WordPressセキュリティ強化

まずはおさらい的に、基本のこの３つは確認しておきましょう。

• ログインIDを、admin以外にする。
• パスワードは強固なものにする。
• プラグインやテーマなどは最新の状態にする。

今回のセキュリティ設定の目的

比較的かんたんな作業と設定で、高度なセキュリティを行います。
セキュリティに１００％はありませんが、100サイト以上を運営している私の環境でも、防げています。

乗っとり改ざんの上位への対策

セキュリティを突破される原因の上位５つはこれらが原因です。

• 古いWordPressコア/プラグイン/テーマ （プログラムの侵入）
• 弱い管理者パスワード （管理者としてログインされてしまう）
• ファイルアップロードの悪用 （プラグイン経由）
• XML-RPC / REST APIの悪用 （無限にログインチャレンジ）
• サーバーの脆弱性 （サーバーの問題）

※Sucuri 2024レポート（全攻撃の86%が上位3経路）、Wordfence 2025統計。実際の事例: 2024年に10万件以上のWPサイトがプラグイン脆弱性で乗っ取られています。

対策は大きく３つ

• 古いシステムを使わないこと ← 自動更新で対策
• ログインされないこと ← 今回の設定
• 自動攻撃への対策 ← 今回の設定

具体的なセキュリティ設定の作業

ログインされないことと、自動攻撃への対策はプラグインで行います。
利用するプラグインは、SiteGuard と Wordfence です。

【１】functions.phpへの追加

まずはプラグインで重複する機能があるため、衝突を避ける記述を行います。

ワードプレスのテーマ内の「functions.php」へ、下記を追加して保存してください。

// Wordfence + SiteGuard 併用最適化
add_action(‘init’, function() {
if (class_exists(‘WordfenceLS’)) {
remove_action(‘wp_login_failed’, ‘wf_login_attempt_failed’, 10);
}
});
add_filter(‘wordfence_daily_scan_email’, ‘__return_false’);

↓サンプル

【２】SiteGuardでログイン画面をガード

脅威の１つがワードプレスにログインされてしまうこと。
初期の状態では、ドメイン名/wp-admin/ やドメイン名/wp-login.php などでログイン画面が表示されてしまいます。

プログラムでIDとパスワードを組み合わせで、自動ログインにチャレンジされてしまいます。
そこでログイン画面を隠し、ログインに失敗したらアクセス不能にします。

まずはプラグインの新規追加から、SiteGuardを追加し有効化してください。

SiteGuardの設定

左メニューのSiteGuardをクリックすると、メニューが表示されます。

【ログインページ変更】をクリック

変更後のログインページ名のURLを控える。 ※変更も可能
※今後のログインページになります。

「管理画面からログイン画面にリダイレクトしない。」にチェックして、変更をクリック。

次はSiteGuardメニューに戻り、この３つの設定を無効にします。

• ログインアラート
• XMLRPC防御
• 更新通知

最終的にこうなっていればOK！

変更後のログインページ名のURLを、再度確認してくださいね。

SiteGuard設定後のログインチェック

ワードプレスの右上メニューからログアウト。
ここで、変更後のログインページ名のURL にアクセス。

IDとパスワードの下に画像認証が出ていればOK。

そして、ドメイン名/wp-admin/ と ドメイン名/wp-login.php にアクセス。
トップページや「404 NOT FOUND」が表示されればOK。

この設定で、ページを隠して自動攻撃の対策ができました。

• ログインページの秘密化
• ログイン時に画像認証

siteguardの部分はここまでです。

【３】Wordfenceでファイアウォールとマルウェア対策

次にプラグインの新規追加から、Wordfenceを追加し有効化してください。
※表示は Wordfence Security ? Firewall, Malware Scan, and Login Security

有効化すると、ライセンスの入力が求められます。
初めての場合は「ライセンスを入手」
　

freeの「無料ライセンスを取得」をクリック。
↓
「新たな脅威から ～ 問題ありません」をクリック。
↓
メールアドレス入力、メール希望はどちらでも
↓
登録すると、メールでライセンスが届きます。
↓
メール内の「Install My License Automatically」をクリック。
※または記載のライセンスをWordfenceのメニューからインストール
↓
ダッシュボードが表示されればインストール完了！

ファイアウォールの設定

左メニューの「ファイアウォール」をクリック
↓
画面上部に「サイトをできるだけ安全にするために、Wordfence Web アプリケーションファイアウォールを最適化する時間を取ってください: 」と表示されているので、設定をクリック。
↓
htaccess_Backupのバックアップをとり、設定。
正常であればこのhtaccess_Backupはもう不要。

これでファイアウォールの初期設定はOKです。

スキャン

次は左メニューの「スキャン」をクリック。

「新しいスキャンを開始」からスキャンを開始。
問題があれば修復して完了。

ほか

自動更新設定

プラグインページを開き、念のためすべてのプラグインの「自動更新の有効化」。
同じく、テーマの自動更新も設定しておくとよいでしょう。

バックアップ

必要に応じてバックアップ設定も行っておきましょう。
私の場合は、プラグインの「UpdraftPlus」を利用。

更新頻度に合わせて、Googleドライブへ自動バックアップを設定しています。

おわり。