WordPressセキュリティ対策｜まず直す10項目を福岡の制作会社が解説

WordPressのセキュリティ対策、まず何をすればいい？

福岡でホームページを運用している中小企業がWordPressのセキュリティ対策でまず手をつけるべきは、「本体・プラグイン・テーマの更新」「使っていない機能や古いファイルの撤去」「管理画面に入れる入口の制限」の3つです。高度なツールより先に、この基本3点だけで被害の多くは防げます。

当社（株式会社AliveCast・福岡市）が2026年秋に、保守でお預かりしているサイトと自社管理サイトをAIによるセキュリティ診断にかけたところ、1サイトあたり平均で約60件の指摘が出て、そのうち「緊急度が高い（HIGH）」ものが約20件ありました。これは特別に狙われたサイトではなく、ごく普通に制作・運用されてきたサイトの数字です。この記事では、その実データをもとに「何が危ないのか」「まず何から直すのか」を、専門用語をできるだけ避けて解説します。

なぜWordPressは狙われるのか — 1サイト平均約60件の指摘

WordPressは世界のサイトの4割以上で使われている分、攻撃する側にとっても「一度攻略法を見つければ大量のサイトに使い回せる」標的です。狙われる理由のほとんどは、サイトそのものの価値ではなく「設定の甘さ」にあります。

当社の診断で実際に多かったのは、次のような「作った時のまま放置されていた穴」でした。

• 公開しているフォルダに、古いデータベースのバックアップファイル（中身を全部ダウンロードできてしまう）が置きっぱなしになっていた
• 移行作業で使った道具や、他サーバーのパスワードが平文で書かれたファイルが残っていた
• 外部から管理機能に直接たどり着ける入口が開いたままだった

いずれも「攻撃された」のではなく「開いた扉を閉め忘れていた」状態です。実際、当社は診断の過程で、こうした古いバックアップや不要な道具を見つけてサーバーから隔離しました（自社の管理分も含みます）。完璧なサイトは存在せず、放置した時間の分だけ穴は増えます。

持ち帰り: まず「公開領域に、お客様に見せる予定のないファイル（バックアップ・zip・移行用ツール）が残っていないか」を制作会社に確認してもらいましょう。これはコードを触らずに棚卸しできる、最も費用対効果の高い一手です。

実際に多かった指摘トップ5（当社診断より）

2026年秋の診断で繰り返し出てきた指摘を、多かった順に整理しました。数値は複数サイトの傾向で、サイトごとにばらつきます。

悪い例: 「WordPress本体だけは自動更新されているから大丈夫」と考える。実際の侵入経路で最も多いのは本体ではなく、止まったまま放置されたプラグインです。使っていないプラグインを「無効化」しただけで残しているのも危険で、無効でもファイルは残り攻撃対象になります。

良い例: 使っていないプラグイン・テーマは「無効化」ではなく「削除」する。残すものは月1回更新を確認する。この2つを運用ルールにするだけで、トップ1の穴は大きく塞がります。

まず直す10項目チェックリスト

当社が診断後にまず着手する項目を、優先度順に10個に絞りました。上から順でかまいません。

項目5・7の具体例を実物で示します。まず、管理画面からテーマやプラグインのコードを直接編集できる機能は、乗っ取られた時に悪用されやすいため止めておきます。`wp-config.php` に次の1行を足すだけです。

// 管理画面からのファイル編集を無効化（乗っ取り時の被害を抑える）
define( 'DISABLE_FILE_EDIT', true );

次に、使っていない `xmlrpc.php`（外部連携用の古い仕組み。多くのサイトで未使用なのに総当たり攻撃の入口になっている）を、サーバーの `.htaccess` で遮断する例です。

# xmlrpc.php への外部アクセスを遮断
<Files xmlrpc.php>
  Require all denied
</Files>

持ち帰り: この10項目を「できた／できていない」で埋めるだけで、自社サイトの状態が見えます。×印の項目（3・7など）はサーバーの設定を触るため、制作会社や保守の担当に依頼する前提で考えてください。

自分でできる対策と、プロに任せるべき対策の線引き

すべてを自分でやる必要はありません。むしろ、サーバーの設定ファイル（`.htaccess` や `wp-config.php`）は1文字間違えるとサイト全体が表示されなくなるため、慣れていない方が触るのは危険です。線引きの目安は次のとおりです。

• 自分でできる: 2段階認証の設定、使っていないプラグインの削除、パスワードを長く複雑なものに変える、更新の通知を受け取る設定
• プロに任せる: サーバー設定ファイルの編集、公開領域の不要ファイルの撤去、乗っ取り後の復旧、脆弱性の有無の診断そのもの

制作会社にこう聞くと話が早いです。「今うちのサイトで、本体とプラグインは最新ですか？」「公開フォルダに古いバックアップや移行ツールが残っていませんか？」「管理画面への総当たり対策は入っていますか？」。この3問に即答できない相手なら、保守の中身を一度見直したほうがよいサインです。

「保守契約」で何が守られるのか — 福岡での当社の考え方

ホームページの保守は「何かあった時に直してくれる」だけのものではありません。本来の価値は、穴が開く前に塞ぐことにあります。当社が福岡の保守先で実際に行っているのは、月次の更新確認、不要ファイルの棚卸し、定期バックアップの外部保存、そして今回紹介したようなセキュリティ診断です。

正直にお伝えすると、保守をつけていても「絶対に乗っ取られない」保証はできません。新しい弱点は毎日見つかりますし、AIによる診断も静的な検査なので取りこぼしや誤検知があります。それでも、更新と棚卸しを止めないことが、被害の確率と、万一の時の復旧時間を大きく下げます。保守の本質は「完璧」ではなく「放置しない仕組み」です。

持ち帰り: 保守費用を「毎月何をしてもらえているか」で見直してください。更新確認・バックアップ・セキュリティの棚卸しが含まれていないなら、料金の多寡にかかわらず「穴が開く前に塞ぐ」部分が抜けています。

よくある質問

まとめ

WordPressのセキュリティは、高度なツールより先に「更新する・不要な物を撤去する・入口を絞る」という基本で大半が守れます。当社の診断では1サイト平均約60件の指摘が出ましたが、その多くは攻撃ではなく「閉め忘れた扉」でした。まずは本文のチェックリスト10項目を埋めて、自社サイトの状態を見える化するところから始めてください。

自社サイトのセキュリティ状態が不安な方へ。福岡の制作会社として、現状の簡易チェックとご相談を承っています。無料でセキュリティの簡易チェックを相談する。あわせて、制作実績やお客様の声もご覧ください。