WordPressが乗っ取られる前にブログ初心者がやっておくべきセキュリティ設定 | WordPress サイト構築・管理プラグインとテーマの試行錯誤

サブタイトル：記事を書く前に守っておきたい、7つの基本と復旧の備え

ブログを始めると、気になるのはアクセス数や検索順位、デザインのこと。セキュリティはどうしても後回しになる。ログインできて、記事が公開できれば、とりあえず問題ないように見えるからだ。

ところがWordPressは、ある日突然ログインできなくなったり、知らない広告が表示されたりすることがある。攻撃者が狙っているのは、有名ブログだけではない。自動化された攻撃にとっては、アクセスが少ない個人ブログも候補のひとつだ。

厄介なのは、乗っ取られた後に慌ててセキュリティプラグインを入れても、元に戻るとは限らないこと。守る作業と、壊れたものを復旧する作業は別物なのだ。

最初に守るのは、管理者の入口

まずWordPressの「ユーザー」→「プロフィール」を確認したい。管理者アカウントのパスワードは、他のサービスと使い回さない、長くて推測されにくいものにする。パスワード管理アプリで生成・保存すれば、複雑な文字列を暗記する必要もない。

ユーザー名が「admin」など推測しやすいものなら、別の管理者アカウントを作り、必要な投稿を引き継いだうえで古いアカウントを削除する方法もある。ただし、作業前のバックアップは必須。ユーザー名を変えただけで安全になるわけでもない。

そして、二要素認証（2FA）を有効にする。 パスワードが漏れても、追加の認証なしではログインしにくくなる。WordPress本体に標準搭載された機能ではないため、対応プラグインやホスティング側の機能を使う。WordPress公式ディレクトリの「Two Factor」や「CloudSecure WP Security」などが選択肢になる。

設定したら、認証アプリが使えなくなったときのバックアップコードを安全な場所に保存し、別のブラウザーでログインできるか確かめておこう。防犯のために取り付けた鍵で、自分が締め出されては困る。

更新通知は、飾りじゃない

WordPress本体、テーマ、プラグインには、機能追加だけでなく脆弱性を修正する更新も届く。管理画面の「ダッシュボード」→「更新」に数字が出ていたら、内容を確認しよう。

プラグインやテーマは、個別に自動更新を有効にできる。ただし、自動更新ですべて解決するわけではない。更新によって表示が崩れたり、プラグイン同士が衝突したりすることもある。先にバックアップを用意し、更新後に実際の画面を確認する。 この順番を守りたい。

使っていないプラグインは、停止するだけでなく削除を検討する。長く更新されていないテーマやプラグインを惰性で使い続けるのも避けたい。機能を増やすことと、安全を高めることは、必ずしも同じではない。

バックアップは「取った」で終わらせない

セキュリティ対策をどれだけ重ねても、事故をゼロにはできない。だからバックアップは最後の保険ではなく、最初から必要な装備だ。

WordPressの復旧には一般に、投稿・設定などを保存するデータベースと、画像・テーマ・プラグインなどのファイルの両方が必要になる。レンタルサーバーの自動バックアップが使えるなら、保存期間、復元方法、追加料金の有無を確認する。バックアップ用プラグインを使う場合も、保存先をサーバーの外に置くことが重要だ。

さらに、一度は復元手順を確かめておきたい。バックアップファイルが存在していても、復旧できるとは限らないからだ。記事更新が多いブログなら毎日、更新が少なければ週単位など、自分の運営頻度に合わせて保存間隔を決める。

管理者を増やしすぎない

記事を手伝ってもらう人全員に「管理者」権限を渡す必要はない。WordPressには編集者、投稿者などの権限が用意されている。必要な仕事だけができる権限を選べば、アカウントが悪用されたときの被害も抑えやすい。

「ユーザー」→「ユーザー一覧」で、知らない管理者や、すでに作業を終えた人のアカウントが残っていないか確認しよう。外部サービスとの連携に使う「アプリケーションパスワード」も、不要になったものは失効させる。

HTTPSとサーバー側の守りを確認

ブログのURLが「https://」で始まり、ブラウザーに証明書の警告が出ない状態にしておく。HTTPSは通信を暗号化する仕組みだが、それだけで乗っ取りを防げるわけではない。

レンタルサーバーにWAF（Webアプリケーションファイアウォール）やログイン試行制限が用意されていれば、設定状況を確認したい。WAFは不審な通信を減らす助けになる一方、正常な操作がブロックされる場合もある。設定変更後は記事投稿や画像アップロードなどを試しておこう。

「ログインURLを変えれば安心」は危ない

ログイン画面のURL変更や、ユーザー名を隠す工夫を紹介する記事もある。攻撃のノイズを減らす役には立つが、それだけで安全が確保されるわけではない。

優先すべきは、強いパスワード、二要素認証、ログイン試行の制限、継続的な更新だ。また、XML-RPCなど使っていない機能へのアクセス制限も検討対象になるが、スマホアプリや外部連携に影響する場合がある。初心者が理由を理解せず、一括で無効化するのは勧めない。

セキュリティプラグインは入れすぎない

「不安だから3つ、4つ入れておこう」。気持ちはわかるが、似た機能を重複させると、設定が衝突したり、サイトが遅くなったりする場合がある。

まずレンタルサーバーの標準機能を調べ、足りない対策だけを信頼できるプラグインで補う。導入時には更新状況、対応WordPressバージョン、サポート情報を確認しよう。セキュリティプラグインを入れること自体が目的ではない。

今日やるなら、この順番

□ 管理者パスワードを強くし、使い回しをやめる
□ 二要素認証を設定し、復旧コードを保管する
□ バックアップの保存先と復元方法を確認する
□ WordPress本体・テーマ・プラグインを更新する
□ 不要なプラグインとユーザーを整理する
□ HTTPS、WAF、ログイン試行制限を確認する
□ 月に一度、更新状況とバックアップの成否を点検する

ログインできなくなる、知らない管理者が増える、見覚えのないページが公開される。そんな異変があれば、むやみにファイルを削除せず、まず利用しているサーバー会社のサポートに相談する。侵害範囲の調査や安全な復旧には、セキュリティ専門家に確認が必要な場合もある。

ブログは、公開した記事が少しずつ積み重なって価値を生む。だからこそ、守るべきものはログイン画面だけではない。書いてきた文章も、写真も、読者から得た信用も含まれる。

セキュリティ対策の正解は、難しい設定を全部覚えることではない。入られにくくし、壊れたときには戻せるようにしておくこと。 まずはそこからで十分だ。