメディアへ一時置きする運用は避けます。見つけにくい名前を付けても、アクセス制御の代わりにはなりません。

制作の説明用画像に管理画面を使う場合は、メールアドレス、顧客情報、個別の接続先などを確認します。写っている情報が公開してよいものか分からなければ、実データを隠した説明用の素材を作る方が安全です。見た目だけをぼかすのではなく、元ファイルの扱いにも注意します。

バックアップファイルを公開ディレクトリに置きっぱなしにすることも避けます。ファイル名を知っている人だけが開ける状態は、保管に十分とは限りません。利用しているバックアップ機能の保存先とアクセス制御を公式資料で確認し、必要なら管理者に安全な保管方法を相談します。

設定ファイルの変更は自分の担当範囲を超えない

検索結果には、設定ファイルへの追記、権限の変更、機能の無効化など多くの方法が載っています。しかし、サーバー構成や利用機能が違えば、正常な動作を止める可能性があります。短いコードだから簡単とは限らず、戻せる手順がない変更は避けるべきです。

特に、データベースの権限、ファイルのアクセス権、認証や通信の設定は、更新や連携機能にも影響します。現状と目的を管理者に伝え、必要な範囲を判断してもらいましょう。この記事は、具体的な数値を一律に設定することを勧めるものではありません。

初心者がまずできるのは、今の設定を確認することと、疑問を具体的にすることです。「安全にしてください」より、「外注終了後のアカウントが残っているので、記事を保持して利用を終える方法を確認したい」と伝える方が、必要な作業が明確になります。

異変を早く見つける｜日常点検と復旧準備を組み合わせる

正常な状態を知っておく

異変に気づくためには、普段の表示、使っている機能、管理者の人数、通知の種類を把握しておく必要があります。毎回すべてを調べ直すより、トップページ、代表記事、問い合わせ画面など、重要な場所を決めて確認する方が続けやすくなります。

確認時は、管理者として見た画面と、ログアウトした読者として見た画面の違いにも注意します。特定の端末やページだけで発生する問題もあるため、症状があるときは条件をそろえて記録します。ただし、怪しい転送先や警告のあるページへ無理に進む必要はありません。

通常の点検記録には、確認日時、対象、結果、気になった変化を残します。問題がなかったという記録も、いつまでは正常に見えていたかを考える材料になります。記録は「安全を証明する証明書」ではなく、変化を見つけて相談するための情報です。

通知を受け取る人と見る順序を決める

更新、バックアップ、ログイン、外部連携などの通知が大量に届く場合は、種類と重要度を整理します。全部を同じ場所に流して読まなくなるより、失敗や予期しない変更を見つけられる運用を考えます。利用機能の通知設定を調べ、送信先が現在の担当者になっているかを確かめます。

メールの件名だけで本物と判断してはいけません。緊急と書かれていても、リンク先でパスワードや支払いを求められた場合は、普段使っている公式の管理画面から確認します。サポートを名乗る連絡が来たときも、そのメールの返信先だけを頼りにせず、確認済みの窓口を使います。

共同運営なら、主担当が不在のときに誰が確認するかも決めます。通知を受け取る人と実際に変更する人が違う場合は、連絡の経路を短くします。確認した人が「誰かが対応するだろう」と考えて終える状態を避け、対応中・完了・保留を分かるようにしましょう。

※表は横にスクロールできます。

バックアップは存在と復元可能性を分けて点検する

バックアップのファイルが一つ見つかっただけでは、必要な時点へ戻せるかは分かりません。対象がファイルだけなのか、データベースも含むのか、保存世代が残るのかを確認します。取得後に増えた記事や問い合わせがどう扱われるかも、復旧の判断に関係します。

また、不正な変更が入り込んだ後のバックアップには、その状態が含まれることがあります。最新のものだから正常とは限りません。保存日時とサイトの変化を照らし合わせるためにも、複数世代と点検記録が役立ちます。復元作業は本番のデータへ影響するため、管理者と範囲を確認して進めます。

具体的な保存対象や復元テストの考え方は、WordPressのバックアップ方法で整理しています。このページでは手順を重複させず、セキュリティ運用の中で「誰が、どこから、何を戻せるか」を確認することに重点を置きます。

小規模ブログの点検例を作る

ここでは、会社員が一人で運営し、外注ライターが一人参加するブログを仮定します。運営者は公開内容と更新通知を日常の作業時に確認し、外注ライターは下書きを担当します。月の見直しでは、外注の継続、不要機能、通知先、バックアップの結果を確かめる運用を考えられます。

この例の間隔は、すべてのサイトに十分な基準という意味ではありません。重要な安全性の通知や、予期しないユーザー追加があれば、次の定期点検まで待たず確認します。予約や販売、個人情報を扱うサイトでは、停止や漏えいの影響も大きくなり、保守体制を別途検討する必要があります。

点検票の項目を増やしすぎると続かないので、最初は重要な五項目程度から始めます。たとえば、公開表示、更新状態、ユーザー一覧、通知、バックアップです。問題が見つかった項目には、状況、確認先、次の行動を加え、チェックだけ付けて終わらないようにします。

運営を休む期間にも管理を残す

記事更新を休んでも、公開中のサイトの保守が不要になるわけではありません。長期出張や繁忙期に入る前に、通知の受信先と対応者、サポートへの連絡方法を確認します。「投稿しないから管理画面も見ない」という状態を長く続けないことが大切です。

維持できる時間が少なくなった場合は、機能を必要な範囲へ整理する、管理を依頼する、公開の続け方を見直すなどの選択肢があります。ただし、機能を減らす際もデータや契約の確認が必要です。慌ててサイトを削除するのではなく、残すものと終えるものを分けましょう。

サーバーの保守・バックアップ・問い合わせ体制に不足があると分かった場合は、副業ブログ向けレンタルサーバー比較で確認項目を整理できます。これは契約を見直す際の関連ガイドで、特定サービスへの移行だけで安全が保証されるという意味ではありません。

不正アクセスが疑われるとき｜記録・相談・復旧確認の順序

異変の種類を言葉にする

見覚えのない記事やユーザー、意図しない転送、サーバーからの停止通知などがあれば、いつ・どこで・何が起きたかを整理します。「乗っ取られた気がする」だけでなく、発見した画面、URL、日時、自分が直前に行った作業を分けて記録すると、相談先が状況を理解しやすくなります。

ただし、ログインできない、表示が崩れた、ページが遅いという症状だけで、不正アクセスと断定はできません。設定変更や更新失敗、障害の可能性もあります。原因の推測と確認できた事実を分け、見つけた情報をそのまま残すことが重要です。

初動の考え方は、WordPress公式の被害が疑われる場合のFAQも参考になります。ここでは初心者が独力でファイルを掃除するのではなく、証拠や現状を保ち、信頼できる管理者・サポートへつなぐための準備を中心に説明します。

不審なものを見つけても、すぐ消して終わらせない

知らないファイルや投稿が見つかると削除したくなりますが、それだけでは侵入経路や他の影響が分からないまま残ることがあります。何を削除したかが分からなくなれば、原因の調査も難しくなります。まず相談先と連絡を取り、必要な記録と保全の範囲を確認します。

被害が広がるおそれがある場合は、サイトへのアクセスや受付をどう扱うか、管理者やサーバーと相談します。単に表示を元に戻して公開を続けてよいかは、症状と扱う情報によって異なります。事業用サイトなら、連絡や報告が必要かも担当者・専門家に確認してください。

不審なプラグインを入れて直す、見知らぬ業者へ管理情報を送る、SNSに生のログを貼るといった行動は避けます。慌てた状況では「すぐ直せる」という案内に頼りたくなりますが、支援者の確認と共有する情報の範囲を決めることが先です。

※表は横にスクロールできます。

サポートへ渡す情報を短くまとめる

相談文には、対象サイト、確認日時、症状、発生条件、直前の変更、すでに行った操作を含めます。パスワード、復旧コード、秘密鍵などを本文に入れる必要はありません。ログや画像を求められた場合は、正式な窓口か確認し、必要な範囲だけを指定された安全な方法で共有します。

自作の相談例は、「本日午前に、ログアウトしたスマートフォンで記事Aを開くと別サイトへの転送が発生しました。管理画面からは通常表示に見えます。昨日行った作業はテーマの更新だけです。設定やファイルはまだ変更していません。現状保全と公開継続の判断について確認したいです」という形です。実際には正確な日時とURLを加えます。

相手から操作を案内されたら、対象、影響、戻し方を確認します。自分の権限ではできない作業を無理に進めず、管理者に引き継ぎます。複数の業者へ同時に依頼する場合は、同じ箇所を別々に変更しないよう、作業中の担当と変更履歴を共有することも必要です。

復旧後は見た目と原因対策を別々に確認する

ページが元に戻ったことと、再発につながる原因が取り除かれたことは別です。復旧を担当した人に、分かった原因、変更した範囲、残る不明点、追加で確認する項目を整理してもらいます。原因が特定できていないなら、その状態も明記して運用を続ける必要があります。

確認対象は、記事やフォームだけでなく、ユーザー、連携、通知、保存データなどにも及びます。どこまで点検するかは影響範囲によって変わるため、一律の短いチェックだけで終了とはできません。必要なら専門の調査を依頼し、通常業務へ戻す条件を管理者と決めます。

認証情報の見直しが必要な場合も、信頼できる端末と正規の管理画面を使い、関係するサービスを整理して実施します。疑わしい端末から変更を繰り返すのではなく、原因と範囲を確認することが先です。作業後は、不要なアクセスが残っていないか、正規の担当者が必要な操作をできるかも確かめます。

今日できる最初の三つを決める

これから対策を始めるなら、まず管理者一覧と通知先を確認し、次に更新とバックアップの担当を整理し、最後にサーバーの正式な相談窓口を控えてください。この三つなら、設定を大きく変える前に取り組めます。分からない項目を見つけることも、立派な点検結果です。

仮に「以前の制作会社の担当者が残っている」と分かった場合は、すぐ削除するのではなく、契約が続いているか、担当作業があるか、記事をどう扱うかを確認します。「バックアップはあるらしい」で止まっている場合は、保存先と復元の依頼方法を一つ確認するところから進めます。

WordPressのセキュリティ対策は、便利な機能を増やす競争ではありません。管理範囲を知り、必要な権限にそろえ、更新と点検を続け、異変が起きても落ち着いて連絡できる状態を作ることが中心です。自分で判断できる範囲と専門家に頼る範囲を分けながら、ブログを育てる時間を守っていきましょう。