WordPressのセキュリティ対策｜最低限の10項目と改ざん時の復旧手順

WordPressで作った会社のホームページは、古い部品の弱点や弱いパスワードから入られると、ページの書き換え・別サイトへの転送・問い合わせ内容の持ち出しが起きます。2026年もWordPress本体の弱点が実際の攻撃に使われ、公的機関が更新を呼びかけました。

更新を忘れたまま半年たったサイトは、狙われる側の一覧に自動で載ります。気づくのは、取引先から「御社のサイトを開いたら別のページに飛んだ」と言われた日です。

対策の柱は3つです。

• 更新を自動にして、使っていない部品を消す
• 管理者と入口を絞り、WAFを切らない
• 戻せる状態と、気づける仕組みを用意しておく

この3つで、古い部品からの侵入・パスワードの総当たり・改ざんされたまま気づかない状態が、どれも大きく減ります。この記事では最低限の10項目を、WordPressの管理画面とサーバーの画面のどこで確かめるかまで実画面で示し、改ざんされた日の動き方も順に書きます。

Saix自身、会社のホームページをWordPressで運用しています。WAFは常時オン、管理者は1人、管理者のログインには2段階認証。公式配布の部品は自動更新にし、自動で上がらないテーマは中身を読んでから手で上げています。作り手であり使い手でもある立場から、机上論ではなく手を動かす前提で書きます。

WordPressのセキュリティ対策とは｜古い部品と弱い入口を閉じ、戻せる状態にしておくこと

上の図は、攻撃がどこから入り、何が起きるかを3本の流れで示したものです。左が入口、右が起きることです。入口は3つしかないので、対策も3つに分けて考えられます。

WordPressのセキュリティ対策とは

WordPressのセキュリティ対策とは、ホームページを乗っ取られたり書き換えられたりしないよう、入口を閉じておく作業です。WordPressは、ホームページを管理画面から更新できる無料の仕組みで、世界中の会社のサイトに使われています。

多くの会社で使われている分、弱点が見つかるとすぐに狙われます。狙われる理由は会社の知名度ではなく、WordPressを使っていて更新が止まっていることです。小さな会社のサイトでも、機械が自動で探して回っています。

関連資料：「Claude Code 事故防止プロンプト集」（PDF・無料）を配布しています。

仕組み：本体とプラグインの古さ・ログイン情報・サーバーの弱点が入口になる

1つ目の入口は、古い部品です。WordPress本体、機能を足す部品のプラグイン、見た目を決める部品のテーマは、弱点が見つかると直した版が出ます。古い版のままだと、その弱点を突かれます。

2つ目は、ログイン情報です。管理画面のログインの名前とパスワードを、機械が何万通りも試します。推測されやすい名前と短いパスワードは、ここで破られます。

3つ目は、サーバーです。サーバーとは、ホームページのファイルを置いて外へ見せている貸し倉庫のようなコンピューターです。WordPressを動かすPHP（ホームページを動かすプログラムの言語）など、サーバー側の弱点は管理画面からは直せません。

対策しないと起きる被害と実例：想定される被害と、実際に悪用された脆弱性

入られた後に起きることは、主に3つです。ページの書き換え、訪問者を別のサイトへ飛ばす転送、問い合わせフォームの中身や顧客情報の持ち出しです。たとえば金属加工の会社の採用ページが、いつの間にか海外の通販サイトへ飛ぶようになっていた、という形で表に出ます。

実際の悪用も起きています。IPA（情報処理推進機構）は2026年7月22日、WordPress本体の2つの脆弱性（ソフトの弱点）について注意喚起を出しました。米国の政府機関CISA（サイバーセキュリティ・社会基盤安全保障庁）の一覧に、悪用された脆弱性として載ったと書いています。

出典はIPA：WordPressの脆弱性対策についてです。

CISAの一覧（2026年11月6日版）を1件ずつ確かめたところ、2026年に載ったWordPress本体の脆弱性は4件ありました。11月3日に載った1件は、10月28日に出たWordPress 7.1.4で直った、更新処理の数分を狙う弱点です。

一覧に載るのは「攻撃に使われたと確認された」という意味で、個々の会社の被害を示すものではありません。それでも、直した版が出てから数日で、古い版のままのサイトが実際に狙われていることは分かります。確かめた一覧はCISA：悪用が確認された脆弱性の一覧です。

対策で減らせるリスクと、それでも残るリスク

更新を自動にし、入口を絞り、戻せる状態にしておけば、古い部品からの侵入とパスワードの総当たりは大きく減ります。入られても、書き換えられる前の状態へ戻せます。

残るリスクもあります。弱点が見つかってから直った版が出るまでの間は、どのサイトも無防備です。サーバー側の弱点は、サーバー会社が直すのを待つしかありません。だからこそ、気づける仕組みと戻せる準備が要ります。

対策はだいたいこの3つです。更新を自動にして使わない部品を消す、管理者と入口を絞りWAFを切らない、戻せる状態にしておく。次の章で、これを10項目に分けます。

自社のサイトが外からどう見えているかは、URLを入れると約3分で確かめられます。侵入テストではなく、外から見える範囲の簡易チェックです。会社のサイトを無料でセキュリティ診断する

WordPressのセキュリティ対策 最低限の10項目｜確かめる場所・担当・取りかかる順

10項目は、確かめる場所で2つに分かれます。表側はWordPressの管理画面で触る5つ、裏側はサーバー側の設定で確かめる5つです。場所と担当は別の話なので、まず場所で分け、担当は次の表で決めます。

項目	場所	見ること	終わりの目安
項目1 本体を最新に	表側	更新の画面	「最新バージョン」と出る
項目2 自動更新	表側	プラグインとテーマの一覧	全部「自動更新を無効化」の表示
項目3 使わない物を消す	表側	停止中のプラグイン・テーマ	停止中が0本（復旧用のテーマ1本は残す）
項目4 管理者を絞る	表側	ユーザー一覧を「管理者」で絞る	知っている人だけ・admin の名前が無い
項目5 2段階認証	表側	プロフィールの2段階認証	予備のコードを保管済み
項目6 WAF	裏側	サーバーの管理画面	オンの表示
項目7 ログインの制限	裏側	サーバーのWordPress向けの設定	回数の制限と海外からの制限がオン
項目8 自動バックアップ	裏側	サーバーのバックアップの画面	保存日数と戻し方が分かる
項目9 ファイル編集の停止	裏側	設定ファイル（制作会社に依頼）	管理画面からファイルを編集できない
項目10 知らせの受け取り	裏側	サーバー会社のメール	読む人が決まっている

表側の5つは、管理画面に入れる人なら今日中に終わります。裏側の5つは、サーバーの管理画面に入れる人か、保守を任せている制作会社の仕事です。

10項目の担当を決める｜自社・制作会社・サーバー会社の役割分担

誰がどの項目を持つかは、保守を任せているかと、サーバーを誰が管理しているかで変わります。WordPressのホームページで多い3つの形を表にしました。

管理の形	項目1〜5（表側）	項目6〜8・10（裏側）	項目9とサーバー本体の修正
レンタルサーバーを自社で契約・保守なし	自社	自社（サーバーの管理画面）	制作会社かサーバー会社に依頼。サーバー本体はサーバー会社が直す
制作会社に保守を任せている	契約の範囲を確認（多くは制作会社）	契約の範囲を確認	制作会社。サーバー本体はサーバー会社
自社でサーバーごと管理している	自社	自社	自社。サーバーの更新と再起動まで

いちばん危ないのは、どちらも自分の担当だと思っていない項目です。保守を任せている会社は、この10項目の表を制作会社に渡し、契約に入っている項目と入っていない項目に印を付けてもらってください。印の無い項目が、自社で持つ項目です。

この内容を自社に当てはめたい方は、無料のAI活用セッションで相談することもできます。

設定を変える前に、バックアップから戻せることとサイトヘルスの状態を確かめる

取りかかる順は、番号の順ではありません。最初に、項目8の「戻せること」を確かめます。設定や更新で表示が崩れたとき、元に戻せないと、怖くて更新を止める理由になるからです。

WordPress公式も、プラグインとテーマの自動更新を有効にする前に、元の状態へ戻せるかを確かめるよう勧めています。

出典はWordPress公式：プラグインとテーマの自動更新です。戻せることを確かめたら、次はサイトヘルスで今の状態を見ます。サイトヘルスは、WordPressに最初から入っている自己点検の画面です。

管理画面の左のメニューで［ツール］→［サイトヘルス］を開きます。「ステータス」のタブに、直したほうがよい点が「致命的な問題」と「おすすめの改善」に分かれて並びます。

WordPress Playgroundは、ブラウザだけで動く練習用のWordPressです。この記事の管理画面は、すべてここで撮りました。練習用の初期状態でも、致命的な問題が1件、おすすめの改善が7件出ました。見落としているのは、多くの場合、自社のサイトも同じです。

「情報」のタブには、WordPressの版・テーマ・プラグイン・サーバーの設定が一覧で並びます。上の［サイト情報をクリップボードにコピー］を押すと、全部を文字としてコピーできます。

サイトヘルスの見方はWordPress公式：サイトヘルスの画面にもあります。コピーした情報の使い道は、次のH3で示します。

サイトヘルスの情報をClaudeに貼り、分からない項目を制作会社への質問にする

サイトヘルスの一覧は英語と記号が多く、どれが危ないか読み取りにくい画面です。そこで、Anthropic社のAIのClaude（claude.ai）に読ませ、やることの一覧に直してもらいました。情報を貼らない場合と貼った場合を比べます。

まず、何も貼らずに頼んだ場合です。

返ってきたのは、どのサイトにも当てはまる手順0〜5の長い一覧でした。中身は正しいのですが、自社が何をできていて何ができていないかは分かりません。最後には、こう書かれていました。

次に、練習用サイトのサイトヘルスの情報を貼り、下の日本語で頼みました。新しい会話を開き、この文を入れてから、コピーした情報を続けて貼ります。

貼り付けたのは、うちの会社のホームページ（WordPress）のサイトヘルスの情報です。この情報から読み取れることだけで、セキュリティの面で①今すぐやること ②今月中にやること ③この情報では分からないので制作会社かサーバー会社に確かめること、の3つに分けてください。管理画面のどこを開けばよいかと、専門用語の一言説明もつけてください。

Claudeはまず、住所やサーバーの欄から、貼った情報が練習用のWordPressのものだと見抜きました。そのうえで、本番も同じ設定ならこうなる、という前提で3つに分けて返しました。

今すぐやることには、テーマの自動更新が無効、停止中のプラグイン、コメント欄が開いたまま、という、このサイトに固有の点が並びました。情報を貼る前は一般論、貼った後はこのサイトのやることの一覧に変わりました。

サイトヘルスに出ないことは、判定させずに質問へ回すのがこの頼み方の要です。バックアップの有無、WAF、2段階認証を本人が登録したかは、情報のどこにも書かれていません。③の表は、そのまま制作会社へ送る質問になります。

貼る前には、情報の中に社外に出したくないものが無いかを見ます。サイトヘルスの情報には、サイトの住所やサーバーの設定が入ります。会社でClaudeを使うときの情報の扱いは、次の記事で確かめられます。

WordPressのセキュリティ対策を管理画面で進める｜項目1〜5とプラグインの選び方

表側の5つは、更新する、減らす、鍵を足す、の3段です。上の段ほど効果が大きく、手間は小さい順に並べました。どれも管理画面のボタンで終わり、ファイルを触る作業はありません。

項目1：WordPress本体を最新にし、自動更新の設定を確かめる

管理画面の左のメニューで［ダッシュボード］→［更新］を開きます。「最新バージョンの WordPress をお使いです」と出ていれば、本体は最新です。

その下の文で、本体の自動更新の範囲が分かります。WordPress公式によると、すでにあるサイトは、保守とセキュリティの小さな更新を初期状態で自動で受け取ります。

出典はWordPress公式：WordPressの更新です。ただし、自動更新が有効でも、サーバーの環境しだいで更新が失敗していることがあると、IPAの注意喚起も書いています。月に1回は、この画面で版を目で確かめます。

関連資料：「Claude Code 事故防止プロンプト集」（PDF・無料）を配布しています。

項目2：プラグインとテーマを自動更新にし、更新の前後でページを確かめる

左のメニューで［プラグイン］→［インストール済みプラグイン］を開きます。右端の「自動更新」の列に、プラグインごとの［自動更新を有効化］のリンクがあります。

押すと、表示が［自動更新を無効化］に変わります。この表示になっていれば、そのプラグインは自動で更新されます。まとめて切り替えるときは、左の四角に印を付け、［一括操作］から選びます。

テーマは、左のメニューで［外観］→［テーマ］を開き、使っているテーマの画像を押します。作者名のすぐ下に、［自動更新を有効化］のリンクがあります。

公式によると、自動更新は初期状態で1日2回行われ、結果はメールで届きます。有料のテーマや一部のプラグインは、この仕組みで上がらないことがあります。Saixでは、自動で上がらない有料のテーマだけは、更新の中身にセキュリティの修正があるかを読んでから手で上げています。

手で上げるときは、上げる前と後で主要なページを開き、表示が崩れていないかを見ます。

項目3：使っていないプラグインとテーマを消す

止めているだけのプラグインも、ファイルはサーバーに残ります。弱点が見つかれば、止めていても入口になります。左のメニューの［プラグイン］で、上の「停止中」を押して絞ります。

［削除］を押し、確認が出たら消します。テーマも同じで、使っているテーマ以外は消します。ただし、WordPressに付いてくる標準のテーマを1本だけ残します。使っているテーマが壊れたとき、管理画面に入るための予備になるからです。

練習用のサイトで停止中のプラグインを消し、テーマの自動更新を有効にしてから、もう一度サイトヘルスを開きました。

致命的な問題の1件は残りました。エラーの記録の設定は、管理画面ではなく設定ファイルで変えるものだからです。これは項目9で、制作会社に頼む文面を示します。

項目4：管理者を必要な人に絞り、推測されにくい名前と強いパスワードにする

左のメニューで［ユーザー］→［ユーザー一覧］を開き、上の「管理者」を押して絞ります。知らない人、辞めた人、元の制作会社の担当者が残っていないかを見ます。

練習用のサイトは、管理者の名前が「admin」でした。WordPress公式は、admin や webmaster のような推測しやすい名前は真っ先に狙われるので使わないよう書いています。

出典はWordPress公式：WordPressのセキュリティ強化です。記事を書くだけの人は「編集者」や「投稿者」にし、管理者は必要な人だけにします。Saixの会社のホームページは、管理者が1人です。

項目5：2段階認証を入れ、予備のコードを手元とは別の場所に保管する

2段階認証とは、パスワードに加えて、スマホのアプリに出る6桁の数字を入れないとログインできない仕組みです。パスワードが漏れても、それだけでは入られません。WordPressの開発者たちが作っている公式配布のプラグインで入れられます。

入れて有効にしたら、左のメニューの［ユーザー］→［プロフィール］を開きます。下のほうに2段階認証の設定があり、「認証アプリ」と「予備のコード」を有効にします。予備のコードは、スマホを失くしたときに入るための使い捨ての番号です。画面では、認証アプリの欄のすぐ下にあります。

プラグインの公式ページも、締め出されないよう予備のコードを必ず有効にするよう書いています。

出典はWordPress公式：Two Factorです。予備のコードは、スマホとは別の場所に保管します。スマホの中にだけ置くと、スマホを失くした日に両方を失います。Saixで実際に起きた話は、落とし穴の章で書きます。

セキュリティプラグインは、サーバーの機能と重ならない1本を4つの表示で選ぶ

セキュリティのプラグインを何本も足すと、更新が要る部品が増えます。守りを足したつもりが、弱点の候補を増やしていることがあります。先に、契約しているサーバーの管理画面に、WAFやログインの制限が付いていないかを見ます。付いていれば、同じ機能のプラグインは要りません。

足すときは、プラグインを追加する画面に出る4つの表示で選びます。最終更新、有効インストール数、使っている版との互換性、作者です。

長く手入れされていないプラグインには、WordPress公式のページに警告が出ます。直近3回の大きな版で動作を確かめていないものに出る黄色の帯で、以前は「2年以上更新が無い」が基準でした。

出典はWordPress公式：プラグインの警告表示です。よく名前が挙がる5本を、WordPress公式のプラグイン情報で比べました。

プラグイン	できること（公式の説明）	有効インストール数	最終更新	向いている会社
Wordfence Security	WAF・不正なファイルの検査・2段階認証	500万以上	2026年9月30日	サーバーにWAFが無い
All-In-One Security（AIOS）	ログインの保護・WAF	100万以上	2026年10月30日	サーバーにWAFが無い
Limit Login Attempts Reloaded	ログイン試行の制限・2段階認証	100万以上	2026年11月6日	ログインの制限だけ足したい
SiteGuard WP Plugin	画像認証・ログインのロック・ログインの通知	60万以上	2026年10月27日	日本の会社が作った物がよい
Two Factor	2段階認証だけ	10万以上	2026年9月28日	サーバーの機能でほかは足りている

5本とも、WordPress 7.1.4で動作を確かめた表示になっていました（2026年11月9日時点）。表の右の列で、自社に当てはまらない行を落とすと、残るのは1〜2本です。WAFとログインの制限がサーバーに付いているなら、2段階認証だけのプラグインで足ります。

ゴール：更新の画面に「最新バージョン」と出て、プラグインとテーマが全部［自動更新を無効化］の表示、停止中が0本、管理者が知っている人だけで、予備のコードを保管した状態になっていればOKです

管理画面を直したら、外からの見え方も確かめます。使っているソフトの版が外から読み取れないか、通信の暗号化の設定が入っているかが、無料の診断で分かります。サイトの外からの見え方を無料で確かめる

WordPressのセキュリティ対策をサーバー側で確かめる｜項目6〜10を自社か制作会社が設定する

裏側の5つは、WordPressの外にある守りです。上の図のとおり、WAFがあれば攻撃の通信はWordPressに届く前に止まり、無ければそのまま届きます。管理画面の対策を全部やっても、裏側が空いていれば入口は残ります。

項目6：WAFをオンにして、作業で止められてもオフに戻さない

WAF（ウェブ・アプリケーション・ファイアウォール）は、攻撃によく使われる通信の形を見つけて、サイトに届く前に止める仕組みです。多くのレンタルサーバーが、管理画面の設定として持っています。主要な4社の画面の場所を、各社の公式ヘルプで確かめました。

契約しているサーバー	WAF（開く画面・初期状態）	ログイン・海外からの制限	自動バックアップ	届く知らせ
エックスサーバー	サーバーパネル→セキュリティ→WAF設定。初期状態の記載なし	WordPressセキュリティ設定。国外アクセス制限・ログイン試行回数制限とも初期はオン	1日1回・過去14日分	不正アクセスを検知したときのメール
ConoHa WING	サイト管理→サイトセキュリティ→WAFで「利用設定」をオン。初期状態の記載なし	WordPressセキュリティ。海外アクセス制限は初期で全項目オン	1日1回・過去14日分	脆弱性診断の結果のメール
さくらのレンタルサーバ	セキュリティ→WAF設定ドメインで「利用する」。初期状態の記載なし	国外IPアドレスフィルター	バックアップ&ステージング（スタンダード以上）	不正なファイルを止めたときのメール
ロリポップ！	ユーザー専用ページ→WAF設定。初期はオン	海外アタックガード	自動バックアップ（対象プランのみ）	セキュリティ自動診断の結果のメール

※本記事の各社の設定と初期状態は、各社公式サイトの記載（2026年11月時点）にもとづきます。プランや仕様の改定で変わる場合があるため、設定するときは必ず公式サイトで最新の案内をご確認ください。

WAFの初期状態が公式に書かれていたのは、4社のうちロリポップ！だけでした。ロリポップ！も、2012年9月27日の正午以前から使っているアカウントは初期状態がオフです。初期状態を当てにせず、自社の画面で「オン」の表示を目で確かめます。

この内容を自社に当てはめたい方は、無料のAI活用セッションで相談することもできます。

項目7：ログイン試行の制限と、海外からの管理画面への制限を確かめる

ログイン試行の制限は、短い時間にログインの失敗が続いたら、しばらくその相手を入れなくする機能です。パスワードの総当たりを止めます。海外からの制限は、日本の外から管理画面やログインの入口を開けなくします。

上の表のとおり、エックスサーバーは2つとも初期状態でオン、ConoHa WINGは海外からの制限が初期で全項目オンと公式に書かれていました。海外から管理画面を使う人がいなければ、海外からの制限はオンのままにします。Saixも、ログイン試行の回数を制限しています。

項目8：自動バックアップの日数と、戻し方を確かめる

バックアップは、データベース（文章や設定が入った箱）とファイルの2つを取ります。片方だけでは元に戻りません。多くのレンタルサーバーは、毎日自動で取っています。

見るのは、何日分あるかと、どの画面から戻すかの2つです。14日分なら、改ざんに気づくのが15日目だと、きれいな状態は残っていません。だから項目10の「気づける仕組み」と組で考えます。

戻すと、バックアップの日より後に作ったページやファイルは消えます。戻す前に、今の状態を別に取っておきます。バックアップの考え方はWordPress公式：バックアップにあります。

項目9：管理画面からのファイル編集とエラーの画面表示を止める

WordPressは初期状態で、管理者が管理画面からプラグインやテーマのプログラムを書き換えられます。乗っ取られたとき、ここから悪い仕掛けを書き込まれます。WordPress公式は、これを止める設定を案内しています。

この設定は、wp-config.php（WordPressの設定ファイル）に1行足すものです。設定ファイルは書き間違えるとサイトが表示されなくなるので、自社で触らず、制作会社かサーバー会社に頼みます。頼むときは、下の文面を送ります。

いつもお世話になっております。弊社ホームページ（WordPress）のセキュリティ設定について、次の2点をお願いできますでしょうか。

1. 管理画面からテーマやプラグインのファイルを編集できないようにする設定（wp-config.php に DISALLOW_FILE_EDIT を true で追加）
2. エラーの内容が画面に出ず、誰でも見られる場所にも書き出されない設定（サイトヘルスで「誰もが参照可能なファイルにエラーを書き出します」と出ています）

作業の前に、元に戻せる控えを取っていただけますと助かります。作業後に、サイトヘルスの表示が消えたことをこちらでも確かめます。

Saixの会社のホームページも、管理画面からのファイル編集を止め、エラーの内容を画面に出さない設定にしています。どちらも、乗っ取られた後の被害を小さくする守りです。

項目10：サーバー会社からの診断・検知の知らせを受け取り、読む人を決める

サーバー会社は、脆弱性の診断の結果や、不正なアクセスを止めたことをメールで知らせてきます。上の表の右の列が、その知らせです。届いても誰も読まなければ、知らせは無いのと同じです。契約者のメールアドレスが、辞めた人や制作会社のものになっていないかを、まず確かめます。

知らせを読むときは、3点だけ見ます。何が対象か（自社のサイトや版が当てはまるか）、どのくらい危ないか、自分は何をすればよいか、です。英語や専門用語が多くて分からないときは、知らせの本文をClaudeに貼って、下の日本語で聞きます。

貼り付けたのは、うちのホームページのサーバー会社から届いた知らせです。①うちのサイトが対象かどうかを判断するために見るべき箇所 ②どのくらい急ぐべきか ③うちがやることと、サーバー会社や制作会社に任せてよいこと、の3つに分けて、専門用語は一言で説明しながら教えてください。この知らせから分からないことは推測せず「確認が必要」と書いてください。

Saixでは、サーバーの管理画面にログインがあったときの知らせも見ています。見慣れない知らせは、同じ時間帯の他のサービスの知らせと突き合わせ、自社の回線からの作業だと確かめました。

WordPressのセキュリティ対策を続ける落とし穴｜守りを外したくなる3つの場面とSaixの実例

10項目は、入れた日がいちばん固い状態です。崩れるのは、作業が止まった日、ログインできない日、更新が怖い日です。どれも「いったん外せば早い」という場面で、外したまま戻し忘れます。Saixで実際に起きた3つを書きます。

落とし穴1：作業が止められて、WAFを切りたくなる

WAFは、攻撃に似た形の通信を止めます。正しい作業でも、似た形なら止まります。そのとき作業する側は、たいてい「一時的にWAFを切れば通ります」と言ってきます。

Saixでも、ホームページの更新作業を任せていたAIが、WAFに止められるたびに「切ってほしい」と頼んできました。そこで2026年7月、AIの作業の決まりに「WAFを止めるよう頼まない。止められたら、作業の手順の側を変える」と書きました。確かめると、止めずに済む手順は毎回ありました。

数分だけなら安全、は確率が低いだけです。切ってよいかを決めるのは、作業する側ではなく、サイトを持っている会社です。制作会社に保守を任せているなら、契約の前に「WAFは止めない」と伝えておきます。

関連資料：「Claude Code 事故防止プロンプト集」（PDF・無料）を配布しています。

落とし穴2：認証アプリの登録が消えてログインできず、2段階認証を外したくなる

Saixは2026年10月、会社のホームページの管理者のログインに2段階認証を入れました。10月31日、スマホの認証アプリに登録した行が消えていて、予備のコードも保存していなかったため、管理者が管理画面に入れなくなりました。

いちばん早い直し方は、2段階認証そのものを外すことです。Saixはそれを選ばず、2段階認証を有効にしたまま、予備のコードを作り直して入れるようにしました。2段階認証は、入れる日より、スマホを失くした日の備えのほうが大事です。

落とし穴3：更新で表示が崩れるのが怖くて止めたくなる｜リスクの低い順に1つずつ上げる

工務店の施工事例のページのように、見た目に手をかけたサイトほど、更新で崩れるのが怖くなります。怖いので後回しにし、溜まった更新がさらに怖くなります。

Saixは2026年8月、溜まっていた13件の更新を一度に上げず、リスクの低い順に7段へ分けました。止めているプラグイン、表示に出ない裏方のプラグイン、検索の表示に効くもの、ページの転送に効くもの、フォーム、使っていないテーマ、最後に見た目を決めるテーマです。

1つ上げるごとに、主要なページが正しく返ってくるか、ページの大きさ、部品の数を更新の前と比べました。崩れたときに原因がすぐ分かる順に並べれば、更新は怖くなくなります。いまは公式配布の部品を自動更新にし、溜まらないようにしています。

WordPressのセキュリティ対策と改ざん時の復旧手順｜発見直後・再公開前・再公開後の順に動く

改ざんに気づいたら、上の3段の順に動きます。発見直後に止めて連絡し、再公開の前に戻して塞ぎ、再公開した後も見張ります。その日のうちに元通りにすることより、安全を確かめるまで公開しないことを優先します。

発見直後：記録・連絡と並行して公開と不正なログインを止め、パスワードを変える

最初にやるのは記録です。おかしな表示の画面を撮り、気づいた時刻と、誰から聞いたかを書き留めます。WordPress公式のハッキングの案内も、最初の行動は記録だと書いています。

記録と並行して、サーバー会社と制作会社に連絡し、サイトを一時的に止めるか、メンテナンスの表示に切り替えてもらいます。訪問者を別のサイトへ飛ばす改ざんなら、開いた人に被害が広がるからです。

あわせて、管理画面・サーバーの管理画面・ファイルを置く接続・データベースのパスワードを全部変えます。公式の案内では、設定ファイルの秘密の鍵を作り直すと、ログインしたままの人も追い出せます。これは制作会社に頼みます。

関連資料：「Claude Code 事故防止プロンプト集」（PDF・無料）を配布しています。

再公開前：きれいな状態へ戻してから侵入口を塞ぎ、パスワードを再変更して安全を確かめる

次に、改ざんされる前のバックアップへ戻します。項目8で確かめた画面です。ただし、戻しただけでは、入られた穴は開いたままです。戻した後に、古い部品を更新し、知らない管理者や見覚えのないプラグインを消して、入口を塞ぎます。

塞いだら、パスワードをもう一度変えます。公式の案内も、サイトがきれいになったことを確かめた後に、もう一度変えるよう書いています。サイトヘルスと無料の診断で外から見え方を確かめ、問題が無ければ再公開します。

直す順は、WordPress公式：サイトがハッキングされたときに沿って制作会社と確かめます。管理者・プラグイン・画像の置き場の見方は、PHP2Shell対策の記事の点検の章と同じです。

再公開後：再侵入を見張り、異常があれば再び止める。相談先はIPAの窓口とJPCERT/CC

再公開した後の数週間は、同じ入口から戻ってこないかを見張ります。サイトヘルス、サーバー会社の知らせ、検索結果での表示を、いつもより頻繁に見ます。おかしな点があれば、ためらわずにもう一度止めます。

自社と制作会社だけで判断できないときは、公的な窓口に相談できます。事業者向けにはIPAの不正アクセス特別相談窓口があり、初めの対応の助言を受けられます。改ざんの報告は、JPCERT/CC（日本の情報セキュリティの調整機関）が受け付けています。

JPCERT/CCは、記録の残し方・緊急時の手順・連絡先を、前もって確かめておくよう勧めています。連絡先の1枚は、被害が出る前に作っておきます。出典はJPCERT/CC：Webサイトへのサイバー攻撃に備えてです。

ゴール：サーバー会社・制作会社・社内の担当の連絡先と、最初に止める・変える・戻すの手順が1枚にまとまり、自動バックアップの日数と戻し方を確かめてある状態になっていればOKです

再公開の前に、外から見える側も点検します。サイトを守る設定や、なりすましメールを防ぐ設定が入っているかを、URLを入れて確かめられます。サイトとメールの守りを無料で診断する

WordPressのセキュリティ対策でよくある質問

Q. セキュリティプラグインを入れれば情報漏洩は防げますか

プラグインだけでは防げません。漏洩の多くは、古い部品や弱いパスワードからの侵入で起きるため、自動更新・管理者の整理・2段階認証が先です。プラグインは、サーバーにWAFやログインの制限が無いときに、足りない機能を1本で補うものと考えてください。

Q. 更新の確認は何を、どのくらいの頻度で見ればよいですか

自動更新にしたうえで、月に1回は更新の画面とサイトヘルスで版と指摘を目で見ます。JPCERT/CCは、版の確認を数週間から1か月に1回、ファイルが改ざんされていないかの確認を1週間に1回程度と案内しています。見る人と日付を先に決めておくと続きます。

Q. 無料でどこまで対策できますか

表側の5つは、WordPressの機能と公式配布のプラグインで、追加の費用なしにできます。裏側のWAFやバックアップは、契約しているサーバーの機能を先に確かめ、追加料金の有無は各社の案内で見ます。外からの見え方は、Saixの無料のセキュリティ診断でも確かめられます。

WordPressのセキュリティ対策のまとめ｜自動で塞ぐ・入口を絞る・戻せる状態にする

WordPressのセキュリティ対策は、10項目に分けると半分は今日の管理画面で終わります。自動更新にし、使わない部品を消し、管理者を絞って2段階認証を入れる。残りの半分は、サーバーの画面と制作会社で確かめる作業です。

入れた後に崩れるのは、作業が止まった日、ログインできない日、更新が怖い日です。WAFは切らずに作業の手順を変え、2段階認証は外さずに予備のコードで入り、更新はリスクの低い順に1つずつ上げる。外さずに済む手順を、入れる日に一緒に決めておきます。

次の一手は、10項目の表を制作会社に渡し、担当に印を付けてもらうことです。

サーバー本体の脆弱性への動き方はPHP2Shell対策の3ステップと自社の対応記録に、AIを会社で使うときの守りはClaude Codeのセキュリティ設計にまとめています。自社の体制に当てはめて決めたいときは、30分の無料個別相談をご利用ください。