WordPressのセキュリティ対策｜初心者が最低限やること7選【2026年】

※本記事には広告・アフィリエイトリンクが含まれる場合があります。

WordPressのセキュリティ対策は、難しいプラグインを増やすことより「更新・認証・バックアップ・権限・監視」を止めない運用が重要です。初心者でも今日できる対策から順に整理します。

優先度で分けると迷わない

優先	やること
今すぐ	更新・MFA・管理者整理
今日中	バックアップ取得と復元場所確認
今週	不要プラグイン/テーマ削除・権限確認
毎月	更新状況・異常ログイン・バックアップ復元可否を確認

1. 本体・テーマ・プラグインを更新する

WordPress公式も最新版への更新を推奨しています。更新を怖がって放置するのではなく、更新前バックアップ→更新→表示確認の順にします。大きな更新ではステージング環境があると安全です。

バックアップ手順はWordPressのバックアップ方法で整理しています。

2. 管理者アカウントを一番強くする

• 使い回しではない長いパスワード
• 可能なら二要素認証
• 管理者を必要以上に増やさない
• 共用PCでログイン状態を放置しない
• 退職者・使っていないユーザーを削除/権限変更

3. バックアップは「取る」だけでなく戻せる状態にする

セキュリティ対策は侵入を100%防ぐ話ではありません。改ざん・誤更新・障害が起きた時に、正常な時点へ戻せることも防御の一部です。ファイルとDBの両方が対象か、何世代残るか、復元手順を確認します。

4. 不要なテーマ・プラグインを減らす

使っていないものも管理対象です。出所不明の配布物や長期間更新されていないものは避け、必要な機能だけにします。何を入れるかはWordPressおすすめプラグインで役割別に整理しています。

5. 権限は「作業に必要な分だけ」

記事を書く人全員へ管理者権限を渡す必要はありません。編集者・投稿者など役割を分け、管理者権限はサイト設定やプラグイン変更が必要な人だけに限定します。

6. HTTPSと安全な接続を使う

サイトと管理画面はHTTPSで運用します。FTPを使う場合も、契約サーバーが案内するSFTP/FTPSなど安全な方式を確認します。無料SSLを入れただけで終わらず、http→httpsの転送や混在コンテンツも確認します。

7. 「入れて終わり」にせず監視する

セキュリティプラグインを入れても警告を見なければ意味が薄くなります。WordPress更新通知、サーバー会社のお知らせ、異常ログイン、サイトヘルスなどを定期確認します。

もし不正アクセスを疑ったら

1. 管理者パスワードを安全な端末から変更
2. 不審ユーザー・不審な管理者を確認
3. 直近の正常バックアップを確保
4. サーバー・セキュリティログを確認
5. 改ざん範囲を特定し、必要ならバックアップから復旧
6. APIキー・メール・FTP等の関連認証情報も変更

原因が分からないまま記事だけ戻すと再発する可能性があります。復旧と同時に侵入経路を確認してください。

初心者がやりがちなNG対策

• セキュリティプラグインを何個も重ねる
• 更新が怖くて何年も放置する
• バックアップはあるが復元方法を知らない
• 全員を管理者にする
• 同じパスワードを複数サービスで使う
• 出所不明テーマ・プラグインを使う

月1回のチェックリスト

• 未更新のWordPress/テーマ/プラグインがない
• 管理者ユーザーが増えていない
• バックアップが最新まで取れている
• 問い合わせフォームや主要ページが正常
• 不審なリダイレクトや改ざんがない
• サーバー/WordPressから重大通知が来ていない

セキュリティプラグインは「基本の後」に選ぶ

WordfenceなどのWAF・スキャン・ログイン保護は有力な補助になりますが、管理者パスワードの使い回しや未更新プラグインを残したままでは土台が弱いままです。プラグイン導入前に、更新・MFA・バックアップ・不要ユーザー整理を終わらせます。

バックアップは同じサーバーだけに置かない

侵害やサーバー障害の範囲によっては、同じアカウント内のバックアップも影響を受ける可能性があります。重要サイトではサーバー標準バックアップに加えて、必要に応じて別ストレージやローカルへ退避する設計も検討します。

権限・APIキー・メールも同じアカウント資産

WordPressだけ守っても、FTP、サーバー管理画面、ドメイン管理、メール、APIキーが奪われれば改ざんや乗っ取りにつながります。特にパスワードリセットを受け取るメールアカウントは、WordPress管理者と同じかそれ以上に強い認証を設定します。

異常のサインを知っておく

• 知らない管理者ユーザーが増えた
• 記事やタイトルが勝手に変わった
• 検索結果に見覚えのないページが出る
• 別サイトへリダイレクトされる
• サーバーから大量メール送信の警告が来る
• 管理画面へ急にログインできなくなった

このような兆候がある場合は「プラグインを1本追加して様子見」ではなく、認証情報変更、ログ確認、バックアップ確保、改ざん範囲確認を優先します。

更新前後の安全チェック

更新前	更新後
バックアップ取得	トップ/主要記事を表示
互換性・更新内容確認	管理画面ログイン確認
重要サイトはステージング確認	フォーム/決済等の動作確認
復元手順を把握	エラー・ログを確認

公式情報を定期的に見る

WordPress本体・テーマ・プラグインは継続更新されます。管理画面の更新通知だけでなく、利用中サービスの公式アナウンスも確認し、「重大な更新を何週間も放置する」状態を作らない運用にします。

2026年の実例｜更新を後回しにしない理由

確認した主な公式情報

• WordPress公式：Updating WordPress
• WordPress公式：Hardening WordPress
• IPA：WordPressの脆弱性対策（2026年7月22日）

まとめ

初心者が最初にやるべきなのは、更新・強い認証・バックアップ・不要物削除・権限・HTTPS・監視です。高度な対策を追加する前に、基本が毎月続く仕組みを作る方が重要です。

関連記事：SPF・DKIM・DMARCとは？WordPressと独自ドメインメールで迷わない違いと設定順

関連記事：WordPressにCloudflareを設定する方法｜DNS・SSL・CDNを安全に切り替える手順