WordPressのセキュリティ対策 – 更新・WAF・バックアップ・改ざん検知を保守の中で

WordPressのセキュリティが狙われやすい理由

WordPressは世界中で使われているCMSで、本体もプラグインも仕組みが公開されています。そのため、ひとつの脆弱性が見つかると、同じプラグインを使うサイトが機械的に一斉に探され、攻撃を受けます。会社の規模や知名度は関係なく、小さなお店のホームページも同じように対象になります。

WordPressの脆弱性の多くは、本体よりもプラグインやテーマで見つかっています。被害が起きやすいのは、次のような状態のサイトです。

• プラグインやテーマが数か月以上更新されていない
• 使っていないプラグインやテーマが残ったまま
• 開発が止まり、配布ページで更新が途絶えたプラグインを使っている
• 管理者のユーザー名が「admin」や会社名など推測しやすいもの
• サーバーのPHPが古いバージョンのまま
• バックアップがサーバー内にしかない、または取っていない

まずは管理画面の「プラグイン」と「更新」の画面を開き、更新待ちの数と、使っていないものがいくつあるかを数えてみてください。それだけで、今のサイトの危うさがおおよそ見えてきます。

ホームページのセキュリティ事故で起きること

ホームページのセキュリティ事故は、サイトが表示されなくなるだけにとどまりません。気づかないうちに、お客様や取引先に影響が広がることがあります。

• 改ざん：見覚えのないページや、海外の通販サイト・ギャンブルサイトへの転送が仕込まれる
• 検索結果への影響：Googleから警告が表示され、検索結果やブラウザで「危険なサイト」と案内される
• 情報の流出：問い合わせフォームの内容や会員情報が抜き取られる
• 迷惑メールの踏み台：サーバーからスパムが送られ、自社のメールが届きにくくなる
• サーバーの停止：レンタルサーバー会社に利用を止められ、メールも含めて使えなくなる

改ざんは、トップページは普段どおりに見えて、検索から来た人やスマホからのアクセスだけを別のサイトへ飛ばす形で仕込まれることも多く、運営側がいちばん後に気づくケースが少なくありません。すでに怪しい表示や警告が出ている場合は、WordPressの改ざん復旧の手順を先にご確認ください。

今日からできるWordPressセキュリティ対策の基本

WordPressのセキュリティ対策は、特別な道具を入れる前に、基本をきちんと押さえることが効果的です。次の項目を上から順に確認していくと、多くのリスクを減らせます。

• 更新：WordPress本体・プラグイン・テーマを最新に保つ。更新前にバックアップを取り、更新後に表示とフォームを確認する
• 整理：使っていないプラグインとテーマは削除する。更新が長く止まっているプラグインは代わりを探す
• ログインの保護：推測されにくいユーザー名と長いパスワード、二段階認証、ログイン試行回数の制限を設定する
• 権限の見直し：退職者や制作会社のアカウントを残さず、更新担当には必要な権限だけを付ける
• サーバー側の設定：PHPを提供元がサポートしているバージョンにし、SSLで全ページをhttpsにする
• フォームの守り：問い合わせフォームにスパム対策（reCAPTCHAなど）を入れ、届いたメールに個人情報を残しすぎない

httpsへの切り替えがまだの場合は、SSL化の進め方で手順と注意点をまとめています。どれも一度設定すれば終わる項目と、毎月見直す項目があるため、次に紹介するWAFやバックアップとあわせて、保守の予定に組み込んでおくのがおすすめです。

WAF・バックアップ・改ざん検知で「もしも」に備える

基本の対策で入口を固めたら、次は攻撃を手前で止める仕組みと、万一のときに早く気づいて元に戻せる仕組みを用意します。この3つがそろうと、被害を小さく抑えられます。

• WAF：不正な通信をサイトに届く前に止める仕組み。国内の多くのレンタルサーバーには管理画面からオンにできるWAF機能があり、Cloudflareなどのクラウド型WAFを前に置く方法もあります
• バックアップ：ファイルとデータベースを毎日自動で取り、数世代分を残す。保存先はサーバーの外にも用意し、年に数回は実際に復元できるかを試しておく
• 改ざん検知：ファイルの変更を監視して通知するプラグインやサービスを使い、Google Search Consoleで「セキュリティの問題」の通知を受け取れるようにしておく
• 死活監視：サイトが表示されなくなったときに、すぐ通知が届くよう外部の監視を設定する

WAFは正しい操作まで止めてしまうことがあるため、オンにした後はお問い合わせフォームや管理画面の保存がふだんどおり動くかを必ず確かめます。サイト改ざん対策は「防ぐ」「気づく」「戻す」の3段階でそろえると考えると、今のサイトに足りないものが見つけやすくなります。

セキュリティは保守の中で続けるもの

セキュリティ対策の効果を保てるかどうかは、日々の運用で決まります。担当者が忙しい時期に更新が止まり、その間に脆弱性が公開される、というのが被害のよくある流れです。社内で管理する場合も、外部に任せる場合も、次のような決まった流れを作っておくと安心です。

• 毎週：更新の有無と、改ざん検知・監視の通知を確認する
• 毎月：バックアップを取ったうえで本体・プラグイン・テーマを更新し、主要ページとフォームを点検する
• 数か月ごと：ユーザーと権限、使っていないプラグイン、PHPのバージョンを見直す
• 年に1〜2回：バックアップから実際に復元する練習をし、サーバーとドメインの契約情報を確認する

サーバー、ドメイン、管理画面のログイン情報は、会社の名義と管理のもとに置いておくことが大切です。制作会社しか把握していない状態だと、事故のときに連絡がつかず、対応が遅れてしまいます。更新作業を含めた運用の任せ方は、WordPressの保守のページで詳しくご紹介しています。

UNANOBOのセキュリティ対策：状態の確認から保守まで一人の窓口で

UNANOBOでは、まず今のサイトのURLをお送りいただき、外から確認できる範囲でWordPressのバージョンやSSL、表示の状態を拝見します。そのうえで、守りを整えたあとのサイトの姿を無料デモとしてお作りします。古いテーマやプラグインに頼っている部分を整理した構成も、実際の画面で確認していただけます。

流れは「無料デモ → フィードバック → 公開 → 成長」です。公開後は、更新、バックアップ、WAFの設定、改ざん検知の通知確認を保守の中で続け、気になる変化があればメッセージでご報告します。代表が最初から最後まで担当し、やり取りは日本語・英語のどちらでも対応します。WordPress以外のサイトでも、同じ考え方で守りを整えられます。