WordPressのセキュリティ対策まず確認したいこと
WordPressは、世界中の多くのホームページで使われている仕組みです。
使っている人が多いぶん、弱点を狙われやすい面もあります。
この記事では、特別な知識がなくても確認できる、日頃のセキュリティ対策を紹介します。
1.まずは5つを習慣にする
WordPressのセキュリティ対策は、特別なことよりも、基本を続けることが大切です。まずは次の5つを習慣にしましょう。
- 01本体・プラグイン・テーマを新しく保つ
更新には、弱点の修正が含まれていることがあります。
- 02使っていないプラグインとテーマを削除する
停止しただけでは、ファイルはサーバーに残ります。
- 03ログインを守る
長いパスワードと2段階認証で、管理画面に入られないようにします。
- 04バックアップを取る
万が一のときに、元に戻せるようにしておきます。
- 05いつもと違うところに気づく
被害のサインに早く気づければ、被害を小さくできます。
2.WordPressが狙われやすい理由
WordPressは利用者が多く、仕組みも公開されています。そのため、ひとつの弱点が見つかると、同じ弱点を持つ多くのホームページが一度に狙われることがあります。
こうした攻撃は、人が1件ずつ狙うのではなく、プログラムで自動的に多くのホームページを試すものが多くあります。「うちは小さなホームページだから狙われない」とは限りません。
一方で、被害のきっかけになりやすいのは、更新されていないプラグインやテーマ、推測されやすいパスワードなど、日頃の管理で防げるものです。
特別な対策の前に、更新・削除・ログイン・バックアップの基本を続けることが、いちばん効果のある対策です。
3.対策ごとにやること
1. 本体・プラグイン・テーマを新しく保つ
管理画面の「ダッシュボード」→「更新」で、新しいバージョンが出ていないか確認しましょう。小さな修正のための更新は、初期の設定では自動でおこなわれます。一方、大きな更新は手動でおこなう設定になっていることもあるため、ときどき管理画面を開いて確認することが大切です。
※更新の前には、バックアップを取っておきましょう。
2. 使っていないプラグインとテーマを削除する
プラグイン（追加の機能）やテーマ（デザインの仕組み）の弱点は、WordPressのホームページが被害にあう原因になることがあります。次の点を確認しましょう。
- 使っていないプラグインやテーマは、停止するだけでなく削除する
- 長い間更新されていないプラグインは、代わりになるものを検討する
- 入手するときは、WordPressの公式ディレクトリや、信頼できる配布元から入手する
※有料のテーマやプラグインを「無料で配布」とうたうものには、不正なプログラムが含まれていることがあります。
3. ログインを守る
管理画面に入られてしまうと、ホームページを書き換えられるおそれがあります。ログインまわりは、次の点を確認しましょう。
- 推測されにくい長いパスワードにし、ほかのサービスと使い回さない
- 2段階認証（パスワードに加えて、スマートフォンなどで確認する仕組み）を使う
- 管理者の権限を持つ人を、必要な人だけにする
- 辞めた人や、以前お願いしていた制作会社のアカウントを残さない
- 「admin」など、推測しやすいユーザー名を使わない
4. バックアップを取る
どれだけ気をつけていても、被害を完全に防げるとは限りません。万が一のときに元に戻せるよう、バックアップを取っておきましょう。
- ファイルとデータベースの両方を保存する
- サーバーとは別の場所にも保存しておく
- ときどき、バックアップから元に戻せるかを確かめる
レンタルサーバーに自動バックアップの機能がある場合は、何日分を保存しているか、どうやって戻すのかも確認しておくと安心です。
5. いつもと違うところに気づく
次のような変化に気づいたら、被害にあっている可能性があります。
- ユーザーの一覧に、知らないアカウントが増えている
- 見覚えのないページや、外部へのリンクが追加されている
- 検索結果に、ホームページと関係のない言葉が表示される
- 管理画面にログインできなくなった
- サーバー会社から警告のメールが届いた
気づいたときは、慌てて削除せず、まず画面を保存して状況を記録しましょう。そのうえで、パスワードを変更し、サーバー会社や専門家に相談してください。
あわせて、PHPのバージョンも確認する
WordPressは、サーバー上のPHPで動いています。管理画面の「ツール」→「サイトヘルス」では、PHPのバージョンや、改善をすすめる項目を確認できます。PHPについては、PHPの脆弱性とは？でも解説しています。
4.確認の目安
どのくらいの頻度で確認すればよいかの目安です。ホームページの規模や使い方に合わせて調整してください。
| 頻度 | 確認すること |
|---|---|
| 月に1回 | 本体・プラグイン・テーマの更新、バックアップが取れているか |
| 3か月に1回 | ユーザーの一覧、使っていないプラグインやテーマ |
| 1年に1回 | PHPのバージョン、サーバーやドメインの契約内容 |
5.よくある質問
セキュリティのプラグインを入れれば安心ですか？
ログインの制限などに役立ちますが、入れるだけで安心とはいえません。更新やバックアップといった基本の対策とあわせて使いましょう。プラグインそのものも、更新が続いているものを選ぶことが大切です。
プラグインの自動更新は、オンにしたほうがよいですか？
弱点の修正が早く反映される一方で、更新をきっかけに表示が崩れることもあります。バックアップが自動で取れていて、更新のあとに表示を確認できる体制があれば、オンにすることを検討しましょう。
更新したら、表示が崩れてしまいました。
まずは、どの更新のあとに崩れたかを確かめます。バックアップがあれば、更新の前の状態に戻すこともできます。原因が分からない場合は、無理に操作を続けず、制作会社や管理担当者に相談してください。
無料のテーマやプラグインは危ないのですか？
無料だから危ないわけではありません。WordPressの公式ディレクトリなど信頼できる配布元から入手し、更新が続いているかを確かめることが大切です。
被害にあったかもしれないとき、最初に何をすればよいですか？
慌てて削除せず、画面を保存して状況を記録しましょう。そのうえで、管理画面やサーバーのパスワードを変更し、サーバー会社や専門家に相談してください。
6.まとめ
WordPressのセキュリティ対策は、特別なことよりも、基本を続けることがいちばんの近道です。
- 本体・プラグイン・テーマを新しく保つ
- 使っていないプラグインとテーマは削除する
- 長いパスワードと2段階認証でログインを守る
- バックアップを取り、戻せるかを確かめておく
- いつもと違うところに気づいたら、記録してから相談する
まずは今日、管理画面の「更新」と「ユーザー」の画面を開いて、気になるところがないか確かめてみましょう。
7.自分のホームページを確認する
何から確認すればよいか分からない方は、まず無料チェックをお試しください。ホームページのURLを入力すると、公開情報から確認できる範囲で、サイトの状態をチェックできます。
※無料チェックで確認できるのは、外部から見える公開情報の範囲です。サーバー内部の設定や、すべての弱点を確認できるわけではありません。結果は、ホームページ全体の安全性を保証するものではありません。ご自身のサイト、または管理者の了承があるサイトでご利用ください（利用規約）。
もっと詳しく調べたい場合や、修正・復旧について困っている場合もご相談いただけます。相談する