WP-Contentとは?WordPressで最も重要なディレクトリを徹底解説【初心者向けガイド】

自社サイトのコンテンツがどこに保存されているのか気になったことはありませんか?WordPressサイトで「wp-content」という言葉を目にして、詳しく知りたいと思った方もいるでしょう。

WordPressサイトは数多くのファイルやフォルダで構成されています。その中でも「wp-content」は最も重要なフォルダのひとつであり、サイトのコンテンツやインストール済みのテーマ・プラグインがすべて格納されています。このフォルダを誤って削除してしまうと、サイトは完全に機能しなくなります。

私たちMalCareは、ハッカーがwp-contentフォルダに不正アクセスしたことでWordPressサイトがダウンした事例を数多く見てきました。多くのサイト運営者はWordPressのバックエンドを確認することがないため、wp-contentはマルウェア注入の格好的な標的となります。さらに、ハッカーはサイトへの秘密の侵入経路となる「バックドア」をこのフォルダ内に隠すこともあります。

ハッカーがwp-contentに対して何を行いうるのかを知ると不安になるかもしれませんが、ご安心ください。

本ガイドでは、wp-contentについて知っておくべき情報をすべてわかりやすくまとめました。このフォルダの役割や使い方はもちろん、不正アクセスから守るための隠蔽方法や保護対策まで学べます。

要点: wp-contentはWordPressサイトに不可欠な存在です。確実に保護するためには、WordPressセキュリティプラグイン(MalCare)の導入をおすすめします。このプラグインはWordPressのファイルやフォルダをスキャンし、ハッカーから守ります。また、サイトのバックアップを自動的に定期的に取得し、安全な場所に保存します。

WP-Contentフォルダとは?

前述のとおり、WordPressサイトは多数のファイルとディレクトリで構成されています。wp-contentフォルダはサイト構築時にデフォルトで作成され、サイトの中核を担う最重要フォルダのひとつです。

アップロードしたすべての画像、インストールしたすべてのテーマやプラグインは、このフォルダに保存されます(詳細は次のセクションで解説します)。つまり、データベースに保存されないファイルはすべてここに格納されるのです。このフォルダが削除されるとサイトは崩壊し、ゼロから再構築しなければなりません。

通常、サイト運営者がこのフォルダを直接操作することはほとんどありません。しかし、アクセスが必要になる場面もあります。

たとえば、WordPressサイトにプラグインをインストールしたところ、使用中のWordPressバージョンとの互換性がなくサイトが正常に動作しなくなったとします。管理画面から無効化できない場合、wp-contentフォルダに直接アクセスしてプラグインを削除することで、サイトへのアクセスを復旧できるのです。

関連記事:WordPressのファイル構成とデータベースを理解するための初心者向けガイド

WP-Contentフォルダへのアクセス方法

wp-contentフォルダにアクセスするには、まずWordPressのルートディレクトリにアクセスする必要があります。手順は以下のとおりです。

1. Webホスティングアカウント(WP Engineなど)にログインします。

2. cPanelを開き、「ファイルマネージャー(File Manager)」を選択します。

3. 「public_html」という名前のフォルダが表示されます。このフォルダはWebサーバー上に存在し、サイトの機能や見た目に関わるWordPressのファイルとサブフォルダで構成されています。

4. public_htmlフォルダの中には、主に以下の3つのサブフォルダがあります。

1. wp-admin – WordPress管理画面へのアクセス権限や権限レベルに関する管理ファイルが含まれています。
2. wp-includes – WordPressサイトのルール、階層構造、設定に関するファイルが含まれています。
3. wp-content – サイトのテーマ・プラグインのファイルや、メディアのアップロード(wp-content/uploads)が含まれています。

今回はこの中からwp-contentフォルダに焦点を当て、その役割について詳しく見ていきましょう。wp-contentフォルダにはさらに多くのサブフォルダやファイルが含まれています。次のセクションで詳しく解説します。

WP-Contentフォルダの中身とは?

標準的なWordPressサイトのwp-contentフォルダには、「plugins」「themes」「uploads」という3つのサブフォルダが含まれています。

ただし、WordPressサイトが成長してプラグインやテーマを追加していくと、新たなフォルダが作成されることもあります。わかりやすいように、このディレクトリ構造を4つのパートに分けて解説します。

1. Pluginsフォルダ(プラグイン)
2. Themesフォルダ(テーマ)
3. Uploadsフォルダ(アップロード)
4. wp-content内のその他の一般的なフォルダ
   • mu-plugins
   • Languages
   • Upgrade
   • 特定プラグイン専用フォルダ

 

1. Pluginsフォルダ(プラグイン)

WordPressサイトには自由にプラグインをインストールできます。有効化・無効化を問わず、インストールしたすべてのプラグインはこのフォルダに保存されます。各フォルダを開くと、インストール済みプラグインの設定ファイルやルールが確認できます。このフォルダに不用意な変更を加えると、プラグインが誤動作する恐れがあるため注意しましょう。

このフォルダへのアクセス方法を知っておくと、管理画面からプラグインをインストールできない場合などに役立ちます。プラグインのzipファイルをこのフォルダにコピー&ペーストし、zipファイルを展開すれば、サイト上でプラグインを有効化できます。

同様に、このフォルダを使ってプラグインを削除したり無効化したりすることも可能です。プラグインの互換性問題でサイトが正常に動作しなくなった際、管理画面から無効化できなければ、このフォルダにアクセスして手動で無効化できます。

ただし、この手動での作業はおすすめしません。WordPressフォルダに直接変更を加えるのは非常にリスクが高く、わずかなミスでもサイトが壊れる可能性があります。他に手段がない場合のみ使用してください。

 

2. Themesフォルダ(テーマ)

Pluginsフォルダと同様に、このフォルダにはサイトのすべてのテーマが格納されています。Pluginsフォルダと同じように活用できます。

WordPressの管理画面からテーマをインストールすると、このフォルダ内に表示されます。

たとえば、当サイトにAstraテーマをインストールした場合:

Themesフォルダを確認すると、「astra」という名前のサブフォルダが自動的に作成されています。

テーマをこのフォルダにコピーして管理画面で利用可能にすることもできますし、逆にここからテーマを削除することもできます。

 

3. Uploadsフォルダ(アップロード)

その名のとおり、サイトにアップロードされたすべてのファイルがこのフォルダに保存されます。画像や動画のほか、PDFドキュメント、Word文書、GIFなどのファイルも含まれます。

デフォルトでは、これらのメディアファイルはアップロードした年月ごとのサブフォルダに整理されて保存されます。いわばメディアライブラリのようなものです。

以上が、WordPressサイトのwp-contentフォルダの標準的な構成です。しかし、サイトが成長・発展するにつれて、追加のフォルダが作成されることも少なくありません。以下に簡単にご紹介します。

 

4. wp-content内のその他の一般的なフォルダ

wp-contentフォルダ内には、以下の4つの追加フォルダが作成されることがよくあります。

 

 

a) mu-plugins

mu-pluginsは「必須プラグイン(must-use plugins)」のことです。これらのプラグインはWordPressサイトの動作に不可欠とみなされます。たとえば、テーマにバンドルされているプラグインが該当します。これを無効化するとテーマが壊れ、ひいてはサイト全体が機能しなくなる可能性があります。そのため、開発者は意図せず無効化されないようmu-pluginsとして登録しています。こうしたプラグインがサイトに存在する場合、このフォルダに保存されます。

 

b) Languages

WordPressは多言語のWebサイト制作に対応しています。英語以外の言語や複数の言語を使用する場合、WordPressは言語ファイルをこのフォルダに保存します。

 

c) Upgrade

これは、サイトを新しいバージョンに更新する際にWordPressが一時的に作成するフォルダです。

 

d) 特定プラグイン専用フォルダ

プラグインによっては、独自のディレクトリをサイト上に作成するものがあります。つまり、wp-contentフォルダ内に専用フォルダを作るのです。たとえば、WP Super Cacheプラグインは「cache」という独自フォルダを作成します。

お分かりのように、wp-contentフォルダにはサイトにとって極めて重要なデータが含まれています。だからこそ、常に保護しておく必要があります。

次のセクションでは、このフォルダを改ざんや削除から守るために講じられる対策について解説します。

WP-ContentおよびUploadsフォルダの保護方法

wp-contentフォルダとuploadsフォルダを保護するためには、以下の3つの対策を実施しましょう。

1. これらのフォルダのバックアップを取る
2. wp-contentフォルダの名前を変更する
3. サイトのインデックスにフォルダが表示されないようブロックする

1. WP-Contentフォルダのバックアップを取る

バックアップとはサイトのコピーのことです。ファイルを誤って削除したり、ハッカーがフォルダを改ざんしたりといったトラブルが発生した際に、サイトを正常な状態へ復元できます。

バックアップにはBlogVaultバックアッププラグインを利用できます。インストールも簡単で、数分以内にWordPressサイトの完全バックアップを自動的に取得します。BlogVaultをおすすめする理由は、復元時に確実に動作することが保証されているからです。

また、このプラグインを使えば、wp-contentだけを選択的に復元することも可能です。

 

2. WP-Contentフォルダの名前を変更する

ご存じのとおり、デフォルトではコンテンツ・テーマ・プラグインを保存するフォルダの名前はwp-contentです。この名前はすべてのWordPressサイトで共通しているため、誰でも簡単にフォルダを特定・発見できます。つまり、ハッカーがサイトへの侵入方法を見つけた場合、「wp-content」という名前だと知っているため、このフォルダを容易に見つけ出せるのです。フォルダ名を変更することで、このリスクを軽減できます。

方法は2つあります。プラグインを使う方法と、手動で行う方法です。

A. プラグインを使用する方法(安全)

おすすめなのは「WP Hide & Security Enhancer」というプラグインを使う方法です。wp-contentだけでなく、その他の重要なWordPressファイルも簡単に隠蔽できます。

このプラグインは、プロセスのすべてのステップを丁寧に説明してくれる点が優れています。初心者から上級者まで簡単に使えます。wp-content以外にも、コメントや投稿者、uploadsなどを保護するなど、さまざまな防御策をサイトに実装できます。

B. 手動で行う方法(非推奨)

wp-contentフォルダの名前を手動で変更するには、Webサーバー上のフォルダにアクセスして変更を加える必要があります。わずかなミスでもサイトが壊れる可能性があるため、この方法は強くおすすめしません。

ステップ1: Webホスティングアカウントにアクセスし、cPanelからサイトのファイルマネージャー(File Manager)を開きます。

ステップ2: wp-contentフォルダに移動し、右クリックして「Rename(名前変更)」を選択します。

 

ステップ3: フォルダに任意の新しい名前を付けます。サイト内でまだ使われていない一意の名前にしてください。

3. WP-Contentフォルダを非表示にする

ハッカーがURLを含む悪意あるコードを使って、あなたのwp-contentフォルダへのアクセスを試みることがあります。このフォルダのURLパスは通常、yourdomain.com/wp-content または yourdomain.com/public_html/wp-content の形式です。

このURLパスはブラウザのアドレスバーに入力されるものではなく、サイトのコード内で使用されます。ハッカーは悪意あるコードを記述し、このフォルダのデータを取得したり、自身の悪意あるコードを注入したりします。

外部のユーザーがこのURLパスにアクセスできないようブロックできます。ブロック後は、WordPressの管理画面にログインしているユーザーのみがアクセス可能になります。先ほど紹介したプラグインを使う方法と、手動で行う方法の2通りがあります。

A. プラグインを使用する方法(安全)

WP Hide & Security Enhancerを使えば、クリック2回でwp-contentのURLパスをブロックできます。

「Block wp-content URL」オプションに移動し、「yes」を選択するだけです。変更を保存すると、プラグインがwp-contentのURLパスをブロックします。

B. 手動で行う方法(非推奨)

この方法では、.htaccessというファイルにコードを追記する必要があります。WordPressファイルの手動編集は非常にリスクが高く、小さなミスでもサイトの不具合やクラッシュにつながり得ます。それでも試してみたいという方向けに、手順をご紹介します。

ステップ1: Webホスティングアカウントにアクセスし、cPanelからサイトのファイルマネージャー(File Manager)を開きます。

ステップ2: wp-contentフォルダに移動し、新規ファイルを作成して.htaccessという名前を付けます。

ステップ3: このファイルを右クリックして「Edit(編集)」を選択し、以下のコードを貼り付けて変更を保存します。

Order Allow, Deny

Deny from all

Allow from all

作成後に.htaccessファイルが表示されない場合は、Settings(設定)に移動し、「Show Hidden Files(隠しファイルを表示)」を選択してください。

ステップ4: これでwp-contentフォルダが非表示になります。https://www.yourdomain.com/wp-content にアクセスしようとすると、エラーメッセージが表示されるはずです。

以上で、WordPressサイトにおけるwp-contentフォルダとuploadsフォルダについての解説は終わりです。このフォルダの役割、場所、そして保護方法について、しっかりと理解できたことと思います。

まとめ

wp-contentフォルダはWordPressサイトに不可欠な存在です。だからこそ、WordPressのセキュリティ対策を講じて、確実に保護・バックアップすることが極めて重要なのです。

wp-content以外にも、保護すべき重要なファイルやフォルダはたくさんあります。サイトの一部だけでなく、サイト全体を保護することをおすすめします。

そのためには、MalCareセキュリティプラグインの導入がおすすめです。定期的にサイトをスキャンしてマルウェアを検出し、不審なものがあれば通知してくれます。また、サイトの完全バックアップを定期的に取得し、安全なオフサイトの場所に保存することも可能です。

MalCareでWordPressサイトを守ろう!