WordPressのセキュリティ対策：必須設定と放置のリスク

WordPressサイトのセキュリティは、プラグインを一つ追加して終わるものではありません。本体・テーマ・プラグインの更新に加え、管理者アカウント、サーバー、ドメイン、フォーム連携、バックアップ、緊急連絡先まで管理できているかが、被害の起こりやすさと復旧のしやすさを左右します。

この記事では、BtoBサイトで優先して確認したい対策と運用の決め方、改ざんや乗っ取りが疑われる場合の初動、保守を委託する際の確認事項を整理します。読後には、未対応項目・担当範囲・侵害時の初動準備を整理できるようになります。

WordPressのセキュリティは、管理画面だけでなく、サーバー、ドメイン、フォーム、外部連携を含めて継続的に管理します。

01SectionWordPressの対策を放置すると、BtoBサイトにどんな影響が出るか

WordPressを使っていること自体が、直ちに危険という意味ではありません。リスクが高まるのは、未更新の本体・テーマ・プラグイン、管理が不十分な認証情報、過剰な権限、用途不明の追加機能、サーバーや外部連携の管理漏れが重なる場合です。WordPress公式も、基本的な予防策と継続的なハードニング（安全性を高めるための設定・運用）を案内しています。WordPress公式のハードニングガイドも確認しましょう。

WordPressに関係する攻撃面と、周辺環境の管理対象

WordPress管理画面で扱う本体・テーマ・プラグイン・利用者アカウントは、まず棚卸しすべき対象です。サイトの安全性はWordPressだけで完結しません。サーバー上のPHP、DNS、メール、フォーム、CRM・MAなどの外部連携も、影響範囲を広げる要因になり得ます。

たとえば、DNSの変更権限やフォーム送信先の管理者が不明であれば、緊急時に必要な操作や確認を進められません。対策は「どの機能を入れるか」より先に、「どの資産を誰が管理しているか」を明らかにすることから始まります。

改ざん・不正ログインが業務に及ぼす影響

BtoBサイトでは、サイト表示の異常だけでなく、営業・マーケティングの導線が止まることが問題になります。代表的には、次のような影響が考えられます。

• 改ざんや不正ページにより、見込み顧客に不審な表示や外部誘導が起きる
• 問い合わせフォームや資料請求の送信先が変わり、商談機会を逃す
• CRM・MAなどの外部連携が停止し、営業・マーケティング活動に支障が出る
• 入力情報の第三者送信が疑われ、影響範囲の調査や対外対応が必要になる
• 復旧作業のために公開を制限し、信用や情報発信に影響が及ぶ

優先度は、問い合わせフォーム、資料ダウンロード、会員機能、重要な外部連携を持つか、管理者権限が適切か、復元テストを実施できるかによって変わります。Webサイト全体で確認したい基礎対策は、Webサイト全般の対策もあわせて確認してください。

02Section最初の30分で確認する場所：管理画面・サーバー・ドメイン・契約書

設定変更を始める前に、管理対象と管理権限、契約先、緊急連絡先を短時間で把握します。この時点で対策の実施まで終える必要はありません。「誰が、どこを確認できるか」を特定することが目的です。

WordPressのサイトヘルス機能では、更新状態、テーマ・プラグイン、サーバー構成などの確認に役立つ情報を見られます。WordPress公式のSite Healthの案内を参考に、管理画面で見える範囲を確認しましょう。ただし、サーバー設定やDNS、バックアップ保管先は別の管理画面や契約先で管理されている場合があります。

ここで重要なのは、WordPressの管理者権限と、サーバー・ドメインの契約権限を同じものと考えないことです。管理画面へログインできても、サーバー設定の変更やDNSの確認、バックアップの取得・復元を行えるとは限りません。確認できない領域は、先に契約名義と管理権限を特定します。

03SectionWordPressで優先する必須セキュリティ対策

必須対策は導入や設定だけで終わらせず、確認者・連絡先・復旧手順まで決めて運用します。

優先すべき対策は、設定の有無だけでは完了といえません。対象資産、確認者、異常時の連絡先、必要に応じて復旧できる担当まで明確になって、はじめて運用できる状態になります。

更新は本体だけで終わらせない

WordPress本体、テーマ、プラグインは、それぞれ更新対象です。本体更新の確認方法はWordPress公式の更新手順で確認できます。自動更新を使う場合も、対象ごとの有効・無効、失敗通知の送付先、更新後にフォームや主要ページを確認する担当を決めておく必要があります。

PHPの更新はサーバー側で行うことが多く、管理画面だけでは実施できない場合があります。更新前に互換性、検証環境、ロールバック（変更前の状態へ戻すこと）の可否を確認します。

ログイン保護と権限は、実装場所を確認する

WordPressでは、役割ごとにできる操作を分けられます。WordPress公式の権限・ロールの説明を参照し、管理者権限を必要最小限に絞りましょう。退職者、委託終了者、用途不明・共有のアカウントは優先して確認します。

多要素認証、ログイン試行制限、アクセス制限、WAF、ログ保管は、サーバー、認証基盤、追加機能、保守作業で提供される場合があります。設定方法を急ぐ前に、すでにどこで実装されているか、誰が変更権限を持つかを確認してください。

バックアップ・不要資産・点検を運用に組み込む

バックアップは「取得している」だけでは不十分です。復元対象にWordPressファイルとデータベースが含まれているか、復元できる担当者がいるか、重要な変更前や構成変更後に復元可能性を確認できるかが重要です。また、不要なテーマやプラグイン、利用目的が不明なアカウントは、依存関係や独自改修、復旧時の必要性を確認したうえで整理します。

04Sectionセキュリティプラグインは何を補い、何を代替できないか

セキュリティ用の追加機能は、ログイン保護や変更検知を補助できますが、運用を不要にするものではありません。プラグイン自体も更新・互換性・障害切り分けの対象です。WordPress公式のプラグイン管理ガイドを参照し、継続管理する前提で判断します。

セキュリティ用プラグインの代表例としては、Wordfence Security、SiteGuard WP Plugin、Solid Security（旧iThemes Security）などが、WordPress公式プラグインディレクトリで配布状況・更新状況・利用規模を確認できる、よく使われる例として知られています。いずれもログイン保護やスキャンなどの機能を持ちますが、対応範囲や無償版・有償版の差はプラグインごとに異なります。この列挙は代表例の紹介であり、特定のプラグインの推奨や機能比較を意図するものではありません。導入の判断は、以下の観点で自社の構成・運用体制と照合してください。

プラグインは必須対策を補う手段です。導入前後は、次の順番で確認しましょう。

05Section更新とバックアップを継続運用するためのルール

更新は一定間隔で機械的に行うだけではなく、影響と検証体制に応じて判断します。緊急性の高い更新、定例で扱う更新、大きな構成変更を伴う更新を分けると、承認や検証の抜け漏れを減らせます。

更新を保留する場合は、対象とバージョン、保留理由、影響を受ける機能、代替策、再確認日、承認者を残します。保留は「何もしない」判断ではなく、リスクを把握したうえで再判断する予定を持つ運用です。

バックアップ頻度は、復旧要件から決める

バックアップ頻度は固定値で決められません。許容できるデータ損失、更新量、フォームや会員情報の重要性、許容停止時間、保持世代数、復元体制を踏まえて決めます。

復元データには、データベースだけでなくWordPressファイルも含める必要があります。両者の復旧対象が異なる点は、WordPress公式のバックアップ解説で確認できます。復元データとは別に、サーバー・ドメイン・DNS・メール・外部連携の契約先、管理権限、緊急連絡先を記した管理台帳を管理してください。

復元テストは、重要更新前、大きな構成変更後、担当者や委託先の変更時、定期点検時などに予定化します。バックアップの設計と復元確認を深める場合は、バックアップ運用も参照してください。

06Section乗っ取り・改ざんが疑われるときの初動

改ざんが疑われる場合は、記録と証跡保全を踏まえ、責任者・技術担当・保守担当で被害抑止と復旧の順序を判断します。

意図しない投稿や管理者追加、不審な転送、不正ページ、検索結果の異常、フォーム送信先の変更などを見つけたら、復旧を急ぐ前に事実を記録し、責任者と技術担当を起動します。IPAのセキュリティインシデント対応の手引きでも、検知から初動、証拠保全、復旧、再発防止までを段階的に整理しています。

公開停止、隔離、認証情報の変更、ログ取得、復元の具体的な順序は一律ではありません。被害の継続性、利用者への影響、ログ取得の可否、サーバー構成、保守契約の支援範囲に応じて決めます。

保守先やサーバー契約先が分からない場合は、保守契約書、請求書、制作時の引継ぎ資料、社内の資産・アカウント台帳、ドメイン・サーバー管理画面の登録メール、経理の支払先記録から確認します。自社での対応が難しい場合は、IPAのサイバーセキュリティ相談・届出窓口一覧も確認先になります。

07Section自社対応か外部委託か：保守の依頼・検収・運用で確認すること

委託範囲は契約前にそろえ、検収時に権限・手順を受け取り、運用中も更新・復元・緊急対応の記録を確認します。

自社対応か外部委託かは、サイト規模だけでなく、管理権限、更新・検証・復元を実施できる人員、緊急連絡先、代替担当者、重要導線の確認体制を持てるかで決めます。これらを継続的に担えない場合、またはサーバー・ドメインの契約先や管理権限が不明な場合は、外部支援を検討する価値があります。

契約前は依頼範囲をそろえる段階、制作・改修の検収時は権限・手順・成果物を受け取る段階、運用中は未適用更新や復元確認、対応履歴を見直す段階です。詳しい保守範囲の考え方は、WordPress保守も参考にしてください。

保守費用や復旧に要する時間は、公開情報だけでは同じ条件で比較しにくい領域です。対象資産、対応時間、監視、調査、復旧、検証、追加費用の発生条件をそろえ、複数の委託候補へ個別見積もりを依頼してください。IPAが案内する中小企業の情報セキュリティ対策ガイドラインも、資産管理や対応体制を継続的な管理事項として検討する際の参考になります。

WordPressの保守・セキュリティ対応を相談したい場合

更新、権限管理、バックアップ・復元、緊急時の連絡体制を継続して担うことが難しい場合は、対応範囲や管理権限の分担を整理したうえで、WordPressの制作・保守に対応できる事業者を比較できます。

WordPress制作・保守2949社掲載

WordPress制作・保守の相談先を探す