WordPressの初期セキュリティ設定｜初心者向け7項目

広告・PR：この記事にはアフィリエイト広告が含まれます。リンク先で申し込みがあると、当サイトが報酬を受け取る場合があります。

WordPressを公開した直後は、記事作成やデザインに目が向きがちです。しかし、管理画面へ不正にログインされたり、古いプラグインの弱点を悪用されたりすると、ページの改ざん、迷惑メールの送信、個人情報の漏えいなどにつながる可能性があります。

セキュリティ対策というと難しく感じますが、最初から専門的なサーバー設定を行う必要はありません。まずは、更新、アカウント、ログイン保護、ユーザー権限、不要な機能、HTTPS、バックアップという7項目を順番に確認することが大切です。

この記事では、個人事業主や小規模事業者がWordPressの管理画面で確認できる項目を中心に、具体的な手順と安全な運用方法を解説します。

WordPressの初期セキュリティ設定7項目

確認項目	最初に行うこと	確認頻度の目安
本体・テーマ・プラグイン	更新通知と対応状況を確認する	管理画面を開くたび
管理者アカウント	強いパスワードと利用者を確認する	変更時・数か月ごと
ログイン保護	試行回数制限や2段階認証を検討する	初期設定後も定期確認
ユーザー権限	役割を必要最小限にする	追加・退職・契約終了時
テーマ・プラグイン	不要なものを削除する	月1回程度
HTTPS・サーバー	暗号化通信と管理情報を確認する	初期設定時・変更時
バックアップ	データベースとファイルの両方を保存する	更新頻度に合わせる

重要なのは、一度設定して終わりにしないことです。WordPress公式も、本体・テーマ・プラグインを最新に保つことを重要な対策として案内しています。設定を増やし過ぎるより、基本項目を継続して確認できる運用を作りましょう。

1. WordPress本体・テーマ・プラグインを更新する

WordPress本体、テーマ、プラグインの更新には、機能追加だけでなく不具合やセキュリティ上の問題を修正する内容が含まれます。更新通知を長期間放置すると、すでに知られている弱点がサイトに残る可能性があります。

更新が残っていないか確認する手順

1. WordPressの管理画面へログインします。
2. 左側の「ダッシュボード」から「更新」を開きます。
3. WordPress本体、プラグイン、テーマ、翻訳の更新状況を確認します。
4. 更新内容と対応バージョンを確認します。
5. 更新前に最新のバックアップがあることを確認します。
6. 一つずつ更新し、サイトの表示と管理画面を確認します。

複数の更新をまとめて実行すると、問題が起きたときに原因を判断しにくくなります。特に大きなバージョン変更や、サイト全体の表示に関わるテーマ・プラグインは、一つずつ更新すると切り分けやすくなります。

詳しい更新手順と不具合が起きた場合の戻し方は、WordPress本体・テーマ・プラグインを安全に更新する方法で解説しています。

2. 管理者アカウントとパスワードを見直す

管理者は、テーマやプラグインの追加、ユーザー管理、サイト設定の変更などを行える強い権限です。管理者アカウントを複数人で共有すると、誰が操作したか分からなくなり、退職者や外部委託先との契約終了時にも対応しにくくなります。

管理者アカウントの確認手順

1. 管理画面の「ユーザー」から「ユーザー一覧」を開きます。
2. 権限グループが「管理者」になっている利用者を確認します。
3. 現在も管理者権限が必要な人か確認します。
4. 身に覚えのないアカウントがあれば、すぐに削除せず、作成経緯や操作履歴を確認します。
5. 不要と判断できたアカウントは、投稿の引き継ぎ先を指定して削除します。

各利用者には個別のアカウントを発行し、WordPress専用の長く推測されにくいパスワードを設定します。他サービスと同じパスワードを使い回さず、ブラウザや信頼できるパスワード管理ツールで管理すると、複雑なパスワードを安全に使いやすくなります。

パスワードの生成・保存は、Google パスワード マネージャーなどの無料機能でも始められます。現在使っている管理方法の対応端末・ブラウザを確認し、不足がある場合に専用サービスを比較しましょう。

広告・PR：専用サービスの選択肢「1Password」
1Passwordは、パスワードの生成・保存・自動入力を行い、複数のOSやブラウザで利用できる有料サービスです。ソースネクストでは3年版の1人用と5人用（ファミリー）を扱っています。5人用は従業員向けの法人プランではありません。

3年版は永久に使える買い切りではなく、継続利用には追加費用がかかります。購入前に対応環境・利用人数・既存契約からの移行条件を確認してください。パスワード管理ツールを導入しても、WordPressの更新や2段階認証、バックアップは別途必要です。

1Password 3年版の内容・対応環境を確認する（ソースネクスト）

製品の紹介内容は2026年10月4日時点の公式情報を確認しています。最新の価格・利用条件はリンク先で確認してください。

WordPressから届くパスワード再設定メールを守るため、管理者メールアドレス側のアカウント保護も重要です。Gmailを使っている場合は、Googleアカウントの2段階認証を設定する方法も確認してください。

3. ログイン画面を不正アクセスから守る

WordPressのログイン画面には、ユーザー名とパスワードを自動的に何度も試す攻撃が行われることがあります。強いパスワードに加えて、ログイン試行回数の制限や2段階認証を組み合わせると、アカウントを守りやすくなります。

確認したいログイン保護機能

• 一定回数ログインに失敗した接続元を一時的に制限する
• パスワードに加えて確認コードなどを使う2段階認証
• 不審なログインやファイル変更を管理者へ通知する
• 長期間使っていないログイン状態を終了する

これらは、レンタルサーバーのセキュリティ機能やプラグインで提供されることがあります。最初に現在有効な機能を確認し、不足している対策だけを追加してください。

複数のセキュリティプラグインを同時に導入すると、ログイン制限やファイアウォール機能が重複し、自分までログインできなくなる場合があります。導入前にバックアップを取り、緊急時にプラグインを停止する方法も確認しておきましょう。

4. ユーザー権限を必要最小限にする

記事作成をスタッフや外部ライターへ依頼する場合でも、全員に管理者権限を渡す必要はありません。WordPressには複数の権限グループがあり、担当業務に合わせて操作範囲を制限できます。

権限	主にできること	利用例
管理者	サイト設定、ユーザー、テーマ、プラグインなどの管理	サイト責任者
編集者	自分と他の利用者の記事を公開・編集・管理	編集責任者
投稿者	自分の記事を作成・公開・管理	公開まで担当する執筆者
寄稿者	自分の記事を作成・編集できるが公開はできない	外部ライター、下書き担当者
購読者	自分のプロフィール管理など	会員向け機能の利用者

外部の執筆者には、まず寄稿者など必要最小限の権限を割り当て、公開前に管理者や編集者が確認する流れにすると安全です。契約終了時はアカウントを停止・削除するだけでなく、発行したアプリケーションパスワードや外部サービスとの連携も見直します。

5. 不要なテーマとプラグインを削除する

使っていないテーマやプラグインを停止しただけで残していると、更新を忘れやすくなり、管理する対象も増えます。今後使う予定がないものは、必要な設定やデータを確認してから削除します。

削除前に確認すること

• 現在のページ表示やお問い合わせフォームで使われていないか
• 削除すると設定や保存データも消えるプラグインではないか
• 子テーマが親テーマを必要としていないか
• 削除前のバックアップが取得できているか

テーマは現在有効なテーマ、その親テーマ、必要に応じて復旧確認用の標準テーマを残します。プラグインはWordPress公式ディレクトリや信頼できる開発元から入手し、更新履歴、対応バージョン、サポート状況を確認してください。

追加・停止・削除の具体的な操作は、WordPressプラグインの入れ方と安全な選び方で詳しく解説しています。

6. HTTPSとレンタルサーバーの設定を確認する

HTTPSは、ブラウザとサーバー間の通信を暗号化する仕組みです。ログイン情報やお問い合わせ内容を通信途中で盗み見られる危険を減らすため、公開サイトだけでなく管理画面もHTTPSで利用します。

ブラウザと管理画面で確認する手順

1. サイトのURLが「https://」で始まっていることを確認します。
2. 「http://」のURLを開き、「https://」へ自動的に移動するか確認します。
3. 管理画面の「設定」から「一般」を開きます。
4. 「WordPressアドレス」と「サイトアドレス」が正しいHTTPSのURLになっているか確認します。
5. 主要なページで、ブラウザに安全でない接続の警告が出ていないか確認します。

URL設定を誤ると管理画面へ入れなくなる場合があるため、変更前にレンタルサーバー側でSSLが有効になっていることを確認してください。不明な場合は、契約しているサーバー会社の手順やサポートを利用します。

WordPressだけでなく、レンタルサーバー、ドメイン管理会社、FTP、管理用メールアドレスもサイトを操作できる重要な入口です。それぞれ異なる強いパスワードと、利用できる場合は2段階認証を設定します。

7. バックアップと復元方法を準備する

更新前の不具合、誤操作、不正アクセス、サーバー障害などを完全に防ぐことはできません。問題が起きたときに正常な状態へ戻せるよう、バックアップを準備します。

一般的なWordPressサイトを復元するには、次の2種類が必要です。

対象	主な内容	不足した場合の例
データベース	記事、固定ページ、コメント、多くの設定情報など	投稿や設定を元に戻せない
ファイル	画像、テーマ、プラグイン、設定ファイルなど	画像やデザイン、機能を再現できない

バックアップは、サイトと同じサーバー内だけに置かず、別の保存先にも保管します。また、ファイルが存在するだけでは十分とは限りません。作成日時、対象範囲、復元手順を確認し、必要なときに取り出せる状態にしてください。

バックアップ対象と保存先の決め方は、WordPressのバックアップ方法と復元の基本で確認できます。

セキュリティプラグインを導入するときの注意点

セキュリティプラグインは便利ですが、インストールするだけで安全が保証されるものではありません。現在のレンタルサーバーや他のプラグインが提供している機能を確認し、目的を決めてから導入します。

• 導入前にバックアップを取得する
• 必要な機能と重複している機能を整理する
• 自分の接続元まで遮断された場合の解除方法を確認する
• 通知先メールアドレスが現在使えるか確認する
• 導入後もプラグイン自体を更新する

アクセス制限を強くし過ぎると、WordPressの自動処理、外部サービスとの連携、お問い合わせフォームなどへ影響する場合があります。設定を変更した後は、ログアウト状態のブラウザやスマートフォンから主要機能を確認しましょう。

不審な変更を見つけたときの初動対応

身に覚えのない管理者、知らないプラグイン、意図しないページ、検索結果の不審な表示などを見つけた場合は、通常の更新作業として処理せず、不正アクセスの可能性を考えます。

1. 現在の状態、表示されたメッセージ、発見日時を記録します。
2. レンタルサーバー会社へ連絡し、利用できる調査・復旧手段を確認します。
3. 安全な端末からWordPress、サーバー、ドメイン、管理用メールのパスワードを変更します。
4. 不審なユーザー、ログイン履歴、ファイル変更、プラグインを確認します。
5. 必要に応じて正常と確認できるバックアップから復元します。
6. 復旧後にWordPress本体・テーマ・プラグインを更新し、原因となった経路を閉じます。

不審なファイルを自己判断で一部だけ削除すると、調査に必要な情報を失ったり、侵入経路が残ったりする可能性があります。影響が大きい場合は、サーバー会社やセキュリティに詳しい専門家へ相談してください。

最初の10分で確認するチェックリスト

• 「ダッシュボード」→「更新」に未対応の項目がないか確認した
• 管理者一覧に知らない利用者がいないことを確認した
• 管理者ごとに個別アカウントと強いパスワードを使用している
• ログイン試行制限や2段階認証の利用状況を確認した
• 使っていないテーマとプラグインを確認した
• サイトと管理画面がHTTPSで表示される
• データベースとファイルのバックアップがある
• サーバー、ドメイン、管理用メールも強い認証で保護している

毎月確認したい運用チェック

• 更新通知とサイトの表示を確認する
• 不要なユーザー、テーマ、プラグインを整理する
• セキュリティ通知やアクセス記録に異常がないか確認する
• バックアップが予定どおり作成されているか確認する
• お問い合わせフォームなど主要機能を実際に試す

確認日と結果を簡単な表に残しておくと、担当者が変わったときも運用を続けやすくなります。問題がなかった月も記録し、いつから異常が発生したか判断できるようにします。

WordPressの初期セキュリティ設定に関するよくある質問

セキュリティプラグインを入れれば十分ですか

プラグインだけでは十分ではありません。WordPress本体・テーマ・プラグインの更新、強いパスワード、適切なユーザー権限、HTTPS、バックアップなどを組み合わせて運用します。

使っていないプラグインは停止だけでよいですか

一時的に停止して動作確認する場合を除き、今後使わないものは削除するほうが管理しやすくなります。削除前に、そのプラグインが保存したデータや現在の機能への影響を確認してください。

管理者は何人まで作ってよいですか

人数ではなく、管理者権限が本当に必要かで判断します。記事の作成だけを担当する人には投稿者や寄稿者などを割り当て、サイト設定を変更する担当者だけを管理者にします。

自動更新はすべて有効にしたほうがよいですか

更新の緊急性、サイトへの影響、バックアップ、更新後の確認体制によって判断します。自動更新を利用する場合も、通知を受け取り、表示や機能に問題がないか確認する仕組みが必要です。

バックアップはサーバー会社の機能だけで十分ですか

保存期間、対象データ、復元方法、料金はサービスによって異なります。対象範囲を確認し、重要なサイトでは別の保存先にもバックアップを保管すると安心です。

まとめ：7項目を継続できる仕組みにする

WordPressの安全性を高めるには、特殊な設定を一度だけ行うより、基本的な対策を継続することが重要です。

• WordPress本体・テーマ・プラグインを更新する
• 管理者アカウントとパスワードを適切に管理する
• ログイン試行制限や2段階認証を検討する
• 利用者ごとに必要最小限の権限を割り当てる
• 不要なテーマとプラグインを削除する
• HTTPSとサーバー側のアカウントも確認する
• データベースとファイルをバックアップし、復元方法を確認する

最初の10分で確認できる項目から始め、月1回の点検を予定に入れましょう。対策の有無だけでなく、問題が起きたときに連絡・復元できる状態を作ることが、安全なWordPress運用につながります。

参考にした公式情報

• WordPress公式：Security
• WordPress公式：Hardening WordPress
• WordPress公式：Roles and Capabilities
• WordPress公式：Backups

この記事は2026年9月11日時点のWordPress公式情報をもとに作成しています。管理画面の表示や利用できる機能は、WordPressのバージョン、テーマ、プラグイン、レンタルサーバーによって異なる場合があります。