WordPressのセキュリティ対策で見直したいプラグインと基本設定

セキュリティプラグインを入れたものの、これで本当に守れているのか自信がない……そんな不安はありませんか。

大事なのはプラグイン選びより先に、更新・認証・権限・バックアップという基本を整えることです。基本さえ押さえれば、プラグイン選びの迷いもぐっと減ります。

WordPressのセキュリティはプラグインだけでは完結しない

WordPressのセキュリティが気になったとき、まず「おすすめのセキュリティプラグイン」を検索する人は少なくありません。

WAF(Web Application Firewall)やログイン試行制限、ファイルスキャンなどを追加できるプラグインは、対策を補う心強い選択肢です。

とはいえ、プラグインを1つ入れただけで対策が完了するわけではありません。WordPress公式のハードニングガイドも、セキュリティを「リスクの低減」「被害の封じ込め」「復旧への備え」という複数の観点で説明しています。

個人事業のサイトなら、考える順番はシンプルです。本体・テーマ・プラグインの更新、強いパスワードと二要素認証、管理者権限の整理、そしてバックアップの確保。ここまでを先に整え、ホスティング側の防御機能を確認したうえで、足りない機能だけをセキュリティプラグインで補います。

この順番なら、プラグインを増やすこと自体が目的になりません。「何を守りたいか」「今の環境に何が足りないか」が見えてから選べるので、機能の重複や設定ミスも避けやすくなります。

プラグインを選ぶ前に確認したい5つの基本設定

どのプラグインを選ぶにしても、土台になるのは次の5つです。

WordPress本体・テーマ・プラグインを更新する

WordPress公式は、本体を最新バージョンに保つことを勧めています。テーマやプラグインも同じで、管理画面の更新通知を放置しない運用が欠かせません。

更新前にはバックアップの確認を。とくに長期間更新していなかったサイトや、複数バージョンをまたぐ更新では、互換性を確かめてから進めた方が安全です。自動更新を有効にしている場合も、更新後に表示や主要フォームをチェックする流れを決めておくと安心できます。

使っていないプラグインは、停止したまま残さず削除まで検討したいところです。公式のハードニングガイドでも、利用していないプラグインの削除が案内されています。

強いパスワードと二要素認証を使う

管理画面に入られると、投稿の改変だけでなく、設定やプラグインまで書き換えられるおそれがあります。管理者アカウントには、他のサービスで使い回していない長いパスワードを設定してください。

二要素認証を加えると、パスワードに加えて認証アプリなどでの確認が必要になる仕組みです。WordPress公式のハードニングガイドも、強いパスワードに加える対策として二段階認証を挙げています。

導入時に見落としやすいのが、認証端末を紛失した場合の復旧方法です。バックアップコードが提供されるなら、WordPressと同じサーバーだけに置かず、安全な場所で保管します。

複数人で運営しているなら、どの役割まで二要素認証を必須にするかも決めておきたいところです。

管理者権限を必要な人だけにする

WordPressには、管理者、編集者、投稿者などの役割があります。管理者はプラグインやテーマ、利用者まで管理できる強い権限なので、記事の執筆だけを担当する人に渡す必要はありません。

外部の制作者に一時的な作業を頼む場合も、作業内容に合った権限を選び、終了後にアカウントを残したままにしないよう気をつけます。共有アカウントを使うより、利用者ごとにアカウントを分けた方が、誰が利用しているかの管理も簡単です。

データベースとファイルをバックアップする

セキュリティ対策は、侵入を防ぐことだけではありません。更新の失敗や改変が起きたときに、正常な状態へ戻せることも同じくらい重要です。

WordPress公式のバックアップ資料では、一般的なサイトを完全に復元するにはデータベースとファイルの両方が必要だと説明されています。投稿や設定が入るデータベースだけ、あるいは画像やテーマなどのファイルだけでは足りない場合があるわけです。

バックアップの詳しい選び方は別の記事に譲り、ここでは最低限の確認ポイントに絞ります。

不要なプラグインを削除し、公式配布元を優先する

プラグインは、WordPress.orgの公式ディレクトリか、提供元がはっきりした公式サイトから入手します。配布元のわからない改変版や、出所を確認できないファイルは避けましょう。

選ぶ基準は、機能の多さだけではありません。現在のWordPressバージョンとの互換性、更新状況、サポート情報や変更履歴、無料版と有料版の機能差、そしてすでに使っているWAFやログイン保護、バックアップ機能との重複。この5点を押さえておけば、導入後に慌てる場面も減るはずです。

候補を増やしすぎるより、「なぜ入れているか」を説明できるプラグインだけを管理する方が、更新や不具合の確認を続けやすいと考えています。

セキュリティプラグインで補える主な機能

セキュリティプラグインが扱う機能は、大きく5つに分けられます。

ログイン保護

ログイン試行回数の制限、二要素認証、CAPTCHAなど

WAF

不審なリクエストを一定のルールで遮断する仕組み

スキャン

WordPress本体、テーマ、プラグインのファイルを検査する機能

変更検知

ファイルの変更を記録・通知する機能

通知・ログ

ログインや設定変更などの記録を確認する機能

すべてのサイトに、すべての機能が必要とは限りません。レンタルサーバー側でWAFや不正ログイン対策が提供されている場合がありますし、外部のリバースプロキシ型WAFを使っていれば、プラグイン側のWAFと役割が重なることもあります。

最初に「ホスティング会社」「外部サービス」「WordPressプラグイン」のどこで何を守っているかを書き出してみてください。これだけで、機能の重複がぐっと把握しやすくなります。

代表的な3つのプラグインを機能の方向性で比べる

ここでは順位を付けず、WordPress.org公式プラグインディレクトリの掲載説明をもとに、機能の方向性を整理します。利用する前には、最新の説明、互換性、利用条件を公式ページで再確認してください。

Wordfence Security

Wordfence Securityは、WAF、マルウェアスキャン、ログイン保護をまとめて扱うプラグインです。公式掲載説明では、ログイン試行制限、二要素認証、CAPTCHA、WordPress.org上のファイルとの整合性確認などが案内されています。

無料版と有料版で差が出るのは、更新のタイミングです。2026年7月16日に確認した公式掲載説明では、無料版のファイアウォールルールとマルウェアシグネチャは30日遅れとされています。

リアルタイムの更新が必要かどうかは、サイトの重要度やホスティング側の対策と合わせて判断したいところです。

WAFとスキャンを1つの管理画面で確認したい人には、有力な候補になります。一方で、スキャン設定や通知項目を理解しないまま有効化すると、警告が出たときの扱いに迷いがちです。導入後に何を確認し、誰が対応するかまで決めておきましょう。

Kadence Security

WordPress.orgのプラグインURL「better-wp-security」は、2026年7月16日時点で「Kadence Security」として掲載され、「Formerly iThemes Security」と説明されています。旧名称を前提にした解説を読むときは、現在の名称と画面を先に確かめてください。

公式掲載説明では、BasicとProの両方に、二要素認証、パスワード要件、ローカルおよびネットワークのブルートフォース保護、ファイル変更検知などが含まれるとされています。

ログイン周りの保護と設定の見直しをまとめて進めたい場合の候補です。サーバー設定やwp-config.phpに関わる項目もあるため、変更前のバックアップと、元に戻す方法の確認を先に済ませておきます。

All-In-One Security

All-In-One Security(AIOS)は、ログイン保護、ファイル・データベース関連の確認、ファイアウォールなどを扱うプラグインです。

公式掲載説明では、ログイン試行回数の制御、二要素認証、ファイル変更検知、ファイル権限の確認、.htaccessやPHPを使うファイアウォール機能などが案内されています。

無料版にも二要素認証が含まれる一方、マルウェアスキャンなど一部の機能はPremiumという扱いです。無料版で使う前提なら、必要な機能がどちらに含まれるかを導入の直前に確かめてください。

設定項目が広いので、一度にすべて有効へ切り替えず、基本的な項目から段階的に試す方が管理しやすいはずです。とくにREST API、XML-RPC、.htaccessに関わる設定は、連携サービスやサーバー構成への影響を確認してから変更します。

導入前後に確認したい注意点

プラグインを導入する前後で確認したい注意点をまとめます。

同じ役割のプラグインを重ねない

セキュリティプラグインを複数入れれば、その分だけ安全になる——とは限りません。ログイン試行制限、WAF、二要素認証などが重なると、どの設定がアクセスを止めたのか判断しにくくなるためです。

まずは主に使うプラグインを1つ決め、ホスティング側の機能と役割を整理します。追加が必要なら「二要素認証だけ」のように、不足している機能をはっきりさせてから選びましょう。

自分を締め出した場合の復旧方法を確認する

ログインURLの変更、IP制限、二要素認証、試行回数の制限。こうした設定は、誤ると管理者自身がログインできなくなる可能性があります。

導入前に確認しておきたいのは、ホスティングのファイルマネージャーやSFTPを使えるか、そしてプラグインを停止する手段があるかどうかです。

WordPress公式は、サーバー接続にSFTPが提供されている場合はSFTPを使うよう案内しています。具体的な復旧手順はホスティング会社によって異なるので、契約先の公式マニュアルもあわせて見ておくと安心です。

通知を受け取るだけで終わらせない

アラートが多すぎると、かえって重要な通知を見落としてしまうんですよね。管理者のログイン、プラグインの停止、重大な脆弱性の通知など、確認する項目と頻度を決めておきます。

通知先のメールアドレスが今も使えるか、誰が確認するか、異常時にどのバックアップへ戻すか。ここまで決めておくと、プラグインが「入っているだけ」の状態になりません。

設定変更後にサイトの主要機能を確認する

WAFやREST API、XML-RPCに関わる設定は、問い合わせフォーム、外部アプリ連携、予約、決済などに影響することがあります。設定を1つ変えたら、ログインや問い合わせ送信など、そのサイトで重要な動作をひととおり試してください。

本番サイトへの影響が大きい場合は、ステージング環境で試せるかどうかをホスティング会社に確認します。あわせて残しておきたいのが、どの設定をいつ変えたかの記録。切り戻しのときに役立ちます。

セキュリティプラグインが向いている人・別の方法も検討したい人

セキュリティプラグインが向いているのは、WordPressを自分で管理し、通知や更新を定期的に確認できる人です。ログイン保護や変更検知などの機能を管理画面でまとめたい場合にも、選択肢になります。

逆に、更新を続けて管理できない、通知が来ても判断する担当者がいない、決済や多くの個人情報を扱っていて専門的な監視が必要といった状況もあります。

そんな場合は、プラグインを増やす前に別の方法を検討した方が現実的です。マネージドWordPress、ホスティング会社のセキュリティ機能、外部WAF、保守サービスなどが候補になります。

制作会社や保守会社がすでにセキュリティ構成を管理しているケースも同じです。独断でプラグインを追加せず、現在の対策と競合しないか先に相談してください。

迷ったときの導入手順

最初から多くの機能を有効にせず、次の流れで進めるのがおすすめです。

この流れなら、プラグイン名から選ぶのではなく、いまの不足から選べます。

まとめ

WordPressのセキュリティ対策は、プラグインを入れることより、更新・認証・権限・バックアップを続けられる状態にすることから始まります。

セキュリティプラグインは、その土台にログイン保護やWAF、スキャン、変更検知を足すための道具です。

Wordfence、Kadence Security、AIOSは扱う範囲が重なる一方で、重点や無料版の範囲が異なります。多機能さだけで決めず、ホスティング側の機能、復旧手順、通知を確認できる体制まで含めて選んでください。

最初の一歩は、新しいプラグインを探すことではありません。管理画面の更新状況、利用者一覧、バックアップ、そしてサーバー側の防御機能の確認。

そこで足りない役割が見えた段階で、候補を1つずつ試していくのが現実的だといえるでしょう。