WordPressセキュリティ対策の基本とおすすめプラグイン 不正アクセスや改ざんを防ぐための安全なサイト運用方法

WordPressにセキュリティ対策が必要な理由

WordPressは世界的に利用されているため、攻撃の対象になりやすいCMSです。
適切な対策を行わないと、不正ログインや改ざんのリスクがあります。

自動攻撃が多い

ログイン画面に対して機械的な攻撃が行われるケースがあります。

古いプラグインが狙われる

更新されていないプラグインは脆弱性の原因になります。

セキュリティ対策で重要なポイント

基本的な対策だけでも大きく安全性が向上します。

ログイン制限をかける

ログイン試行回数を制限することで、不正アクセスを防ぎます。

管理画面のURLを変更する

標準のログインURLを変更することで攻撃を受けにくくなります。

定期的にアップデートする

WordPress本体・テーマ・プラグインを常に最新に保ちます。

おすすめセキュリティ対策機能

プラグインで簡単に導入できる機能を紹介します。

ファイアウォール機能

不正アクセスを自動でブロックします。

ログイン試行制限

一定回数以上の失敗でアクセスを制限します。

マルウェアスキャン

サイト内の不正コードを検出できます。

基本的なコードによる対策例

ログイン保護の簡単な例です。

<?php

// ログイン試行回数制限のイメージ

?>

※実際はプラグインでの対応が一般的です。

ログイン試行回数制限の正しい実装イメージ

WordPressでは「ログイン処理」にフックをかけて制御します。

使うのは主にこの仕組みです：

ログイン成功・失敗のフック
セッション（または一時保存）
一定回数超えたらブロック

基本構造（考え方）

流れはこうです。

① ログイン失敗
↓
② 回数を保存
↓
③ 一定回数超えたら制限
↓
④ 一定時間ログイン不可

実装例（functions.php）

※これが実際に動くベースです

function login_attempt_limit($username) {

$ip = $_SERVER['REMOTE_ADDR'];

$key = 'login_attempts_' . $ip;
$attempts = get_transient($key);
if ($attempts === false) {

    $attempts = 0;

}
if ($attempts >= 5) {

    wp_die('ログイン試行回数が多すぎます。しばらく待ってください。');

}
}

add_action('wp_login_failed', 'login_attempt_limit');

ログイン失敗時にカウントを増やす処理

これもセットで必要です。

function increase_login_attempts($username) {

$ip = $_SERVER['REMOTE_ADDR'];

$key = 'login_attempts_' . $ip;
$attempts = get_transient($key);

$attempts = ($attempts === false) ? 0 : $attempts;
$attempts++;
set_transient($key, $attempts, 30 * MINUTE_IN_SECONDS);
}

add_action('wp_login_failed', 'increase_login_attempts');

成功したらリセット

ログインできたらカウントは消します。

function reset_login_attempts($user_login) {

$ip = $_SERVER['REMOTE_ADDR'];

$key = 'login_attempts_' . $ip;
delete_transient($key);
}

add_action('wp_login', 'reset_login_attempts');

この仕組みでできること

・IPごとにログイン試行を記録
・5回失敗で一時ロック
・30分後に解除

重要なポイント

完全なセキュリティではない

本格的にはプラグイン（Wordfenceなど）推奨です。

IPベースなのでVPNに弱い

攻撃者がIPを変えると回避されます。

軽いサイトなら十分効果あり

小規模サイトなら実用レベルです。

まとめ

ログイン制限の本質はこれです。

・失敗回数を保存する
・一定回数でブロックする
・時間でリセットする

WordPressでは「フック＋transient」で実装するのが基本です。

セキュリティでよくある失敗

初心者がやりがちなミスです。

プラグインを入れすぎる

逆に脆弱性や重さの原因になることがあります。

更新を放置する

最も危険な状態のひとつです。

初期設定のまま使う

攻撃対象になりやすくなります。

まとめ

WordPressのセキュリティ対策は、難しいことをする必要はありません。

・基本的な防御設定
・信頼できるプラグインの導入
・定期的な更新

これだけでも十分に安全性を高めることができます。