※本記事はアフィリエイト広告(PR)を含みます。
WordPressのセキュリティ対策は、何から手を付ければよいか迷いますよね。更新で壊れないか、ログインを破られないかも気になるところです。
結論から言うと、最初にやるのは更新・強いパスワード・バックアップの3つです。どれも、IPAの「情報セキュリティ6か条」に含まれる対策です。
この記事では、3つの進め方と、エックスサーバーとConoHa WINGの標準機能をまとめます。
根拠は、WordPress公式・IPA・2社の公式ページです。※2026年10月時点の情報で、体験談や実測は載せていません。
ブログの始め方の全体は、次の記事にまとめています。
WordPress セキュリティ対策は何から始める?3つの基本と不正ログイン対策
結論として、更新・パスワード・バックアップから始め、ログインの入口を固めます。
最初にやる3つ(更新・パスワード・バックアップ)
- 更新: WordPress公式は、常に最新版を使うよう書いています。古い版には、セキュリティ更新が出ません。
- パスワード: 推測されにくいものに変えます(次の節)。
- バックアップ: データベースを含めて、定期的に取ります。
この3つは、WordPress公式の安全対策の解説(英語)に載っています。
不正ログイン対策はパスワードとユーザー名から
WordPress公式は、数字だけ・英字だけのパスワードと、短いパスワードを避けるよう挙げています。
IPAも、パスワードは長く複雑にし、使い回さないよう勧めています。IPAが一歩進んだ対策に挙げるのは、多要素認証の設定です。
ユーザー名も、WordPress公式の注意の対象です。admin や webmaster のような推測されやすい語は避けます。
まずは管理者のユーザー名とパスワードを、この基準で見直しましょう。
更新を止めない|WordPress プラグイン 更新と「自動更新の確認」
結論として、自動更新が有効でも、管理画面でバージョンを確かめます。プラグインは更新し、使わないものは消します。
本体の更新は自動更新があっても管理画面で確かめる
WordPressの自動のバックグラウンド更新は、バージョン3.7で入りました。WordPress公式によると、多くのサイトで初期状態から有効です。軽微なリリースは既定で自動更新され、無効化は強く勧めないとしています。
ただしIPAは2026年7月22日の注意喚起で、環境や設定によっては次の可能性があると挙げました。
- 自動更新が有効になっていない
- 自動更新に失敗している
そのうえでIPAは、管理画面でバージョンを確かめ、未更新なら手動更新を検討するよう書いています。修正版として挙げたのは、WordPress 6.9.5と7.0.2です。脆弱性の1つ(CVE-2026-60137)には、6.8.6も修正版です。
プラグインは更新し、使わないものは削除する
WordPress公式は、プラグインを常に更新し、使っていないものは削除するよう書いています。
入手先も大切です。公式は、信頼できない所からプラグインやテーマを入れないよう注意しています。WordPress.orgの配布場所か、よく知られた会社のものに限るよう勧めています。
バックアップは更新の前に取る|自動14日分と自分の控えの使い分け
結論として、更新の前に自分でバックアップを取り、サーバーの自動バックアップは直近の保険にします。
更新前にバックアップを取り、使えるか確かめる
WordPress公式は、更新の前にサイトをバックアップしておくのがよいとしています。手動更新の手順では、そのバックアップが使えるかの確認を欠かせないとしています。
WordPress公式のバックアップの解説には、次の点があります。
- サイトはデータベースとファイルでできていて、完全に戻すには両方が要る
- 頻度は、小規模サイトなら週1回、更新の多いサイトなら毎日
- 直近のバックアップを少なくとも3〜5個、別の場所・別の媒体に置く
サーバーの自動バックアップ(過去14日分)だけで足りない場面
2社の自動バックアップは、公式の記載では次のとおりです。
| 項目 | エックスサーバー | ConoHa WING |
|---|---|---|
| 提供のされ方 | 全プラン標準 | 全プラン標準搭載・無料 |
| 対象 | Web・メールとMySQL(毎日深夜) | Web・メール・DB(1日1回) |
| 保持する期間 | 過去14日分(一部の旧サーバーは7日間) | 過去14日分 |
保持は過去14日分(エックスサーバーの一部の旧サーバーは7日間)です。それより前の状態には、自動バックアップでは戻せません。そこで、次のように使い分けるのがよいと考えます。
- サーバーの自動バックアップ: 保持期間の範囲で、直近の不具合から戻す保険
- 自分の控え: 更新の直前に取り、別の場所に置く
サーバー標準機能で、WordPress セキュリティ対策を補う(WAF・ログイン制限)
結論として、この記事ではサーバーの機能を、更新を補うものとして扱います。
エックスサーバーは、WAFの設定で不正アクセスを100%取り除けるとは保証していません。根本の対策には、最新バージョンの利用などが要るとしています。
WAFとは何か、公式の限界
エックスサーバーの説明では、WAFはWebアプリの脆弱性を悪用した攻撃からサイトを守る機能です。検知すると、そのアクセスは拒否され、エラーページが出ます。設定の変更から反映まで、最大30分程度かかる場合があります。
ConoHa WINGにもWAFがあります。「サイト管理」→「サイトセキュリティ」→「WAF」と進みます。「利用設定」を「ON」にすると有効です(ConoHa WINGサポート)。
WordPressセキュリティ設定(エックスサーバー・ConoHa WING)
エックスサーバーの「WordPressセキュリティ設定」は、初期状態が次のとおりです。
- 国外アクセス制限: ON(公式は強く推奨)
- ログイン試行回数制限: ON
- ダッシュボードのIPアドレス制限: OFF
ConoHa WINGには、ログイン制限・コメント制限・海外アクセス制限の3つがあります。このうち海外アクセス制限の各項目は、初期状態でONです。
自動バックアップは、エックスサーバーが全プラン標準、ConoHa WINGが全プラン標準搭載・無料です。
サーバー選びから見直したい人は、次の記事が参考になります。
関連記事: レンタルサーバーおすすめ比較3選|WordPress初心者向けの料金と条件
注意点：設定を強くして、自分が管理画面に入れなくなるとき
結論として、エックスサーバーで国内から管理画面に入れないときは、FAQが推奨するホワイトリスト登録から試します。
エックスサーバーの公式では、次の場面が挙がっています。
- 国内のIPアドレスが、誤って国外扱いされることがある
- AWSやAzureなど海外拠点のサーバーから使うときは、国外アクセス制限のOFFが要る
- REST API制限をONにすると、記事の編集・保存ができない場合がある
- 一部の国内IPから、管理画面へのログインが初期状態で制限される
FAQの対処は、次の3つです。
- ホワイトリストに登録する(推奨)
- .htaccessに1行足す
- 3つの項目をOFFにする
3つ目は制限そのものを外す方法なので、推奨の1から試すのがよいと考えます。
ConoHa WINGのWAFでは、誤って止められた通常のアクセスを、検知ログから除外できます。WAFごと止める前に、除外で済むかを見られます。
3つを確かめてから、サーバー機能で補う
更新・パスワード・バックアップが土台で、サーバーの機能はその上の補助と考えます。
- 管理画面でバージョンを見て、古ければ更新する
- 管理者のユーザー名とパスワードを見直す
- 更新前にバックアップを取り、自動バックアップと自分の控えを使い分ける
- サーバーの管理画面で、WAFとセキュリティ設定の状態を見る(変える前に注意点を読む)
