ホームページのセキュリティ対策｜WordPressで確認する実践チェックリスト

2026年8月12日 Category - ホームページ管理

ホームページのセキュリティ対策は、攻撃を完全に防ぐことではなく、侵入されにくくし、異常を早く見つけ、被害が出ても復旧できる状態を作ることです。WordPressでは、管理者アカウント、古いプラグイン、サーバー設定、バックアップ、委託先の権限など、複数の場所を継続して管理する必要があります。優先順位の高い対策と、事故発生時の初動を実務用の確認表にまとめます。

ホームページで想定する主なリスク

リスク	起きること	優先する対策
アカウント侵害	不正ログイン、記事改ざん、管理者追加	多要素認証、固有パスワード、権限の最小化
脆弱性の悪用	古いCMS・テーマ・プラグインから侵入される	更新、不要機能の削除、脆弱性情報の確認
情報漏えい	顧客情報、設定ファイル、バックアップが外部へ出る	アクセス制御、保存場所、ログ、個人情報の最小化
改ざん・マルウェア	不正な広告、転送、迷惑メール、検索評価への影響	ファイル監視、WAF、検知後の隔離・復旧手順
停止・データ消失	サイトやフォームを利用できない	監視、別環境のバックアップ、復元テスト

最優先で確認するセキュリティ対策

管理者アカウントと多要素認証

管理者を共用せず、担当者ごとにアカウントを発行します。長く使い回さない固有パスワードと多要素認証を設定し、退職・異動・委託終了時に速やかに停止します。日常の更新に管理者権限が不要なら、編集者など必要な権限へ下げます。

WordPress・テーマ・プラグインの更新

更新前に変更内容と互換性を確認し、ファイルとデータベースをバックアップします。更新後はトップページだけでなく、フォーム、ログイン、検索、決済・予約など主要機能を確認します。使っていないプラグインやテーマは無効化だけで放置せず、必要性を確認して削除します。

サーバー・通信・アクセス制御

HTTPSを設定し、サーバー管理画面、SFTP、データベースなどのアクセス権を必要な人に限定します。PHPなどサーバー環境のサポート期限も確認してください。WAFやログイン制限は有効な選択肢ですが、導入しただけで安全が保証されるわけではありません。サイト固有の機能を確認し、誤検知や遮断時の解除手順も決めます。

バックアップと復元テスト

本番サーバーと別の場所へ、WordPressのファイルとデータベースを保存します。不正アクセスに気付くまで時間がかかる場合に備え、複数世代を残します。詳しい設計はホームページのバックアップ方法と復元手順で確認できます。

監視とログ

サイト停止、不審な管理者追加、大量のログイン失敗、意図しないファイル変更、Search Consoleの警告などを確認します。通知先が退職者のメールになっていないか、通知を誰が判断するかも重要です。必要な期間ログを保持し、時刻がずれないようにします。

WordPressセキュリティ確認表

確認項目	確認内容	記録
管理者	本人確認、多要素認証、不要アカウント、最終利用	棚卸日と削除・変更内容
ソフトウェア	WordPress、テーマ、プラグイン、PHPの更新・サポート	バージョンと更新日
通信・権限	HTTPS、SFTP、ファイル権限、管理画面の制限	設定変更と承認者
バックアップ	別環境、複数世代、取得結果、復元テスト	最終成功日とテスト日
監視	停止、ログイン、ファイル変更、容量、警告	通知先と対応結果
委託先	付与権限、作業記録、契約終了時の削除	責任者と有効期限

不正アクセスが疑われるときの初動

段階	行うこと
記録	発見時刻、画面、URL、ログ、直前の変更、連絡者を残す
影響範囲	サイト、管理者、メール、個人情報、他システムへの影響を確認する
封じ込め	状況に応じて公開停止、資格情報変更、侵入経路の遮断を行う
調査・復旧	原因を除去し、侵害前の確認済みバックアップから復元する
報告・再発防止	法令・契約上の報告を確認し、権限・更新・監視を見直す