WordPressのセキュリティ対策は「プラグインを入れたら完了」じゃない｜最低限やるべき7つのこと【2026年版】

※2026年9月に内容を全面的に更新しました。

こんにちは。WordPressを15年以上使っているウェブエンジニアのアメンボです。マルウェアに感染したサイトの復旧を依頼されて話を聞くと、「セキュリティプラグインは入れていた」というケースが少なくありません。

セキュリティプラグインは心強い道具ですが、入れただけで安全になるわけではありません。この記事では、プラグインを入れる前後に必ずやっておきたい、最低限のセキュリティ対策をまとめます。

結論：プラグインの前に、この7つ

1. ユーザー名に「admin」など推測されやすいものを使わない
2. 長く、使い回していないパスワードにする
3. 2段階認証を有効にする
4. WordPress本体・プラグイン・テーマ・PHPを最新に保つ
5. 使っていないプラグイン・テーマを削除する
6. セキュリティプラグインは1つに絞り、設定まで済ませる
7. バックアップを取り、戻せることを確認しておく

なぜ「入れただけ」では足りないのか

WordPressへの攻撃でもっとも多いのは、ログイン画面にユーザー名とパスワードを大量に試す「ブルートフォース（総当たり）攻撃」と、更新されていないプラグインやテーマの脆弱性を狙う攻撃です。

セキュリティプラグインはこうした攻撃を防ぐ機能を持っていますが、初期設定のままでは主な機能が無効になっていることもあります。また、ユーザー名が「admin」でパスワードが短ければ、ログイン制限をしていても突破される可能性は残ります。プラグインは「最後の防御」であって、土台の対策の代わりにはなりません。

1. ユーザー名に「admin」を使わない

「admin」「administrator」やサイト名と同じユーザー名は、攻撃で真っ先に試されます。すでに使っている場合は、新しい管理者ユーザーを作ってログインし直し、古いユーザーを削除します（削除するときに、記事の投稿者を新しいユーザーに引き継ぐ設定を選んでください）。

あわせて、「ユーザー」→「プロフィール」の「ブログ上の表示名」を、ユーザー名とは別の名前にしておくと、ユーザー名が外から推測されにくくなります。

2. 長く、使い回さないパスワードにする

パスワードは16文字以上を目安に、ほかのサービスと使い回さないことが大切です。覚えられない長さでも、パスワードマネージャーを使えば管理できます。管理画面だけでなく、サーバーのコントロールパネル、FTP、データベースのパスワードも同じ考え方で見直しましょう。

3. 2段階認証を有効にする

2段階認証を有効にすると、パスワードが漏れても、スマートフォンの認証アプリに表示されるコードがなければログインできません。多くのセキュリティプラグインで設定できます。管理者が複数いる場合は、全員に設定してもらいましょう。

4. 更新を止めない

脆弱性の多くは、更新で修正されます。WordPress本体、プラグイン、テーマの更新通知は放置せず、できれば自動更新を有効にしておきます。サーバーのPHPも、サポートが終わった古いバージョンのままにしないよう注意してください。

更新で表示が崩れるのが心配な場合は、先にテスト環境で試すと安心です（テスト環境の作り方の記事）。

5. 使っていないプラグイン・テーマを削除する

停止しているだけのプラグインやテーマでも、ファイルがサーバーに残っていれば攻撃の入口になることがあります。使っていないものは削除しましょう。長い間更新されていないプラグインや、配布元がはっきりしない有料テーマ・プラグインの無断配布版は使わないでください。

6. セキュリティプラグインは1つに絞り、設定まで済ませる

セキュリティプラグインを複数入れると、機能が重なって競合し、ログインできなくなったり、サイトが表示されなくなったりすることがあります。1つに絞って、次のような設定まで済ませておきましょう。

• ログインの試行回数制限（ロックアウト）
• ログイン画面のCAPTCHA
• XML-RPCの無効化やファイアウォール
• 通知メールの送り先を、ふだん見ているアドレスにする

無料で使える「All-In-One Security（AIOS）」での具体的な設定方法は、マルウェア感染からの復元と再発防止の記事で画面の項目名つきで紹介しています。

7. バックアップを取り、戻せることを確認する

どれだけ対策しても、被害をゼロにはできません。最後に頼りになるのはバックアップです。サーバーの自動バックアップを確認し、サーバーの外にも保存しておきましょう。バックアッププラグインの点検方法は、バックアッププラグインのメンテナンスの記事で紹介しています。

あわせてやっておきたいこと

• サーバー会社のWAF（Webアプリケーションファイアウォール）や、海外からの管理画面アクセス制限を有効にする
• 管理者権限は必要な人だけに渡し、記事を書くだけの人は「編集者」や「投稿者」にする
• 退職者や取引の終わった制作会社のアカウントを残さない
• Google Search Consoleに登録し、「セキュリティの問題」の通知を受け取れるようにする

まとめ

セキュリティプラグインは、ユーザー名・パスワード・更新・バックアップといった土台の対策があって初めて力を発揮します。まずは結論の7項目を順番に確認し、プラグインは1つに絞って設定まで済ませておきましょう。

「自分のサイトの設定が十分か見てほしい」「マルウェアに感染したかもしれない」という場合は、WordPressのトラブル対応でお手伝いしています。お気軽にご相談ください。