WordPressセキュリティ対策 〜実践チェックリストと設定ガイド〜

この記事では、 WordPressサイトを運営する担当者が

「今日から具体的に何を設定し、どう運用すべきか」

を解説する実践ガイドです。

独立行政法人情報処理推進機構（IPA）でも、「安全なウェブサイトの作り方」等のガイドラインにて、Webサイトの脆弱性対策の重要性が強調されており、具体的な対策の実装が急務となっています。

なお、 攻撃手法のトレンドや「なぜ多層防御が必要なのか」 といった戦略的な全体像については、 以下の記事で体系的に解説しています。 本記事と合わせて参照することで、 より盤石なセキュリティ体制を構築できます。

それでは早速、見ていきましょう。

1. レベル別セキュリティ対策チェックリスト

現在のサイト状況に合わせて、優先的に実施すべき項目をレベル別に整理しました。

まずはレベル1の完遂を目指してください。

レベル1：今日からでもすぐやるべき必須対策！！！

レベル2：今週中に実施！！

レベル3：今月中に整備！

2. 推奨プラグイン組み合わせパターン

次はプラグインです。「どのプラグインを利用するのがいいのか？」は永遠の課題ではないでしょうか。

回答としては、サイト規模やサイト状況によって変わります。機能重複（競合）を避けつつ、最大限の効果を得るための組み合わせ例を紹介します。

もちろん、プラグインだけで全てを対応する必要はなく、サーバ側の機能や利用しているサービスの機能を利用する形で実現することも可能です。

パターンA：個人ブログ・小規模サイト向け（無料・軽快）

パターンB：ECサイト・企業サイト向け（堅牢性・運用性重視）

3. 設定ファイルのセキュリティ強化例

続いて、プラグインだけでなく、設定ファイル（.htaccessやwp-config.php）を直接編集することで、より強固なセキュリティを実現できます。 ※編集前には必ずバックアップを取得してください。

.htaccess によるセキュリティ強化（Apache/LiteSpeed）

以下のコードを .htaccess ファイルの末尾（# END WordPress の後など）に追加します。

1. wp-config.php へのアクセスを遮断

<files wp-config.php>
order deny,allow
Deny from all
</files>

2. ディレクトリ一覧表示（Index表示）の禁止

ファイルが存在しないディレクトリにアクセスされた際、ファイル一覧が見えてしまうのを防ぎます。

Options -Indexes

3. XML-RPCへのアクセス遮断

<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

4. 特定のIPアドレスのみ管理画面へのアクセスを許可

※ 固定IPアドレスを持っている場合のみ推奨
※ 203.0.113.1 はサンプルです。自社の固定IP（グローバルIP）に置き換えてください。

<Files wp-login.php>
Order Deny,Allow
Deny from all
Allow from 203.0.113.1
</Files>

nginx でのセキュリティ設定

nginxサーバーは、高速な動作が特徴のWebサーバで、プライム・ストラテジーのKUSANAGIでも推奨しています。しかし、おなじみの .htaccess が使えません。

（ちなみに、少し技術的な部分に踏み込むと、KUSANAGIは、Apacheとnginxのどちらも利用ができ、組み合わせることも可能です。 参考：httpd-behind-nginxでNginxとApache HTTP Serverをいいとこ取りする ）

そのため、以下の設定を nginx の設定ファイル（通常 /etc/nginx/sites-available/サイト名 または /etc/nginx/nginx.conf）の server { … } ブロック内に記述します。

※設定後は必ず sudo nginx -t で構文チェックを行い、sudo systemctl reload nginx で反映してください。

1. wp-config.php へのアクセスを遮断

location ~* /wp-config.php {
deny all;
}

2. ディレクトリ一覧表示（Index表示）の禁止

autoindex off;

3. XML-RPCへのアクセス遮断

location = /xmlrpc.php {
    deny all;
}

4. 特定のIPアドレスのみ管理画面へのアクセスを許可

※ 固定IPアドレスを持っている場合のみ推奨
※ location = /wp-login.php は特異性が高く、既存の location ~ .php$ より優先されます。 そのため、このブロック内でも PHP（php-fpm）に渡す設定 を引き継がないと、ログイン画面が表示できなくなることがあります。
※ 以下の例はそのままコピペしないでください（環境依存）
　- fastcgi_pass のソケット/ホスト名は環境により異なります（例：/run/php/php8.2-fpm.sock）。
　- 多くの環境では include fastcgi_params; よりも include snippets/fastcgi-php.conf; を使う構成が一般的です（ディストリにより異なる）。
　- 反映前に必ず sudo nginx -t を実行し、成功してから sudo systemctl reload nginx を実行してください。
　- 203.0.113.1 はサンプルです。自社の固定IP（グローバルIP）に置き換えてください。

location = /wp-login.php {
    allow 203.0.113.1;
    deny all;

    # ▼ここから下は "皆さまの環境の既存設定" に合わせて調整
    include snippets/fastcgi-php.conf;  # ない場合は fastcgi_params 等を使用
    fastcgi_pass unix:/run/php/php8.2-fpm.sock; # 例：環境に合わせて変更
}

参考：
https://www.cyberciti.biz/faq/nginx-block-url-access-all-except-one-ip-address/
https://nginx.org/en/docs/http/ngx_http_access_module.html
https://nginx.org/en/docs/ngx_core_module.html#include
https://nginx.org/en/docs/http/ngx_http_fastcgi_module.html#fastcgi_pass

5. 管理画面ディレクトリ全体へのIP制限

location /wp-admin/ {
    allow 203.0.113.1;
    deny all;
}

※ 203.0.113.1 はサンプルです。自社の固定IP（グローバルIP）に置き換えてください。

wp-config.php による設定

データベース接続情報などが記載された重要ファイルです。以下の設定を追加できます。
参考： https://developer.wordpress.org/advanced-administration/wordpress/wp-config/

管理画面でのファイル編集を無効化

WordPressダッシュボードの「テーマエディタ」「プラグインエディタ」を無効化し、侵入されてもコードを書き換えられないようにします。

define( 'DISALLOW_FILE_EDIT', true );

SSL強制（管理画面・ログイン画面）

define( 'FORCE_SSL_ADMIN', true );

適切なパーミッション設定（SSHコマンド例）

SSHでサーバーに接続できる場合、以下のコマンドで推奨パーミッションを一括設定できます。

一括変更前の注意

• 所有者（chown）が適切でないと、更新・アップロードが失敗することがあります。権限（chmod）だけでなく所有者も確認してください。
• wp-content/uploads など書き込みが必要なディレクトリは、サーバー構成（PHP-FPMの実行ユーザー等）によって例外対応が必要になる場合があります。

# ディレクトリを755に設定
find /path/to/wordpress -type d -exec chmod 755 {} \;

# ファイルを644に設定
find /path/to/wordpress -type f -exec chmod 644 {} \;

# wp-config.phpを440に設定
chmod 440 /path/to/wordpress/wp-config.php

参考：https://developer.wordpress.org/advanced-administration/server/file-permissions/

4. トラブルシューティング集

続いて、WordPressのセキュリティ対策を実施する中で発生しがちなトラブルと、その対処法をまとめました。

ケース1：プラグインでログインURLを変更したが、新しいURLを忘れてしまった

ケース2：プラグインなどのアップデート後に画面が真っ白になった

※今の時代では、トラブルシューティングは生成AI（Gemini や ChatGPTなど）に聞いてみるのも良い手法です！

ケース3：自分自身のIPアドレスがロックされてログインできない

ケース4：nginx設定の編集ミスでサイトが表示されなくなった

# 構文チェック
sudo nginx -t

# エラー例：
# nginx: [emerg] unexpected "}" in /etc/nginx/sites-available/example.com:45
# nginx: configuration file /etc/nginx/nginx.conf test failed

※ nginx設定を編集する前の必須作業として、必ず以下の手順を踏んでください：

1. 現在の設定ファイルをバックアップ：以下例です。
   sudo cp /etc/nginx/sites-available/サイト名 /etc/nginx/sites-available/サイト名.backup
2. 編集後、必ず構文チェック：sudo nginx -t
3. 構文チェックが成功してから反映：sudo systemctl reload nginx

※ 参考：https://nginx.org/en/docs/beginners_guide.html

5. WordPressセキュリティ運用カレンダー

セキュリティは継続的な運用が命です。そこで目処となるスケジュールをお示しいたします。ご参考に、点検を行ってください。

6. セキュリティ自己診断チェックリスト（全40項目）

最後に、自社サイトのセキュリティ状況を網羅的に確認するための詳細チェックリストを掲載します。定期的な監査にご活用ください。

まとめ

本記事では、WordPressセキュリティの実践的な設定手順とチェックリストを紹介しました。これらの対策を一つずつ確実に実施することで、サイトの安全性は格段に向上します。

しかし、攻撃手法は日々進化しています。より長期的な視点でのセキュリティ戦略や、組織としての運用体制、あるいは「KUSANAGI」のようなセキュアなインフラの活用については、以下も本記事の実装ガイドと合わせて、ぜひご一読ください。

また、「これらの対策、なかなか自社だけだと難しい。サイトたくさんあって対応が現実的ではないかも。」という方には、プライム・ストラテジーが企業様のWordPressサイトからサーバ運用までをフルマネージドする「KUSANAGIマネージドサービス」もございます。気になる方は一度ページをご覧いただき、ご質問等はぜひお問い合わせください。

「まだ全然どうするか決まってないけど相談してよいのだろうか？」という方も大歓迎です。お話しいただくことで状況が整理されて次の行動につながると思います。

執筆者/穂苅 智哉（プライム・ストラテジー株式会社  マーケティング＆セールス部 マーケティング室 室長）

2016年からプライム・ストラテジーに入社し、営業・ディレクター・マーケティング・アライアンスを経験。
2021年から、外資IT企業にてパートナービジネスを担当する、Partner Development Managerとして、数十のパートナー企業様を担当し、双方のビジネス拡大のために活動。
2025年から、再びプライム・ストラテジーにてマーケティング室 室長として社内マーケやパートナープログラムなどを担当。

仕事以外では、旅行、釣り、ロードバイク、ドライブ、温泉・サウナ、ジャズ、カフェ巡りなどアクティブ派。今年はパラグライダーとキャンプをやってみたい。

主な著書：WordPressの教科書5.x対応版、WordPressの教科書6.x対応版