Wordpress サイト構築・管理 プラグインとテーマの試行錯誤 
エックスサーバーWAFとの「最適分担」で構築する最強防御スタンス
WordPressのセキュリティ対策において、プラグインを導入したものの「サーバー側の機能とどう重複しているのか」「誤検知（403エラー）が出たときどう調整すべきか」に頭を悩ませるケースは少なくありません。
本稿では、エックスサーバーグループが提供する「CloudSecure WP Security」の導入手順から、サーバー本体のWAFとの役割分担、そして誤検知を最小限に抑える具体的な設定パラメータまで、現時点での最適解を一堂にまとめて解説します。
1. CloudSecure WP Security導入のメリットと全体像
CloudSecure WP Security は、WordPressの管理画面上からスイッチのON/OFFを行うだけで、ログイン保護やアクセス制限などの主要な対策を一括設定できるプラグインです。
一括設定で完了する防御機能
- ログインURLの隠蔽と直接アクセス拒否
- 2段階認証の導入（認証アプリ・メール）
- ブルートフォース攻撃対策（アクセス一時遮断）
- XML-RPCの無効化および設定ファイル保護
プラグインがカバーできない範囲
本プラグインは外部からの攻撃や侵入を防ぐ「防御」に特化しています。過去にサーバー内へ侵入された不正なファイル（バックドアなど）の検知・改ざん駆除機能は備わっていません。また、既存の「SiteGuard WP Plugin」や「Wordfence Security」といった同種のセキュリティプラグインと同時に有効化すると機能が競合するため、事前に旧プラグインを停止・削除しておく必要があります。
2. エックスサーバー本体WAFとCloudSecureの「最適バランスマトリクス」
セキュリティを強化しようとして両方のWAF機能をフル稼働させると、記事の保存時やプラグイン設定時に誤検知（403 Forbiddenエラー）が頻発します。
基本的な方針は 「全体的なWeb攻撃の遮断はサーバー側の強力なWAFに一任し、CloudSecureはWordPress固有の機能制限やログイン保護に専念させる」 というバランスです。
サーバーWAF × CloudSecure 設定バランス表
| セキュリティ機能 | エックスサーバー本体WAF | CloudSecure WP Security | 設定の狙い・運用理由 |
|---|---|---|---|
| WAF（Web攻撃全般） | 全6項目 ON | シンプルWAF：OFF | 投稿時の403エラー（誤検知）を劇的に減らすため、WAF判定はサーバー側に一本化。 |
| ログイン画面保護 | － | URL変更：ON | /wp-login.php を隠蔽し、直接アクセスからのリダイレクトも遮断。 |
| ブルートフォース対策 | － | ログイン無効化：ON | 5分間に5回失敗でロックアウトなど、パスワード総当たりを物理遮断。 |
| 2段階認証 | － | 認証アプリ：ON | パスワード流出時でも管理者権限の乗っ取りを阻止。 |
| アクセス制限 | 国外IP制限 ON | XML-RPC無効化：ON | 不要なピンバック攻撃や不正な構造体通信を全遮断。 |
3. 最初に手動で設定すべき「必須パラメータ」
プラグイン有効化後、管理画面から手動で確認・変更しておくべき重要なパラメータです。
① ログインURL変更
デフォルトの wp-login.php や wp-admin を推測されにくい独自の文字列に変更します。
- ログインURL: 自動生成されたランダムな文字列（英小文字・数字の組み合わせ）のまま保存。
- 管理者ページからログインページにリダイレクトしない: チェックを入れる
※チェックを入れることで/wp-admin/にアクセスされてもログイン画面へ転送されず、存在自体を隠蔽できます。
② ブルートフォース対策（ログイン無効化）
連続してログインに失敗したIPアドレスを一時的にロックアウトします。
- 検出間隔:
60秒 - 許容試行回数:
5回 - ロックアウト時間:
300秒（5分）〜600秒（10分）
③ 2段階認証とリカバリーコード
ログイン時に認証アプリ（Google Authenticator等）の6桁コードを要求するように設定します。設定完了後に表示される 「リカバリーコード」 は、スマホ紛失時の救済手段となるため必ずローカル環境へ保存してください。
4. 誤検知（403 Forbidden）発生時の切り分けと解除手順
万が一、作業中に403エラーが出た場合は、どちらの機能がブロックしたかを特定して対処します。
エックスサーバーWAFによる誤検知の解除
投稿画面でコードを保存した際に発生する403エラーの多くは、エックスサーバー本体のWAFによるものです。全体をOFFにせず、特定ルールのみをピンポイント解除します。
- エックスサーバーのサーバーパネル ＞ 「WAF設定」 ＞ 「WAFアクセスログ」 を開きます。
- エラー発生日時のログから 「検出シグネチャ」（例:
xss-tag-1）を確認します。 - ルートディレクトリの
.htaccess最上部に以下のコードを追記します。
# 特定WAFルールのピンポイント除外
<IfModule mod_siteguard.c>
SiteGuard_User_ExcludeRule ON
SiteGuard_User_ExcludeRule-Name xss-tag-1
</IfModule>管理画面にログインできなくなった場合の強行復旧ステップ
2段階認証の失敗やログインURL喪失で締め出された場合は、サーバー側から一時的にプラグインを無効化します。
1.プラグインディレクトリへのアクセス:FTPまたはファイルマネージャー。
サーバーのファイル管理画面から /wp-content/plugins/ を開きます。
Verification: ディレクトリ内に cloudsecure-wp-security フォルダが存在することを確認します。
2.フォルダ名の変更:一時的な強制停止。
cloudsecure-wp-security のフォルダ名を _cloudsecure-wp-security に変更します。
Verification: プラグインが自動停止し、標準のログイン画面からログイン可能になることを確認します。
3.設定修正後にフォルダ名を復元:設定調整と復旧。
ログイン完了後、フォルダ名を元に戻して管理画面上で誤検知の原因となった設定（シンプルWAFのOFFなど）を見直します。
Verification: プラグインを再有効化しても正常に管理画面へアクセスできることを確認します。
5. まとめ：二重防御で守る安全なサイト運用
エックスサーバーのサーバーレベルでの強力なWAFと、CloudSecure WP SecurityによるWordPress内部の機能制限を適切に組み合わせることで、サイトのパフォーマンスや利便性を損なうことなく強固な防衛体制を構築できます。
二重のWAFによる誤検知を回避するためにも、「WAF判定はサーバーパネル側」「ログイン・アクセス制御はCloudSecure側」 という明確な役割分担を意識して設定運用を行ってください。
