WordPressのセキュリティ対策10選｜初心者が最初にやるべき設定をわかりやすく解説

WordPressのセキュリティ対策は、専門知識が必要な高度な設定だけではありません。初心者の場合は、WordPress本体・プラグイン・テーマを更新する、強力なパスワードを使う、二段階認証を設定する、バックアップを用意するといった基本から始めることが重要です。

WordPress公式も、WordPress本体だけでなくプラグインやテーマを最新状態に保つことを重要なセキュリティ対策として案内しています。

一方で、セキュリティプラグインを入れたりログインURLを変更したりするだけで安全になるわけではありません。1つの対策に依存せず、侵入されにくくする対策と、問題が起きたときに復旧できる対策を組み合わせることが大切です。

この記事では、WordPressを始めたばかりの方でも実行しやすいように、優先度の高いセキュリティ対策から順番に解説します。

WordPress初心者が最初にやるべきセキュリティ対策

最初からサーバーの細かな設定まで変更する必要はありません。まずは次の対策ができているか確認してください。

全部を一度に完璧に設定するより、まず「更新・認証・バックアップ」の3つを固め、その後に防御を追加していくと理解しやすくなります。

1. WordPress・プラグイン・テーマを最新状態にする

最初に確認したいのがアップデートです。WordPress公式は、WordPress本体だけでなく、インストールしているプラグインとテーマも最新状態に保つことを推奨しています。

脆弱性（攻撃に悪用される可能性がある弱点）が修正された新しいバージョンが公開されても、古いバージョンを使い続けていれば修正内容を利用できません。

管理画面の「ダッシュボード」→「更新」を開き、主に次の3項目を確認してください。

• WordPress本体
• プラグイン
• テーマ

プラグインとテーマには自動更新機能もあります。ただし、更新によってテーマやプラグイン間の互換性問題が発生する可能性はゼロではありません。

自動更新を利用する場合でも、バックアップと更新後の動作確認をセットで考えると安全に運用しやすくなります。

アップデート前のバックアップについては、WordPressのバックアップ方法と復元前の注意点で詳しく解説しています。

2. 強力で使い回していないパスワードを設定する

管理画面へログインするパスワードは、WordPressセキュリティの基本です。

WordPress公式のPassword Best Practicesでは、長く複雑なパスワードを使用し、名前・誕生日・会社名など推測されやすい情報や、「admin123」のような単純な組み合わせを避けるよう案内されています。また、同じパスワードを複数のサービスで使い回さないことも重要です。

初心者の方は、WordPressが生成する強力なパスワードや、信頼できるパスワードマネージャー（複数のパスワードを安全に管理するためのソフトウェア）の利用を検討するとよいでしょう。

WordPress、レンタルサーバー、メールなどで同じパスワードを使い回すのは避けてください。

1つのサービスから認証情報が漏れた場合、同じ情報を使って別サービスへのログインを試される可能性があるためです。

3. 管理者アカウントには二段階認証を設定する

パスワードを強化したら、二段階認証も検討してください。

二段階認証・2FA（パスワードとは別の認証要素も使って本人確認する仕組み）を利用すると、パスワードだけに依存しないログイン環境を作れます。

WordPress公式のセキュリティ資料でも二段階認証が案内されています。2026年9月29日時点では、WordPress.orgの「Two Factor」プラグインなどを利用してWordPressへ二段階認証を追加できます。

特に優先したいのは、サイト全体の設定やプラグインなどを操作できる管理者アカウントです。

二段階認証を導入する場合は、認証アプリだけでなく、利用する仕組みに応じてバックアップコードなどの復旧手段も安全に保管してください。スマートフォンの紛失・故障などで認証できなくなった場合への備えになります。

4. WordPressのバックアップを自動化する

セキュリティ対策は「侵入されないようにすること」だけではありません。問題が発生した場合に、正常な状態へ戻せることも重要です。

WordPress公式のLearn WordPressでは、サイトのバックアップを用意し、WordPress本体・テーマ・プラグインの更新前などにもバックアップすることが案内されています。

WordPressサイトは、大きく分けてファイルとデータベースで構成されています。そのため、サイト全体の復旧を想定する場合は両方を保存できているか確認してください。

バックアップ方法には、主に次の選択肢があります。

• レンタルサーバーの自動バックアップ
• WordPressのバックアッププラグイン
• ファイルとデータベースを手動で保存

初心者の場合は、まず利用中のレンタルサーバーに自動バックアップ・復元機能があるか確認すると分かりやすいでしょう。

バックアップは「作成されている」だけでなく「必要なときに復元できる」ことが重要です。保存日時・保存対象・保存先・復元方法も確認してください。

具体的な取得方法は初心者向けのWordPressバックアップ手順を参考にしてください。

5. HTTPSになっているか確認する

サイトのURLが「https://」から始まっているか確認してください。

HTTPSは、ブラウザとWebサーバー間の通信を暗号化して保護する仕組みです。WordPress公式も、ログイン情報や訪問者との通信を保護するためHTTPSの利用を強く推奨しています。

現在利用しているレンタルサーバーによって設定方法は異なりますが、SSL/TLS証明書（通信相手の確認と暗号化に利用する電子証明書）の設定機能が提供されている場合があります。

アドレスバーがHTTPSになっていることに加えて、WordPress側のURL設定やページ内の読み込みも正常か確認してください。

HTTPSはWordPressへの攻撃をすべて防ぐ仕組みではありません。通信を保護する対策であり、アップデートや認証対策とは役割が異なります。

6. 使っていないプラグインとテーマを削除する

「停止しているから安全」と考えて、使っていないプラグインを大量に残しておくのはおすすめできません。

WordPress公式のHardening WordPressでは、プラグインを最新状態に保つことに加えて、使用していないプラグインを削除するよう案内しています。

必要のないソフトウェアを減らせば、管理しなければならない対象も減らせます。

プラグインを整理するときは、次の順番で確認すると安全です。

1. 現在使用している機能を確認する
2. 停止中のプラグインを確認する
3. 本当に不要か確認する
4. 不要なものを削除する
5. 残したプラグインの更新状況を確認する

テーマも同様に、実際に利用するテーマを中心に管理してください。

ただし、削除前にはそのプラグインが保存している設定やデータ、他機能との依存関係を確認しましょう。

プラグインの入れすぎなど、初心者が避けたい運用についてはWordPress初心者がやってはいけないこと12選でもまとめています。

7. ユーザーごとに必要な権限だけを与える

複数人でWordPressを運営している場合、全員を「管理者」にする必要はありません。

WordPressには、管理者・編集者・投稿者・寄稿者・購読者などの権限グループがあり、それぞれ操作できる範囲が異なります。

管理者はプラグインやテーマ、ユーザー、各種設定など広範囲を操作できます。記事を執筆するだけのユーザーに管理者権限を与えると、そのアカウントに問題が発生した場合の影響範囲も大きくなります。

「その人の作業に必要な範囲だけ権限を与える」という最小権限の考え方で設定してください。

あわせて、退職者・外注終了者・テスト用など、現在使っていないユーザーアカウントが残っていないか定期的に確認するとよいでしょう。

8. WordPressの「サイトヘルス」を確認する

WordPressにはサイトの状態を確認できる「サイトヘルス」が用意されています。

管理画面から「ツール」→「サイトヘルス」を開くと、WordPress環境に関する改善項目などを確認できます。

WordPress公式では、健全なサイトの条件として、WordPress・プラグイン・テーマが最新であること、適切なPHP環境で動作していること、適切に保守され安全であることなどを挙げています。

初心者の場合、警告を見て分からない設定をすぐ変更するのではなく、内容を確認してから対応してください。

意味が分からないままPHPやサーバー設定を変更すると、セキュリティ対策とは別のサイト障害を起こす可能性があります。

9. 必要に応じてセキュリティプラグインやWAFを利用する

基本対策を行ったうえで、必要に応じて追加のセキュリティ機能を利用できます。

代表的な機能には次のようなものがあります。

• ログイン試行回数の制限
• 二段階認証
• マルウェア（悪意のあるソフトウェア）の検査
• ファイル変更の監視
• 不審なアクセスの遮断
• WAFによる攻撃リクエストの検査

WAF（Web Application Firewall：Webアプリケーションへの不正な通信を検査・遮断する仕組み）は、WordPressプラグインだけでなくレンタルサーバーやCDN（複数拠点からコンテンツを配信する仕組み）側で提供される場合もあります。

ただし、セキュリティプラグインを導入すれば更新やバックアップが不要になるわけではありません。

複数のセキュリティプラグインで似た機能を重複させると、設定が複雑になったり正常なアクセスまで制限したりする可能性があります。目的を確認して必要な機能だけを導入してください。

10. 定期的にサイトの状態を確認する

WordPressのセキュリティ対策は、一度設定して終了ではありません。

新しい脆弱性への修正やプラグインのアップデートなどが継続的に公開されるため、運営中も定期的な確認が必要です。

初心者であれば、次のチェックリストを定期的に確認するだけでも管理しやすくなります。

• WordPress本体に更新がないか
• プラグイン・テーマに更新がないか
• バックアップが正常に作成されているか
• 不要なユーザーが残っていないか
• 不要なプラグイン・テーマがないか
• サイトヘルスに新しい問題が表示されていないか
• 見覚えのない記事・ユーザー・設定変更がないか
• 主要ページが正常に表示されているか

コメント欄を利用しているサイトでは、不審なコメントが増えていないかも確認してください。英語だけの大量投稿など特定のコメントスパムに困っている場合は、WordPressの英語スパムコメント対策も参考にしてください。

初心者が最初から変更しなくてもよい高度な設定

WordPressのセキュリティ情報を調べると、ファイルパーミッション（ファイルを読み書きできる権限）、wp-config.php、.htaccess、データベース設定などの変更方法も見つかります。

これらは環境によって有効な対策ですが、初心者が意味を理解せず変更することはおすすめできません。

たとえばWordPress公式のHardening WordPressには、ファイル権限、wp-config.phpの保護、管理画面からのファイル編集無効化など、より高度なハードニング（システムを攻撃されにくい状態へ強化すること）が掲載されています。

一方、WordPress公式のファイル権限資料でも、経験者が構築した環境では問題がない限り安易に権限を変更しないよう注意されています。

初心者は「高度そうな設定をたくさん変更する」より、「基本対策を確実に継続する」ことを優先してください。

WordPressセキュリティ対策でよくある勘違い

ログインURLを変更すれば安全になるわけではない

ログインURLの変更は、自動化されたアクセスを減らす補助策として使われることがあります。しかし、URLを知られないことだけを主要な防御策にするのは適切ではありません。

強力なパスワード、二段階認証、更新、アクセス制御などを優先してください。

SSL化・HTTPS化だけでハッキングを防げるわけではない

HTTPSが主に保護するのは、利用者とWebサーバー間の通信です。

古いプラグインの脆弱性や弱いパスワードなど、WordPressそのものへの攻撃をHTTPSだけで防ぐことはできません。

セキュリティプラグインを入れるだけでは不十分

セキュリティプラグインは有用な防御機能を追加できますが、WordPress本体やプラグインの更新を放置してよい理由にはなりません。

「更新」「認証」「権限」「バックアップ」「監視」といった複数の対策を組み合わせてください。

初心者向けWordPressセキュリティ対策のおすすめ順序

何から始めればよいか迷った場合は、次の順番で確認すると進めやすくなります。

1. 最新バックアップがあるか確認する
2. WordPress・プラグイン・テーマを更新する
3. 管理者パスワードを強力で固有のものにする
4. 管理者アカウントへ二段階認証を設定する
5. HTTPSになっているか確認する
6. 不要なプラグイン・テーマを削除する
7. 不要なユーザーと過剰な管理者権限を整理する
8. サイトヘルスを確認する
9. 必要に応じてWAFやセキュリティ機能を追加する
10. 更新・バックアップ・異常の有無を定期確認する

特に更新作業の前にはバックアップの状態を確認してください。バックアップをまだ用意していない場合は、先にWordPressのバックアップ方法を確認してから進めると安全です。

WordPressのセキュリティ対策に関するよくある質問

WordPressは何も設定しないと危険ですか？

WordPress自体には継続的なセキュリティ対策や更新の仕組みがありますが、サイト運営者側でもWordPress・テーマ・プラグインの更新、適切なパスワード、バックアップなどを行う必要があります。

「WordPressだから危険」「初期状態なら絶対安全」のどちらかで考えるのではなく、サイト全体を継続的に管理することが重要です。

無料のWordPressでもセキュリティ対策はできますか？

WordPress本体の更新、強力なパスワード、権限管理など、費用をかけずにできる基本対策は複数あります。レンタルサーバーに無料のSSLやWAF、バックアップなどが含まれている場合もあります。

有料サービスが必要かどうかは、サイトの規模、保存する情報、必要な監視・復旧体制などから判断してください。

WordPressのセキュリティプラグインは必須ですか？

すべてのWordPressサイトで特定のセキュリティプラグインが必須とは限りません。レンタルサーバーやCDN側ですでに提供されている防御機能もあります。

まず現在の環境にどの機能があるか確認し、不足している防御を補う目的で選ぶとよいでしょう。

二段階認証は設定したほうがよいですか？

特に管理者アカウントでは有効な対策です。パスワードとは別の認証要素を要求するため、パスワードだけに依存したログインより防御を追加できます。

導入時は、バックアップコードなどログインできなくなった場合の復旧方法も確認してください。

WordPressが改ざんされた疑いがある場合はどうすればよいですか？

見覚えのない管理者、記事、ファイル、リダイレクトなどがある場合は、むやみに変更を重ねず、まず状況を記録してください。

レンタルサーバーのサポートやセキュリティ担当者への相談、バックアップの確認、各アクセス経路の認証情報変更など、被害状況に応じた対応が必要です。正常なバックアップがあっても、侵入原因を残したまま単純に復元すると再発する可能性があるため注意してください。

まとめ｜WordPress初心者は基本対策を確実に続けることが重要

WordPressのセキュリティ対策というと専門的な設定を想像しがちですが、初心者が最初に優先すべきことは比較的明確です。

• WordPress・プラグイン・テーマを最新状態に保つ
• 強力で固有のパスワードを使う
• 管理者アカウントへ二段階認証を追加する
• バックアップと復元方法を用意する
• HTTPSを利用する
• 不要なプラグイン・テーマ・ユーザーを整理する
• ユーザーへ必要以上の権限を与えない
• サイトの状態を継続的に確認する

WordPressのセキュリティは「一度設定すれば終わり」ではなく、更新・バックアップ・確認を継続する運用そのものが重要です。

まずは現在のバックアップを確認し、WordPress本体・プラグイン・テーマが最新かを確認するところから始めてみてください。

あわせて読みたい記事

次に知りたいことや、役立つ情報をまとめました。

【WordPress】Web制作

WordPress初心者がやってはいけないこと12選｜失敗を防ぐ設定・運用の注意点

WordPressは自由度が高い一方、設定変更や更新方法を間違えると、サイトが表示されなくなったり検索流入を失ったりすることがありま…

記事を読む →

【WordPress】Web制作

WordPressの始め方完全ガイド｜初心者がサイト公開・初期設定・運営までにやること

WordPressをこれから始める初心者向けに、サーバー契約・ドメイン取得・WordPress導入・初期設定から、公開後のセキュリテ…

記事を読む →

【WordPress】Web制作

WordPressのバックアップ方法｜初心者でもできる安全な取り方と復元前の注意点

WordPressを安全に運用するには、ファイルとデータベースの両方をバックアップすることが重要です。初心者向けのバックアップ方法か…

記事を読む →

関連記事の一覧を見る →