WordPressで会社のホームページを運用していると、「セキュリティ対策は専門業者に任せるもの」と感じることがあるかもしれません。
しかし、WordPressのセキュリティは、難しい設定だけで守るものではありません。ログイン方法を見直す、プラグインを整理する、利用者ごとに権限を分けるといった日常的な管理が基本になります。
特に中小企業のWebサイトでは、複数の担当者や制作会社が管理画面を利用していることがあります。担当者の異動後もアカウントが残っていたり、長期間使っていないプラグインが放置されていたりすると、管理状況を把握しにくくなります。
この記事では、中小企業のWeb担当者や事業者が確認しておきたいWordPressのセキュリティ対策を、不正ログイン対策、プラグイン管理、権限設定、基本的な運用原則の4つに分けて解説します。
WordPressのセキュリティは日常の運用で決まる
WordPressのセキュリティ対策というと、セキュリティ用プラグインの導入やサーバー設定を思い浮かべる人が多いかもしれません。
もちろん、こうした技術的な対策も重要です。しかし、セキュリティ用プラグインを入れただけで、サイトの安全がすべて保証されるわけではありません。
管理者のパスワードが使い回されていたり、更新されていないプラグインが残っていたり、必要以上の人数に管理者権限が与えられていたりすれば、管理上のリスクは残ります。
WordPress公式のセキュリティ資料でも、ソフトウェアを最新の状態に保つことに加え、パスワード、通信、バックアップ、利用者の管理などを組み合わせて対策することが示されています。
大切なのは、特別な対策を一度だけ行うことではなく、定期的に状態を確認できる運用体制を作ることです。
1．不正ログインへの対策を行う
WordPressの管理画面に不正ログインされると、記事の書き換えや不審なユーザーの追加、設定変更などにつながる可能性があります。
まずは、ログインに使用するアカウントの管理方法を見直しましょう。
強くて使い回していないパスワードを設定する
WordPress公式では、推測しにくい長いパスワードを使用し、ほかのサービスと同じパスワードを使い回さないことが推奨されています。パスワード管理ツールを利用すれば、複雑なパスワードを自分で記憶する負担も減らせます。
会社名、電話番号、担当者の名前、生年月日など、関係者が推測しやすい情報をパスワードに使うのは避けましょう。
また、複数人で一つの管理者アカウントを共有すると、誰がいつ操作したのか分かりにくくなります。担当者ごとに個別のアカウントを作成し、退職や担当変更があったときに、その人のアカウントだけを停止できる状態にしておくことが重要です。
管理者には二段階認証を検討する
二段階認証は、パスワードに加えて、スマートフォンなどを使ってなどを使って本人確認を行う仕組みです。
WordPress本体には、通常の管理画面ログインに使用する二段階認証機能が標準搭載されていないため、対応プラグインや外部の認証サービスなどを利用して設定します。特に、サイト全体の設定を変更できる管理者アカウントでは、導入を検討したarch7
二段階認証を導入する場合は、スマートフォンを紛失したときに備え、復旧方法や予備の認証手段も確認しておきましょう。
使われていないアカウントを削除する
制作会社、広告運用会社、退職した社員などのアカウントが残っていないかも確認します。
現在使っていないアカウントを残しておくと、管理対象が増え、パスワード変更や利用状況の確認が行き届きにくくなります。
削除してよいか判断できない場合は、すぐに削除するのではなく、いったん権限を下げたり、関係者に利用状況を確認したりしてから整理すると安全です。
2．プラグインとテーマを適切に管理する
WordPressは、プラグインを追加することで機能を拡張できます。一方で、導入するプラグインが増えるほど、更新状況や利用目的を管理する必要も増えます。
更新通知を放置しない
WordPress本体、プラグイン、テーマには、機能改善や不具合修正だけでなく、セキュリティ上の修正が含まれることがあります。
WordPressの管理画面では、本体、プラグイン、テーマなどの更新を確認できます。また、プラグインやテーマごとに自動更新を有効にすることrch18
ただし、業務で使用しているサイトでは、すべてを無条件に自動更新すればよいとは限りません。更新によって、テーマやほかのプラグインとの組み合わせに問題が起きることも考えられます。
重要なサイトでは、更新前にバックアップを取得し、可能であればテスト環境で表示や問い合わせフォームの動作を確認してから本番環境を更新する方法が適しています。
自動更新を使用する場合も、更新後の表示確認までを運用に含めることが大切です。
使用していないプラグインは削除する
停止中のプラグインであっても、サーバー上にファイルが残っていれば管理対象になります。
今後使用する予定がなく、必要性も確認できないプラグインは、停止したまま放置するのではなく、バックアップを確認したうえで削除を検討しましょう。
テーマについても同様です。WordPressのサイトヘルスでは、使用中のテーマやプラグインだけでなく、停止中のテーマなども確認できます。WordPress公式では、使用予定のない停止中テーマの削除が案内さarch0
ただし、現在使用しているテーマの親テーマや、障害発生時の確認に使用する標準テーマなど、必要なものまで削除しないよう注意が必要です。
入手元と管理状況を確認する
プラグインやテーマは、入手元が確認できるものを使用しましょう。
WordPress本体については、WordPress公式サイト以外から入手しないよう公式資料でも案内されています。プラグインについても、公式ディレクトリ、開発元の公式サイト、契約している制作会社など、入手経路が明確なものを使用することrch40
有料プラグインや有料テーマでは、ライセンスの有効期限が切れると更新を受け取れなくなる場合があります。契約者、更新時期、購入元が分からなくならないよう、管理情報を社内で整理しておきましょう。
3．利用者ごとに適切な権限を設定する
WordPressには、管理者、編集者、投稿者、寄稿者、購読者などの権限グループが用意されています。
それぞれが操作できる範囲は異なり、管理者はプラグインやテーマ、ユーザーなど、サイト全体に関わる設定を変更できます。WordPressでは、役割と権限を使って、利用者が実行できる操作を管理arch8
全員を管理者にしない
記事を更新するだけの担当者に、プラグインの追加やユーザー管理まで行える管理者権限を与える必要はありません。
例えば、記事の投稿や編集を担当する人には編集者や投稿者、原稿を入力して確認を受ける人には寄稿者など、業務内容に応じた権限を設定します。
権限を限定する目的は、担当者を疑うことではありません。誤操作やアカウントの不正利用が発生した場合に、影響する範囲を小さくするためです。
制作会社のアカウントも分けて管理する
制作会社や保守会社に管理者権限を渡す場合も、自社担当者のアカウントを共有するのではなく、会社ごと、または担当者ごとに専用アカウントを作成しましょう。
契約が終了したときは、そのアカウントを削除または停止できます。
誰が管理者権限を持っているのか、なぜ必要なのかを一覧にし、定期的に見直せる状態を作ることが重要です。
4．セキュリティの基本原則を運用ルールにする
WordPressのセキュリティ対策は、不正ログイン対策やプラグイン更新だけでは完結しません。
万が一問題が起きた場合に復旧できるよう、バックアップや連絡体制も含めて準備しておく必要があります。
WordPress本体・テーマ・プラグインを更新する
古いバージョンを使い続けると、すでに修正されている問題がサイトに残る可能性があります。
WordPress本体だけを更新するのではなく、使用しているテーマやプラグインも含めて管理します。更新通知が大量に残っている場合は、一度に作業せず、バックアップを取得してから、重要度や影響範囲を確認しながら進めましょう。
更新作業を制作会社に依頼している場合は、契約内容に「WordPress本体の更新」「プラグインの更新」「更新後の動作確認」が含まれているかも確認しておくと安心です。
HTTPSで通信する
管理画面を含め、WebサイトはHTTPSで表示される状態にします。
HTTPSは、ブラウザとWebサーバー間の通信を暗号化する仕組みです。WordPress公式資料でも、管理画面への通信をHTTPS化することで、認証情報やログイン状態に関する情報を盗み取られる危険を抑える対策が示されています。
現在HTTPSになっていても、証明書の更新エラーなどによって警告が表示されることがあります。定期的に実際のサイトを開き、ブラウザに警告が出ていないか確認しましょう。
ファイルとデータベースの両方をバックアップする
WordPressサイトは、画像、テーマ、プラグインなどのファイルと、記事、固定ページ、設定などが保存されるデータベースで構成されています。
ファイルだけ、またはデータベースだけを保存しても、サイト全体を元の状態に戻せない場合があります。WordPress公式資料でも、ファイルとデータベースは別の場所に保存されているため、両方のバックアップが必要であることが説明されています。
バックアップは、取得しているだけでは十分ではありません。次の内容も確認しておきましょう。
- どの範囲が保存されているか
- どのくらいの期間保存されているか
- サーバーとは別の場所にも保存されているか
- 誰が復元作業を行うのか
- 実際に復元できる状態か
レンタルサーバーの自動バックアップを利用している場合も、保存期間や復元方法はサービスによって異なります。問題が起きてから調べるのではなく、事前に確認しておくことが重要です。
サイトヘルスを定期的に確認する
WordPress管理画面の「ツール」から「サイトヘルス」を開くと、サイトの構成や改善が必要な項目を確認できます。
サイトヘルスだけでセキュリティ上の問題をすべて発見できるわけではありませんが、WordPressのバージョン、プラグインやテーマの状態、自動更新の設定などを把握する入口として利用出来ます。
管理画面に警告が表示されている場合は、内容が分からないからと放置せず、制作会社やサーバー会社に確認しましょう。
中小企業サイトで決めておきたい点検の頻度
セキュリティ対策を継続するには、「気づいた人が対応する」という運用から、「いつ、誰が確認するかを決める」運用へ変える必要があります。
例えば、次のような確認方法が考えられます。
| 確認時期 | 主な確認内容 |
|---|---|
| 週1回程度 | 更新通知、管理画面の警告、問い合わせフォームの動作 |
| 月1回程度 | ユーザー一覧、停止中プラグイン、バックアップ状況、サイトヘルス |
| 担当変更時 | 不要アカウントの削除、権限変更、パスワードや連絡先の確認 |
| 更新作業前 | ファイルとデータベースのバックアップ |
| 更新作業後 | ページ表示、フォーム送信、主要機能の動作確認 |
これは一例であり、サイトの更新頻度や重要度によって適切な点検間隔は変わります。
オンラインショップや予約サイトなど、サイト停止が売上や業務に直結する場合は、通常の会社案内サイトよりも細かい監視や復旧体制が必要です。
よくあるセキュリティ管理の問題
WordPressサイトでは、次のような状態が見過ごされやすくなります。
セキュリティプラグインを入れたまま確認していない
セキュリティ用プラグインを導入していても、通知先のメールアドレスが古かったり、検知した内容を誰も確認していなかったりすれば、十分に活用できません。
導入しているプラグインの名称、目的、通知先、契約状況を確認しましょう。
更新すると壊れそうなので放置している
更新による不具合が心配だからといって、長期間更新を止めることも適切ではありません。
バックアップやテスト環境を用意し、安全に更新できる仕組みを作ることが必要です。自社で判断できない場合は、制作会社に更新の可否だけでなく、問題が起きた場合の復旧方法まで確認しましょう。
管理者アカウントを全員で共有している
一つのアカウントを複数人で利用すると、担当者が変わるたびにパスワードを変更する必要があり、操作履歴も把握しにくくなります。
担当者ごとにアカウントを分け、必要な権限だけを与える運用へ変更しましょう。
バックアップがサーバー内にしかない
サイトとバックアップが同じサーバー内だけに保存されていると、サーバー側の問題が発生した際に両方へ影響する可能性があります。
WordPress公式資料でも、複数の新しいバックアップを保持し、異なる場所へ保存する方法が案内されています。
サーバーの自動バックアップに加えて、必要に応じて別の保存先を用意することも検討しましょう。
まとめ｜セキュリティ対策を担当者任せにしない
WordPressのセキュリティ対策では、特別な機能を追加する前に、基本的な管理状態を整えることが重要です。
強くて固有のパスワードを使用し、管理者には二段階認証を検討する。使っていないアカウント、プラグイン、テーマを整理し、利用者には業務に必要な権限だけを与える。そして、更新前のバックアップと更新後の動作確認を習慣にする。
こうした基本を継続することで、問題が起きる可能性を抑えるだけでなく、万が一の際にも状況を確認しやすくなります。
まずは現在のサイトについて、誰が管理者権限を持っているのか、更新が止まっているものはないか、バックアップから復元できるのかを確認してみましょう。
サイトの状態を一つずつ確認できる「セキュリティ点検シート」を用意しています。WordPressの管理状況を社内や制作会社と共有する際にご活用ください。
