WordPress は便利で使いやすい反面、初期設定のまま運用すると外部からの攻撃を受けやすくなります。
ここでは、私自身がサイト運営の中で実際に行っている「初心者でもすぐにできるセキュリティ対策」をまとめました。
１．管理画面（wp-admin）のアドレスを変更する
WordPress の管理画面は、初期状態では「サイトURL/wp-admin」で誰でもアクセスできます。
このままでは不正ログインの対象になりやすいため、ログイン URL を変更することが最初の防御になります。
私は「XO Security」というプラグインを利用して、ログイン URL を任意の文字列に変更しています。
これにより、外部から wp-admin にアクセスされる可能性を大幅に減らすことができました。
※ 設定手順は、画面付きで詳しくまとめた別記事があります。
初めての方でも迷わず進められるように解説しています。
→ 「WordPress 管理画面(ログイン画面)のアドレスを変更する」はこちら
２．ログイン失敗回数を制限して不正アクセスを防ぐ
ログイン URL を変更しても、総当たり攻撃（ブルートフォース攻撃）が完全にゼロになるわけではありません。
そこで、ログイン失敗回数を制限するプラグインを導入することで、一定回数失敗した IP を自動的にブロックできます。
私は「Limit Login Attempts Reloaded」を使用しています。
設定後は、ログイン失敗が続くと自動的に管理画面がロックされ、不正アクセスを防止できます。
※ 詳しい設定方法は、画面付きで詳しくまとめた別記事があります。
初めての方でも迷わず進められるように解説しています。
→ 「管理画面への不正ログイン回数を制限する」はこちら
３．通信を暗号化するためSSL設定を行う
SSL は、サイトと閲覧者の通信を暗号化する仕組みです。
SSL が設定されていないと、パスワードや個人情報が盗み見られる可能性があります。
私が利用している CoreServer では、無料で SSL を有効化できます。
設定後はサイト URL が「https://」になり、ブラウザの警告も表示されなくなります。
※ 詳しい設定方法は、画面付きで詳しくまとめた別記事があります。
初めての方でも迷わず進められるように解説しています。
→ 「サーバーの基本設定(無料 SSL 設定)」はこちら
※ SSL はセキュリティ対策であると同時に、ホームページ公開の準備としても必須の設定です。
４．問い合わせフォームのスパム対策（Turnstile を使用）
問い合わせフォームには、スパムメールが大量に送られてくることがあります。
以前は Google reCAPTCHA を使っていましたが、無料枠の制限が厳しくなったため、現在は Cloudflare Turnstile を使用しています。
Turnstile は無料で使え、ユーザーに負担をかけずにスパムを防げるため、初心者にもおすすめです。
Turnstile は、画像認証やチェックボックスが不要で、ユーザーの操作負担が少ない点もメリットです。
※ 導入方法は、画面付きで詳しくまとめた別記事があります。
初めての方でも迷わず進められるように解説しています。
→ 「スパム対策として問い合わせフォームに Turnstile を使用する」はこちら
５．XML-RPC を無効化して外部からの攻撃を防ぐ
XML-RPC は、外部アプリから WordPress を操作するための機能ですが、利用しない場合はセキュリティリスクになります。
特に、ブルートフォース攻撃の踏み台にされることがあるため、使わない場合は無効化するのが安全です。
私は「Limit Login Attempts Reloaded」というプラグインを使って簡単に無効化しています。
※ 設定方法は、画面付きで詳しくまとめた別記事があります。
初めての方でも迷わず進められるように解説しています。
→ 「XML-RPC 機能を無効化する」はこちら
まとめ
WordPress のセキュリティ対策は、難しい設定をしなくても、プラグイン等を利用することにより簡単に実施できます。
| 対策 | プラグイン(ツール) | 詳細記事 |
|---|---|---|
| ログイン URL の変更 | XO Security | WordPress 管理画面(ログイン画面)のアドレスを変更する |
| ログイン試行回数の制限 | Limit Login Attempts Reloaded | 管理画面への不正ログイン回数を制限する |
| SSL の有効化 | (CoreServerの無料SSL) | 無料 SSL 設定 |
| スパム対策 | (Cloudflare Turnstile) | スパム対策として問い合わせフォームに Turnstile を使用する |
| XML-RPC の無効化 | Disable XML-RPC | XML-RPC 機能を無効化する |
これらの基本的な対策だけで、サイトの安全性を大きく高めることができます。
ここで説明している対策はすべて無料で導入できます。
これらはすべて、私自身が実際に行って効果を感じている方法です。 初心者の方でもすぐに取り入れられる内容なので、ぜひ参考にしてみてください。