WordPressのセキュリティは放置しても大丈夫？必要な対策とベストプラクティス

最終更新：2024年10月11日

WordPressはセキュリティを気にしないもよい？

もちろん答えはNo!です。そのままにしておくと、大きな問題が起こる可能性があがります。
大切に育てたサイトがめちゃくちゃになるだけならまだしも、そのサイトに訪れた人にも被害がおよびます。
ログインが出来なくなるなどの被害だけでなく、勝手に広告が表示されたりもします。
その広告をクリックしたことで、最悪の場合、スマホやPCがハッキングされる恐れすら出てきます。

あからさまな場合だけでなく、サイトや観覧したスマホやPCで何もなかったように見えることもあるかもしれません。
その場合、感染したスマホやPCで他のサイトを観覧した際に、そのサイトのセキュリティが対策をなされておらず((脆弱性（だじゃくせい）とは、情報セキュリティ・サイバーセキュリティの用語で、コンピュータに存在する情報セキュリティ上の欠陥をいう。セキュリティホールとも呼ばれる。))があると、そのサイトにも感染する可能性があります。

と、このように次から次へとあっという間に広がっていく危険性すら含んでいるわけです。
ですので、場合によっては自分だけの被害にとどまりませんので、Wordpressのセキュリティ対策は最低限でも行っておくことをオススメします。

※この記事は書きかけなので、随時追加中のため、優先順位などは現段階ではバラバラです。
あしからずご了承ください。

フォームにreCAPTCHAを入れる

コンタクトフォームももちろんの事、ログインフォームなども入れるべきだといえるでしょう。
ただその場合、セキュリティに問題が起こる可能性が出てきます。

そこで「reCAPTCHA((フォーム下部に「私はロボットではありません」チェックや、画像選択が出たりする※必ずではない))」を入れることで回避可能です。
その場合「サイトスピードに影響する」可能性があります。
特にサイドバーやコンテンツ下部など、全ページに渡る場合はなおさらです。

そこで「reCAPTCHA」を使用するログインフォームなどは、別途ページを作成し、そのページへリンクをはることで対策しましょう。

これを簡単に行えるプラグインがあります。
「reCaptcha by BestWebSoft」です。
プラグインの設定で「https://www.google.com/recaptcha/admin/create」で作成した２つのキーを入力します。
このプラグインの便利なところは、「reCAPTCHA」を何処で使用するのか？を簡単に設定できるところです。

ログインフォームや登録フォームなど指定可能

それだけでなく「権限」でも指定可能です。

購読者だけにチェックを外しましょう

こうすることで、購読者以外のユーザーには表示されないため、いちいち画像を選ぶなどの煩わしさが無くなります。

画像認証の注意点『エラー：画像認証が間違っています』の原因

画像認証が正常に行われているにも関わらず「エラー：画像認証が間違っています」と表示されることがあります。
特にログインページをデフォルトでないものを使っている場合((MemberPressなどの会員プラグイン))に、起きやすく原因を特定しにくいわけです。

この場合「SiteGuard」プラグインが原因の可能性があります。
「画像認証」をOFFにすることで、表示されなくなりました。
画像認証が競合しないようOFFにしておきましょう。

WordPressのセキュリティはそのまま何もしなくても大丈夫なのでしょうか？

1. はじめに

WordPressは世界中で最も人気のあるCMS（コンテンツ管理システム）ですが、その人気ゆえにハッカーの標的にもなりやすいです。では、WordPressをそのまま放置していてもセキュリティは大丈夫なのでしょうか？この記事では、その疑問に答えるために重要なポイントを解説します。

2. デフォルトのセキュリティ設定

WordPressはインストール時に基本的なセキュリティ機能を備えていますが、それだけでは不十分です。以下にその理由を説明します。

自動アップデート

WordPressは、セキュリティアップデートを自動的に行いますが、テーマやプラグインのアップデートは手動で行う必要があります。これを怠ると、脆弱性が放置されることになります。

デフォルトの設定

デフォルトのユーザー名（admin）やログインURL（wp-login.php）は、ハッカーにとって推測しやすいターゲットとなります。これらを変更しないと、不正アクセスのリスクが高まります。

3. セキュリティ強化のために必要な対策

セキュリティプラグインの導入

WordfenceやSucuriなどのセキュリティプラグインを導入することで、不正アクセスやマルウェアからサイトを守ることができます。これらのプラグインは、ファイアウォール、スキャン機能、ログイン試行の制限などを提供します。
※全てのテーマやプラグインをスキャンできるわけではないので、強化したい場合は、こちらで紹介している「malcare」がオススメです

二要素認証の設定

ログイン時に二要素認証（2FA）を設定することで、パスワードだけでなく追加の認証コードが必要になります。これにより、不正アクセスを防ぐことができます。

定期的なバックアップ

定期的にサイトのバックアップを取ることで、万が一サイトが攻撃された場合でも迅速に復旧できます。UpdraftPlusなどのバックアッププラグインを使用すると便利です。

テーマとプラグインの更新

テーマやプラグインの脆弱性は、ハッカーにとっての侵入口となります。常に最新のバージョンに更新し、不要なプラグインは削除することをお勧めします。

4. 実際の事例

セキュリティ侵害の事例

過去には、古いプラグインの脆弱性を利用してサイトが改ざんされた事例があります。このような事例からも、適切なセキュリティ対策の重要性がわかります。

成功事例

あるサイトでは、Wordfenceを導入し、二要素認証を設定することで、毎月数百件の不正ログイン試行を防ぐことができました。このように、適切な対策を講じることでセキュリティを強化できます。

5. 結論

WordPressのデフォルト設定だけではセキュリティは不十分です。セキュリティプラグインの導入、二要素認証の設定、定期的なバックアップ、テーマとプラグインの更新など、追加の対策を講じることが重要です。これにより、サイトを不正アクセスやマルウェアから守り、安全に運営することができます

あなたはWordpressのセキュリティを無視できますか？