WordPressのセキュリティは大丈夫？Wordfence無料版と日々の運用でできる対策

Webサイトの不正アクセスや情報漏洩のニュースを目にすると、「自分のWordPressサイトは大丈夫だろうか」と不安になる方もいるのではないでしょうか。

私もWordPressのセキュリティ対策として、Wordfenceを使っています。ログインの通知やアップデートを促す通知などが日々届き、無料版でもサイトの状態を把握するうえで役立っていると感じます。

ただし、セキュリティプラグインを入れれば、すべて任せられるわけではありません。

大切なのは、侵入を防ぐこと、異常に気づくこと、問題が起きたときに復旧できること。この3つを組み合わせて運用することです。

この記事では、Wordfence無料版でできることと限界を整理しながら、あわせて取り入れたいWordPressのセキュリティ対策を紹介します。

WordPressの安全性は「日々の管理」で変わる

WordPress公式のセキュリティガイドは、安全性を「リスクをなくすこと」ではなく「リスクを減らすこと」と説明しています。[1]

WordPress本体だけでなく、プラグインやテーマ、ログイン情報、サーバーなども管理の対象です。更新していないプラグインや、使い回しているパスワードなど、弱い部分があると、そこが侵入口になり得ます。

「WordPressだから危険」「別の仕組みなら安心」と単純に決めるのではなく、自分のサイトで何を守り、誰が管理するかを考える必要があります。

Wordfence無料版でも、実用的な対策ができる

Wordfenceは、WordPress向けのファイアウォールやスキャンなどを備えたセキュリティプラグインです。公式情報では、無料版にも次の機能が含まれます。[2]

機能	主な役割
Webアプリケーションファイアウォール（WAF）	不正なリクエストを識別し、遮断する
マルウェアスキャン	悪意のあるコードなどを検出する
ブルートフォース対策・アクセス頻度の制限	パスワードの総当たりなどを抑える
二要素認証（2FA）	パスワードに加えて本人確認を行う
脆弱性の警告	利用中のプラグインなどの問題に気づくきっかけになる

無料でも「防御」「検知」「ログイン保護」の基本を整えられる点は、大きなメリットです。

無料版と有料版では、新しい脅威への対応速度が異なる

押さえておきたいのが、新しいファイアウォールルールとマルウェア検知用シグネチャの配信時期です。

Wordfence Freeでは、これらが有料版より30日遅れて配信されます。また、無料版にはリアルタイムIPブロックリストが含まれません。[2]

これは、「無料版は30日間まったく防御できない」という意味ではありません。既存のルールによる防御は働きますが、新しい脅威に対応する個別ルールなどの受け取りに差があります。

そのため、無料版を使う場合も、脆弱性のあるプラグインを早く更新することが重要です。有料版を使っていても、更新を後回しにしてよいわけではありません。

私の考えでは、無料版はセキュリティ対策の有力な土台です。ただし、「十分かどうか」はサイトの用途と管理体制によって変わります。

問い合わせを受ける企業サイト、会員情報を持つサイト、ECサイトなどでは、扱う情報や停止した場合の影響も踏まえ、有料版や保守サービスを検討するとよいでしょう。

毎日の通知は「内容を分けて読む」ことが大切

Wordfenceから通知が多く届くと、つい読み流したくなるかもしれません。しかし、ログイン、アクセス遮断、更新、マルウェアの警告は、それぞれ意味が違います。

Wordfenceでは、ログインやロックアウト、スキャン結果などの通知を設定できます。[3] 次の表は、私が勧める確認の優先順位です。

通知・検出の内容	確認と対応の目安
身に覚えのない管理者ログイン	すぐに担当者へ確認。説明できなければ不正アクセスを疑って調査する
マルウェアの疑い・不審な管理者	すぐに内容を調べ、必要に応じて制作会社や保守担当者へ相談する
既知の脆弱性があるプラグイン	修正版の有無と危険性を確認し、優先して対応する
通常のアップデートのお知らせ	変更内容を確認し、バックアップを取って更新する
ログイン失敗・アクセスの遮断	件数や傾向、正規利用者への影響を確認する
自分や担当者のログイン	日時やユーザー名が作業と一致するか確認する

「遮断した通知」と「侵入された通知」は違う

ログインを試みた相手をロックアウトした通知は、それだけで侵入されたことを示すものではありません。一方、アクセスを遮断できたからといって、サイト全体が安全だと断定することもできません。

ログイン通知も、ユーザー名や時刻を照合して判断します。IPアドレスや国の表示は参考になりますが、通信環境やVPNなどで変わるため、それだけで本人かどうかを決めないことが大切です。

通知を減らすなら、重要な警告を残す

通知が多すぎる場合は、Wordfenceの通知設定を見直しましょう。

自分の通常ログインなどの扱いを調整しつつ、脆弱性や不審なファイルの警告を見落とさない形にします。通知先が現在の担当者になっているか、メールが届くかも確認しておきたいポイントです。

Wordfenceを使っているなら、確認したい3つの設定

1．二要素認証を有効にする

まず取り入れたいのが、管理者アカウントの二要素認証です。

認証アプリなどで発行するコードを追加することで、パスワードが漏れた場合の不正ログインを防ぐ助けになります。Wordfenceでは、ユーザーの権限ごとに利用や必須化を設定できます。[4]

設定後は実際にログインできることを確認し、復旧コードはスマートフォンを紛失しても取り出せる安全な場所に保管しましょう。複数人で運用する場合は、各自のアカウントで設定します。

二要素認証はログインを守る対策です。ログイン不要で悪用できる脆弱性への対策として、更新やWAFも必要です。

2．ファイアウォールの最適化状態を確認する

Wordfenceには、WordPressより先にファイアウォールを読み込む「Extended Protection」があります。通常のプラグインとして読み込む状態より、早い段階で不正なリクエストを処理できる仕組みです。[5]

管理画面で最適化の案内や保護状態を確認しましょう。設定時にはサーバーの構成ファイルが変更される場合があるため、案内に従ってバックアップを保存し、変更後にサイトの表示やフォーム送信を確認します。

学習モードを利用した場合も、導入時の確認を終えたら、防御が有効になっているかを確かめておきます。

3．スキャン結果を確認してから修復する

「ファイルが変更されている」という検出は、必ずしも改ざんを意味しません。制作時のカスタマイズが検出される場合もあります。

Wordfenceの修復機能は、対象ファイルを公式配布元のものに置き換えるため、正当なカスタマイズも失われる可能性があります。[6]

特にオリジナルテーマや独自の修正があるサイトでは、検出内容と変更履歴を確認し、バックアップを取ってから対応しましょう。

あわせて実施したいWordPressのセキュリティ対策

更新は「気づく・実施する・確認する」までをセットに

WordPress本体、プラグイン、テーマを継続して更新します。使っていないプラグインは、必要性を確認して削除しましょう。[1]

運用では、次の流れを決めておくと対応しやすくなります。

1. 更新内容と、セキュリティ修正の有無を確認する
2. バックアップを取り、必要に応じて検証環境で試す
3. 更新を適用する
4. 表示、問い合わせフォーム、予約・購入機能を確認する

通常の機能追加と、悪用されている脆弱性の修正では緊急度が違います。修正版がない場合は、提供元の案内を確認し、機能停止や代替手段も検討します。

自動更新を使う場合も、失敗したときに誰が気づき、復旧するかを決めておくことが大切です。

バックアップは「復元できる状態」で残す

バックアップでは、画像やテーマなどのファイルと、記事・設定が入ったデータベースの両方が必要です。[7]

サーバーの自動バックアップも役立ちますが、保存期間や復元方法を把握しておきましょう。できれば別の保存先にも保管し、複数の世代を残します。

例えば、毎日バックアップを取っていても、保存期間が短いと、発見が遅れた改ざんより前の状態を残せないことがあります。

更新頻度に合った取得間隔を決め、検証環境などで復元を試しておくと、緊急時に動きやすくなります。

管理者を増やしすぎず、アカウントを分ける

記事を更新する人すべてに、管理者権限が必要とは限りません。WordPressには編集者や投稿者などの権限があり、できる操作が異なります。[8]

担当業務に合う権限を付け、共有アカウントを避けると、通知を見たときも誰の作業か確認しやすくなります。退職者や契約終了後のアカウントも、定期的に見直しましょう。

サーバー・メール・ドメインのアカウントも守る

WordPressの管理画面だけを守っても、サーバーやパスワード再設定用のメールを乗っ取られると、被害につながる可能性があります。

関連するサービスでも、長く固有のパスワードを使い、対応している場合は二要素認証を設定します。パスワード管理ツールを使うと、使い回しを減らしやすくなります。

サーバー側のWAFなどを確認する

Wordfenceに加え、レンタルサーバー側のWAFやアクセス制限も確認しておきましょう。WordPress公式も、サーバーや外部サービスのファイアウォールを防御手段として紹介しています。[1]

ただし、設定によっては正規のフォーム送信や編集操作が遮断される場合があります。変更後に動作を確認し、問題があればログを調べて必要な範囲で調整します。

ログインURLの変更や管理画面のIP制限も補助策になりますが、更新や二要素認証の代わりにはなりません。IP制限は、外出先での作業や複数担当者の利用も考えて設計する必要があります。

セキュリティプラグインは、数より役割で選ぶ

対策を強化しようとして、似た機能のプラグインを次々に追加する必要はありません。

まず、Wordfenceで防御・スキャン・ログイン保護を整え、バックアップや更新管理などの不足を補う、という考え方がおすすめです。

複数のプラグインが同じログイン処理やアクセス制限を行うと、原因の切り分けが難しくなる場合もあります。追加する前に、「何のために使うのか」「既存の機能と重ならないか」を確認しましょう。

無理なく続けるための運用チェック

次は、日々の管理を習慣にするための一例です。

頻度の目安	確認すること
毎日・通知を受けたとき	不審なログイン、重要な脆弱性、スキャンの警告
週に1回	更新状況、バックアップの成功、未対応の警告
月に1回	不要なプラグイン、ユーザー権限、通知先
定期的・大きな変更の前後	復元手順、二要素認証の復旧手段、フォームなどの動作

重大な警告は、定期点検の日まで待たずに確認します。複数人で運営する場合は、通知を受け取る人と対応する人を決めておきましょう。

不正アクセスが疑われるときは

身に覚えのない管理者、勝手に追加されたページ、不審な転送などを見つけたら、通知やログ、発見時刻を記録し、制作会社・保守担当者・サーバー会社へ連絡します。

被害が進んでいる場合は、サイトの公開制限なども含めて対応を相談しましょう。調査用に現状を保全し、侵入口の特定、認証情報の見直し、改ざんの除去、再発防止まで進めることが大切です。

バックアップを戻すだけでは、侵入口が残って再び被害を受けるおそれがあります。Wordfenceのスキャン結果も手掛かりとして使い、原因まで確認します。

Wordfence無料版を生かすのは、通知に対応する運用

Wordfence無料版には、日常的な防御と異常の発見に役立つ機能がそろっています。私自身、ログインやアップデートの通知を通じて、サイトの状態を確認できる点に価値を感じています。

その効果を生かすために、次の4点を意識したいところです。

• Wordfenceの保護状態を確認し、管理者に二要素認証を設定する
• 更新通知と脆弱性の警告を区別し、必要な対応を行う
• ファイルとデータベースのバックアップを残し、復元に備える
• 管理権限と、サーバーなど関連アカウントも見直す

セキュリティは、サイトを公開したあとも続く管理の仕事です。まずは今日届いている通知を確認し、対応できていない項目を一つずつ減らしていきましょう。

---

参考情報（公式）

[1] WordPress：Hardening WordPress
[2] Wordfence Free
[3] Wordfence：Alerts
[4] Wordfence：Login Security Options
[5] Wordfence：Optimizing The Firewall
[6] Wordfence：Scan Results
[7] WordPress：Backups
[8] WordPress：Roles and Capabilities

※機能・仕様は情報確認日時点の公式情報に基づきます。画面表示や設定項目は、バージョンや環境により異なる場合があります。