セキュリティ対策と保守

WordPressセキュリティ — サイトを守る5層防御の実装手順

WordPressは世界中のウェブサイトの約43%（2024年時点）で使われているCMSです。その普及率の高さゆえに、自動化された攻撃ツールの標的になりやすいという特性があります。毎日何万件ものWordPressサイトがスキャンされ、脆弱性を抱えたサイトへの攻撃が試みられています。セキュリティは「攻撃されてから考えること」ではなく、サイト構築時から組み込む必要があります。このレッスンでは、Wordfenceによるファイアウォール設定、UpdraftPlusによるバックアップ自動化、更新管理ルール、2要素認証（2FA）、ログインURL変更という5つの防御層を順に実装します。

WordPressセキュリティ — 5層防御アーキテクチャ

---

Wordfenceの設定手順

Wordfenceは世界で最も使われているWordPressセキュリティプラグインです。無料版でも、ファイアウォール（WAF）・マルウェアスキャン・ログイン試行制限・IPブロックの機能が利用できます。

Wordfenceのインストールと初期設定

1. ◆管理画面 → 「プラグイン」→「新規追加」→「Wordfence」を検索してインストール・有効化
2. ◆有効化すると「Wordfence」メニューが管理画面に追加される
3. ◆ツアー画面が表示されたら「I accept the Terms of Service and Privacy Policy」にチェックしてメールアドレスを入力（無料版では必須）
4. ◆「Continue」をクリックしてダッシュボードに進む

ファイアウォールの設定

1. ◆管理画面 → 「Wordfence」→「Firewall」を開く
2. ◆「Firewall Status」が「Learning Mode」になっていたら、1週間後に「Enabled and Protecting」に変更する（学習期間中は本番サイトの通常リクエストを学習させる）
3. ◆「Brute Force Protection」の設定:
   • ◆「Lock out after how many login failures」→ 5回に設定
   • ◆「Count failures over what time period」→ 4時間に設定
   • ◆「Amount of time a user is locked out」→ 4時間に設定
4. ◆「Rate Limiting」→「Enable Rate Limiting and Advanced Blocking」をONにする

スキャン設定

1. ◆管理画面 → 「Wordfence」→「Scan」を開く
2. ◆「Manage Scan」→「Scanning Options and Scheduling」を開く
3. ◆「Schedule」で自動スキャンの頻度を「Weekly（週1回）」に設定する（有料版では日次スキャンが可能）
4. ◆最初の手動スキャンを「Start New Scan」ボタンで実行し、結果を確認する

💡 Wordfenceのスキャンは、WordPressのコアファイル・プラグイン・テーマが公式リポジトリのファイルと改ざんされていないかを比較します。スキャン結果に「Critical」や「High」の問題が表示された場合は即座に対処してください。

---

UpdraftPlusによるバックアップ自動化

バックアップは「取っておけばよかった」と思う前に設定するものです。UpdraftPlusは最も信頼性の高いWordPressバックアッププラグインで、無料版でもGoogle Drive・Dropbox・Amazon S3などのクラウドストレージへの自動バックアップが可能です。

UpdraftPlusのインストールと設定

1. ◆管理画面 → 「プラグイン」→「新規追加」→「UpdraftPlus」を検索してインストール・有効化
2. ◆管理画面 → 「設定」→「UpdraftPlus Backups」を開く
3. ◆「設定」タブ → バックアップスケジュールを設定:
   • ◆ファイルバックアップ: 目安として「Daily（毎日）」〜「Weekly（週1回）」に設定（更新が多いサイトほど毎日に近づける）
   • ◆データベースバックアップ: 目安として「Daily（毎日）」〜「Weekly（週1回）」に設定
   • ◆保持するバックアップ数: 目安として2週間分以上（毎日なら「14」、週次なら「2〜3」）

Google Driveへの連携設定

1. ◆「リモートストレージ」セクションで「Google Drive」を選択
2. ◆「Google Driveへの認証」ボタンをクリック
3. ◆Googleアカウントでログインして権限を許可する
4. ◆認証コードをWordPressに貼り付けて「Complete Setup」をクリック
5. ◆設定を保存する

バックアップ対象として含めるべきもの:

⚠️ バックアップはサーバー上にのみ保存する設定は危険です。サーバー自体が障害を起こした場合、バックアップも失われます。必ずGoogle DriveやDropboxなどの外部ストレージに送信するよう設定してください。

バックアップからの復元手順

1. ◆管理画面 → 「設定」→ 「UpdraftPlus Backups」→「既存のバックアップ」タブ
2. ◆復元したいバックアップの行にある「復元」ボタンをクリック
3. ◆復元する対象（データベース・ファイル）を選択して「次へ」をクリック
4. ◆確認画面で「復元」をクリックして処理完了を待つ

💡 バックアップの設定後、必ず一度手動でバックアップを作成し、Google Driveに実際にファイルが届いているかを確認してください。設定ミスで「バックアップを取っているつもりが取れていなかった」というケースが多くあります。

---

更新管理ルール

WordPressのコア・プラグイン・テーマの更新は、新機能の追加だけでなく、セキュリティ脆弱性の修正を含みます。「更新が面倒だから後回し」という判断が、サイト乗っ取りの直接原因になることがあります。

推奨する更新管理ルール

WordPressコアの更新:

• ◆マイナーバージョン（6.x.1 → 6.x.2 などのセキュリティ修正）は自動更新をONにする
• ◆メジャーバージョン（6.4 → 6.5 などの機能追加）は手動で確認してから更新する
• ◆自動更新の有効化: 管理画面 → 「ダッシュボード」→「更新」→「自動更新を有効化（マイナーリリースのみ）」

プラグインの更新:

• ◆月に1回、すべてのプラグインを手動で更新する日を決める（例: 毎月第1月曜日）
• ◆更新前に必ずUpdraftPlusで手動バックアップを作成する
• ◆プラグインを1件ずつ更新して、サイトが正常に動作することをブラウザで確認する
• ◆更新後に表示が崩れた場合は、直前のバックアップから復元する

放置プラグインの削除:

• ◆使っていないプラグインは「無効化」ではなく「削除」する
• ◆無効化されたプラグインでも、脆弱なファイルがサーバー上に残り攻撃の標的になる
• ◆最終更新から半年以上経ったプラグインは注意し、1年以上更新が止まっているものは代替を検討する

⚠️ 「最終更新: 3年前」のプラグインは危険信号です。WordPressの最新バージョンと互換性がない可能性があるだけでなく、脆弱性が発見されてもパッチが当たらないリスクがあります。

---

2要素認証（2FA）の設定

2要素認証（Two-Factor Authentication / 2FA）とは、パスワードに加えてスマートフォンのアプリで生成されるワンタイムパスワードを入力することでログインを完了する仕組みです。パスワードが流出しても、2FAがあれば不正ログインを防げます。

WP 2FA プラグインでの設定手順

1. ◆管理画面 → 「プラグイン」→「新規追加」→「WP 2FA」を検索してインストール・有効化
2. ◆有効化後、設定ウィザードが起動する（「Let's Get Started」をクリック）
3. ◆「Which authentication methods do you want to enable?」→「One-time password（OTP via app）」を選択
4. ◆「Which users are required to use 2FA?」→「All users」または「Administrators only」を選択（管理者のみを推奨）
5. ◆管理画面 → 「ユーザー」→「プロフィール」→「Two-Factor Authentication」セクション → 「Configure 2FA」をクリック
6. ◆QRコードが表示される → Google AuthenticatorアプリでQRコードをスキャン
7. ◆アプリに表示された6桁のコードを入力して確認

バックアップコードの保存

2FAの設定完了後に表示されるバックアップコード（8〜10個の英数字コード）は、スマートフォンを紛失した際にログインするための緊急用コードです。必ずオフラインで安全な場所に保存してください。

💡 Google Authenticatorに加え、Authyというアプリは複数デバイス間でOTPを同期できるため、機種変更時のリスクが軽減されます。法人サイトの管理にはAuthyの使用を検討してください。

---

ログインURL変更

WordPressのデフォルトのログインURLは https://yoursite.com/wp-login.php または https://yoursite.com/wp-admin/ です。自動化された攻撃ツールはこのURLに対してパスワードの総当たり攻撃（ブルートフォース攻撃）を仕掛けます。ログインURLを推測困難な文字列に変更することで、こうした攻撃のほとんどを無効化できます。

WPS Hide Login での設定手順

1. ◆管理画面 → 「プラグイン」→「新規追加」→「WPS Hide Login」を検索してインストール・有効化
2. ◆管理画面 → 「設定」→「一般」→ ページ下部に「WPS Hide Login」設定が追加されている
3. ◆「ログインURL」欄にカスタムURLを入力する（例: my-secret-access-2024 ）
4. ◆「リダイレクト URL」欄に、変更後のURLを知らないユーザーがアクセスした場合のリダイレクト先を設定する（例: 404 や / ）
5. ◆「変更を保存」をクリック
6. ◆自動的に新しいログインURLへリダイレクトされる

設定時の注意点:

• ◆新しいログインURLを必ずブックマークまたはメモしてから設定を保存する
• ◆URLは辞書に載っている単語を避け、英数字と記号を組み合わせたものにする
• ◆他の管理者ユーザーに新しいURLを共有することを忘れない

⚠️ ログインURLを変更後に忘れてしまった場合は、FTPまたはサーバーのファイルマネージャーでWPS Hide Loginプラグインフォルダを削除するとデフォルトに戻ります。Wordfenceのログインセキュリティ機能と組み合わせると、より強固な防御になります。

---

セキュリティチェックリスト

以下の表を使って、現在のサイトのセキュリティ実装状況を確認してください。

---

🏋️実践ワーク

1. ◆Wordfenceをインストールし、最初の手動スキャンを実行してください。結果にCritical/Highの問題がないか確認してください。
2. ◆UpdraftPlusをインストールして毎日自動バックアップをGoogle Driveに保存する設定を行い、手動バックアップを1回実行してGoogle Drive上にファイルが届いていることを確認してください。
3. ◆WP 2FAをインストールし、管理者アカウントにGoogle Authenticatorを使った2FAを設定してください。バックアップコードを安全な場所に保存してください。
4. ◆WPS Hide Loginをインストールし、ログインURLを変更してください。変更後のURLを必ずブックマークしてから保存してください。
5. ◆上記のセキュリティチェックリストをすべて確認し、未設定の項目をゼロにしてください。

📝まとめ

WordPressのセキュリティは単一の対策で完結するものではなく、Wordfence（侵入検知）・UpdraftPlus（バックアップ）・更新管理（脆弱性解消）・2FA（認証強化）・ログインURL変更（攻撃表面削減）の5層を組み合わせることで初めて堅固な防御が完成します。セキュリティを「後でやること」にせず、サイト公開前に5つすべてを設定する習慣をつけましょう。次のレッスンでは、こうして構築・保護されたサイトを実際に公開する前の最終チェックを行います。