WordPressのセキュリティ対策完全版｜乗っ取り・改ざんを防ぐ7つの対策
WordPressは世界中で最も利用されているCMS（Webサイト管理システム）であるため、ハッカーや自動攻撃プログラム（ボット）からの標的になりやすい側面を持っています。
対策を怠っていると、「ログイン画面を乗っ取られる」「サイトを改ざんされて架空請求やフィッシング詐欺サイトにリダイレクトされる」「スパムメールの送信台主にされる」といった重大な被害に遭う危険性があります。
本記事では、専門的なコードの知識がなくても今すぐ実行できる、即効性の高いWordPressセキュリティ対策を7つ厳選して解説します。
1. ログインURLを変更する（最優先）
初期状態のWordPressログイン画面URLは、誰でも推測できる共通形式（https://example.com/wp-login.php や /wp-admin）になっています。攻撃者はこの標準URLに対して大量のパスワードを試す「ブルートフォース攻撃（総当たり攻撃）」を仕掛けてきます。
対策手順
プラグイン（例：SiteGuard WP Plugin や WWP Security など）を使用し、ログインページのURLをランダムな文字列（例：https://example.com/my_secret_login_99/）に変更します。
ログインページの存在自体を第三者から隠すことで、不正アクセスの試みの大半を無効化できます。
2. 強固なパスワード設定とログインIDの隠蔽
簡単なパスワードや、サイト上に露出している管理者名を使用していると破られる確率が跳ね上がります。
対策手順
- パスワードの強化: 英大文字・小文字・数字・記号を組み合わせた16文字以上の複雑な文字列を設定します。
- 表示名（ニックネーム）の変更: 管理画面の「ユーザー」>「プロフィール」から、ブログ上の表示名をログインIDとは異なる「ニックネーム」に変更します。初期状態のままだと投稿者名としてログインIDがサイト上に丸見えになってしまいます。
3. 2要素認証（2FA）の導入
IDとパスワードの入力を突破された場合でも、スマホの認証アプリ（Google Authenticatorなど）を使った2要素認証を設定しておくことで、不正ログインを未然に防ぎます。
対策手順
Two-Factor などのセキュリティプラグインを導入し、ログイン時に「ワンタイムパスワード（6桁の数字コード）」の入力を義務付けます。これにより、パスワードが流出しても第三者がログインすることは不可能になります。
4. 本体・テーマ・プラグインを最新の状態に維持する
WordPressのハッキング被害で最も多い原因は、「更新せずに放置された古いプラグインやテーマの脆弱性（欠陥）」を突かれるケースです。
対策手順
- 管理画面の「更新」マークを定期的に確認し、更新通知が来たら速やかに最新バージョンへアップデートします。
- 信頼できる主要プラグインについては、「自動更新を有効化」に設定しておくのも有効です。
- 長期間開発が停止している（最終更新が1年以上前）古いプラグインは使用を避け、代替品に差し替えましょう。
5. ログイン試行回数の制限と画像認証（画像キャプチャ）の導入
機械（ボット）による無制限の連続ログイン試行を物理的にブロックします。
対策手順
- ログイン試行制限: 指定回数（例: 3回〜5回）ログインに失敗した場合、そのIPアドレスからのアクセスを一定時間ロックアウトする機能を導入します。
- 画像認証（ひらがな入力 / Turnstile / reCAPTCHA）: ログイン画面に「ひらがなの読み入力」やチェックボックスを追加し、自動プログラムによる入力を排除します。
6. レンタルサーバーのWAF（Web Application Firewall）を有効化
レンタルサーバー側で用意されているセキュリティ機能「WAF」を活用します。WAFはWebアプリケーションの脆弱性を狙った攻撃（SQLインジェクション、クロスサイトスクリプティングなど）をサーバーの手前で検知・遮断する壁の役割を果たします。
対策手順
- 利用しているレンタルサーバーの管理画面（ConoHa WING、エックスサーバー、ロリポップ等）にログイン
- 「セキュリティ」または「WAF設定」の項目を開く
- WAF設定を 「有効（ON）」 に切り替える
※WAFをONにすると、WordPressの編集作業中にエラー（403 Forbiddenなど）が出ることがあります。その場合は一時的にWAFの除外設定（該当するシグネチャの除外）を行うことで解決できます。
7. 不要なファイル・プラグインの完全削除
使っていないテーマやプラグインを「無効化」した状態で放置しておくと、そのコードに残された脆弱性が攻撃の足がかりに利用されるリスクがあります。
対策手順
- 使っていないテーマ（初期テーマなど、バックアップ用1つを除いたもの）は削除します。
- 使用を停止したプラグインは「無効化」だけでなく、完全に「削除（アンインストール）」します。
まとめ
WordPressのセキュリティ対策は、被害に遭ってから対処するのでは遅く、事前予防がすべてです。
- ログインURLの変更
- パスワード・ニックネームの強化
- 本体・プラグインの最新化
- サーバーのWAF有効化
まずはこの4点だけでも今日中に設定を完了させ、安全なWebサイト運用環境を構築しましょう。