WordPressを安全に利用するためには、WordPress本体やプラグインの更新、適切なパスワード管理など、利用者側での継続的な対策が必要です。

この記事では、WordPressの基本操作で取り組めるセキュリティ対策と、設定を変更する際の注意点を説明します。各対策は不正アクセスや情報の漏えいなどのリスクを低減するためのものであり、安全を完全に保証するものではありません。

記事内の「管理画面」は、記事の作成や画像の追加に使用するWordPressの管理画面を指します。メニュー名や表示内容は、WordPressのバージョンや導入済みのプラグインによって異なる場合があります。

1．サイト全体のバックアップを作成・管理する

バックアップは、サイトのデータを別に保存し、トラブル時の復元に備えるためのものです。不正アクセスを防ぐ機能ではありませんが、更新の失敗やサイトの改ざんによる影響を軽減するために必要です。

WordPressのサイト全体を復元するには、記事や設定を保存する「データベース」と、画像やテーマなどの「ファイル」の両方が必要です。片方だけのバックアップでは、元の状態に復元できない場合があります。

バックアップ用プラグインなどを利用する

サイトのバックアップは、利用者ご自身で作成・管理してください。WordPressの操作に慣れていない場合は、バックアップ用プラグインを利用する方法があります。

プラグインは、WordPressに機能を追加するためのソフトです。導入する際は、WordPress公式の配布ページや信頼できる開発元を利用し、現在のWordPressへの対応状況、更新状況、操作方法を確認してください。

バックアップの設定では、次の項目を確認します。

• ファイルとデータベースの両方が保存対象になっているか。
• バックアップが正常に作成されているか。
• 保存先と保存期間が適切か。
• バックアップから復元する方法が分かるか。

バックアップは定期的に作成し、WordPressやプラグイン、テーマを更新する前にも取得してください。作成する頻度は、記事の追加や変更の頻度に合わせて設定します。

保存先はサイトと同じサーバー内だけにせず、パソコンや別の保管先にもデータを保存してください。また、正常だった時点に戻せるよう、複数の時点のバックアップを残します。

バックアップには重要な情報が含まれるため、第三者が閲覧できる場所には保存しないでください。復元を行うと、バックアップの作成後に追加・変更したデータが失われる場合があります。復元手順は事前に確認し、本番サイトで操作を試すことは避けてください。

2．WordPress・プラグイン・テーマを更新する

WordPressの更新には、機能の追加に加えて、セキュリティ上の問題を修正するものがあります。古いバージョンを使い続けると、すでに知られている問題を悪用されるおそれがあります。

WordPress本体だけでなく、導入済みのプラグインと、サイトのデザインを決めるテーマも更新の対象です。

更新の手順

1. 最近のバックアップが正常に作成されており、復元方法が確認できていることを確かめます。
2. 管理画面の「ダッシュボード」→「更新」を開きます。
3. 更新内容や注意事項を確認します。対応状況が不明な場合は、開発元の案内を確認します。
4. 画面の案内に従って更新します。プラグインは1つずつ更新すると、不具合が発生した場合に原因を確認しやすくなります。
5. 更新後に、トップページや記事の表示を確認します。お問い合わせフォームを使用している場合は、送信とメールの受信も確認します。

WordPress本体は、通常、管理画面の更新ボタンから更新できます。更新前にはサイトのバックアップを取得してください。

独自に変更したテーマを使用している場合は、更新によって変更部分が失われることがあります。制作会社などがカスタマイズしたサイトや、長期間更新していないサイトでは、更新前に制作担当者へ確認してください。

自動更新の実行状況を確認する

自動更新が有効でも、環境によって更新が実行されない場合があります。管理画面や更新結果の通知で、更新が完了していることを確認してください。

更新画面を定期的に確認することも必要です。重大なセキュリティ上の問題に関する通知を受けた場合は、バックアップと対応状況を確認したうえで、早めに更新してください。

更新が失敗した場合や、操作方法が分からない画面が表示された場合は、設定やファイルを自己判断で変更せず、開発元の手順を確認してください。制作担当者がいる場合は、表示内容を伝えて確認を依頼します。

3．推測されにくいパスワードを使用する

WordPressのログイン用パスワードには、名前や誕生日、サイト名、短い単語など、推測されやすいものを使用しないでください。また、ほかのサービスと同じパスワードを使い回すことも避けてください。

WordPressが生成する強いパスワードや、パスワード管理アプリが作成する長いパスワードを利用する方法があります。パスワードは安全な場所で管理し、第三者に共有しないでください。

パスワードの変更手順

• 管理画面の「ユーザー」→「プロフィール」を開きます。
• パスワードを設定する項目で、新しいパスワードを作成します。
• 新しいパスワードを安全な場所に保存し、プロフィールの変更を確定します。
• 変更後のパスワードでログインできることを確認します。

WordPressのログイン情報に加えて、パスワード再設定メールを受け取るメールアカウントも適切に管理してください。複数人でサイトを運営する場合は、同じログイン情報を共有せず、各自のアカウントを使用してください。

4．不要なプラグインとテーマを整理する

使用していないプラグインは、必要性を確認したうえで削除してください。WordPress公式でも、使用していないプラグインの削除を推奨しています。

プラグインの確認と削除

管理画面の「プラグイン」→「インストール済みプラグイン」で、導入済みのプラグインを確認できます。

プラグインは無効化してもファイルが残ります。不要と確認できたものは、バックアップを取得したうえで無効化し、サイトの表示や必要な機能に問題がないことを確認してから削除します。

削除によって、そのプラグインの設定や保存データが失われる場合があります。削除前に開発元の案内を確認してください。

用途が不明なプラグインは、自己判断で削除しないでください。お問い合わせフォームやサイトの表示に使用されている場合があります。制作担当者がいる場合は、必要性を確認します。

テーマの確認

管理画面の「外観」→「テーマ」で、導入済みのテーマを確認できます。

使用していないように見えるテーマでも、現在使用中のテーマの動作に必要な場合があります。必要性を確認せず、まとめて削除しないでください。

新しくプラグインやテーマを導入する際は、WordPress公式の配布ページや、信頼できる開発元から入手してください。有料製品を無断で無料配布しているサイトなど、出所が確認できない配布元は利用しないでください。

5．サイトと管理画面のHTTPS接続を確認する

HTTPSは、パソコンやスマートフォンとサイトの間の通信を暗号化する仕組みです。ログイン情報や、訪問者がフォームに入力する情報を通信中に保護するために重要です。

サイトのトップページとWordPressのログイン画面を開き、アドレス欄のURLが https:// で始まっていることを確認してください。あわせて、ブラウザーに「接続が安全ではありません」「証明書に問題があります」といった警告が表示されていないか確認します。

ブラウザーによってアイコンの表示が異なるため、鍵のマークの有無だけでは判断しないでください。

http:// のままの場合や、証明書の警告が出る場合は、利用しているサービスのSSL設定やWordPressのHTTPS化に関する手順を確認してください。SSLは、HTTPSを利用するための設定として使われる名称です。

WordPressのURLを書き換えるだけでは、HTTPS化の準備は完了しません。サーバー側でSSL証明書が利用できる状態になっている必要があります。設定を変更する際は、バックアップを取得したうえで、サービスのマニュアルに沿って操作してください。

HTTPSは通信を保護するための対策であり、WordPressやプラグインの問題、不正なログインを防ぐものではありません。更新とログイン情報の管理も継続して行ってください。

6．利用する端末を更新し、不審なメールに注意する

WordPressを操作するパソコンが不正なソフトに感染すると、ログイン情報を盗まれるおそれがあります。WordPressだけでなく、パソコンやスマートフォンのOS、ブラウザーも更新してください。

端末に備わっているセキュリティ機能や、導入済みのセキュリティソフトを有効にし、警告が表示された場合は内容を確認します。共有のパソコンでは、管理画面へのログインやパスワードの保存を避けてください。

WordPressの更新やアカウントの停止を案内するメールにも注意が必要です。メール内のリンクからログインする前に、普段使用しているブックマークや公式サイトから管理画面を開き、案内の内容を確認してください。

送信者名だけで正規のメールと判断しないでください。パスワードを知らせるよう求められた場合も、第三者への提供は避けてください。