WordPressセキュリティ監査の完全ガイド：サイトを守るための8つのステップ

かつて、あなたは腰を据えてWordPressサイトのセキュリティ監査を完璧に行ったことがあるでしょう。やりたい作業ではなかったけれど、悪意あるハッカーからサイトを守るために実行したはずです。

• 専門家のアドバイスに従って、WordPressセキュリティプラグインをインストールした。
• 放置すると何が起こるかをよく知っているからこそ、すべてのプラグインとテーマを更新した。
• サイトのハードニング対策について調べ、効果の高いものを実装した。

要するに：あなたは自分のサイトがハッカーから100%安全だと確信していたのです。

しかし数ヶ月後、いつも通りにサイトを開いてみると……

なんと、サイトがハッキングされていたのです。

その被害はさまざまです。別のサイトへの悪意あるリダイレクトかもしれませんし、自分のビジネスとはまったく関係ない商品を売りつけるポップアップが表示されるようになったかもしれません。

そのとき初めて、サイトのセキュリティ対策に失敗していたことに気づくのです。

これは多くのWordPressサイト運営者が直面するシナリオです。もしあなたも同じ状況なら、この記事はまさにうってつけです。

なぜ監査は「一度きり」ではいけないのか

ここが重要なポイント：あなたの唯一の過ちは、WordPressセキュリティ監査を「一度やれば終わり」の作業だと考えたことです。チェックリストの項目をすべて完了した時点で、すべて片付いたと思ってしまったのですよね。

実際には、サイトのセキュリティは広告活動と同じように継続的な取り組みです。ビジネスの広告を打つのをやめてしまうことはありませんよね？

セキュリティツールや予防策は日々進化していますが、ハッカーたちも黙って手をこまねいているわけではありません。これはあなた自身のビジネスであり、毎日守り抜く必要があるのです。

WordPressセキュリティ監査は、何が機能していて何が機能していないのかを見極める最もシンプルな方法です。あなたのセキュリティ対策は時代遅れになっていませんか？

3ヶ月ごとのセキュリティ監査を怠れば、ハッカーがサイトに侵入してビジネスに損害を与えるリスクは格段に高まります。

しかし心配はいりません。セキュリティ対策を最新の状態に保てば、こうした事態はすべて回避できます。今回は、WordPressサイトで成功裏にセキュリティ監査を実施するための手順をご紹介します。

要点まとめ：WordPressサイトを完全に保護するには、セキュリティプラグインの活用をおすすめします。MalCareをインストールすれば、サイトを定期的にスキャン・監視し、ハッキングの試みをブロックします。さらに、毎日のWordPressセキュリティ監査も自動で実行してくれます。

WordPressセキュリティ監査とは？

遅かれ早かれ、ほとんどのWordPressサイトはセキュリティ問題に遭遇します。たとえば、プラグインやテーマに脆弱性が生じ、ハッカーに悪用されてサイトに侵入されるケースがあります。

一旦アクセスを許してしまうと、トラフィックの横取り、違法コンテンツや広告の表示、顧客への詐欺行為、個人情報の窃取など、悪質な行為のオンパレードに見舞われる可能性があります。

WordPressセキュリティ監査は、こうした問題を早期に発見し、サイトのセキュリティホールを塞ぐための対策を講じるのに役立ちます。監査では、まずサイトに既存のセキュリティ対策を確認し、さらに追加すべき対策を特定していきます。

本格的なセキュリティ監査は複数のステップを伴うため、プロセスとチェックリストがないと混乱しがちです。

おそらくあなたも以前にセキュリティ監査を行ったことがあるでしょう。この記事の目的は、3ヶ月ごとに繰り返し実行できるプロセスを確立してもらうことです。理想的には毎日監査を行うべきですが、現実的には月1回の実施をおすすめします。

成功するセキュリティ監査の進め方

それでは、サイトのセキュリティを徹底的に見直していきましょう。以下の8項目を順番に確認します。

1. セキュリティプラグインの評価
2. WordPressバックアップのテスト
3. 現在の管理者設定の確認
4. 未使用プラグインの削除
5. 余分なテーマの削除
6. ホスティング業者とプランの見直し
7. FTPアクセス権限を持つユーザーの確認
8. WordPressハードニング対策の確認

1. セキュリティプラグインを評価する

セキュリティプラグインは最初のチェックポイントです。まだ使用していない場合は、今すぐ導入を検討しましょう。セキュリティプラグインは、ハッカーやボットからWordPressサイトを守ります。選択肢は豊富ですが、効果のないものもあるため、適切なプラグインを選ぶ必要があります。セキュリティプラグインに必須の機能は以下の通りです。

1. マルウェアスキャン – ハッカーは常に脆弱なプラグインを探しています。毎日自動でスキャンを実行できるプラグインを強くおすすめします。データベースを含むサイト内のすべてのファイルとフォルダを精査する深いスキャンが理想です。

2. オフサイトスキャン – スキャン処理は多くのサーバーリソースを消費します。自社サーバーでスキャンを行うプラグインだと、サイトが過負荷になり速度低下を招きます。独自サーバーでスキャンするタイプを選びましょう。

3. ファイアウォール – サイトへの侵入を試みるハッカーや悪意あるボット、IPアドレスを積極的にブロックするファイアウォールが必要です。通常は技術的な専門知識が必要ですが、自動でセットアップしてくれるセキュリティプラグインもあります。

4. ログイン保護 – ハッカーはログインページを攻撃し、ユーザー名とパスワードの組み合わせを総当たりで試します（ブルートフォース攻撃）。こうした攻撃をブロックできるプラグインを選びましょう。

5. リアルタイム通知 – 不審なアクティビティを検知したら、即座にアラートを送ってくれる機能です。迅速な対応が可能になります。

6. マルウェア駆除 – 良質なセキュリティプラグインなら、感染したマルウェアを素早く、かつ完全に除去できます。

7. アクティビティログ – 誰がログインしたか、失敗したログイン試行の詳細、ユーザーがサイト上で何をしたかなどを記録します。ハッキングされた経緯や不具合の原因を突き止める際に非常に役立ちます。

これらの機能をすべて備えている点で、MalCareの利用をおすすめします。あらゆる種類のマルウェアを検出できる高性能なスキャナーを搭載しており、感染した場合でも数分以内に駆除可能です。

2. WordPressバックアップをテストする

バックアップがあれば、万が一問題が発生しても簡単に復元してサイトを元の状態に戻せます。

しかし、バックアップが失敗していたら？復元できなかったら？

だからこそ、バックアップのテストが必要なのです。ホスト側のバックアップにはテスト機能がない場合もあります。そこでおすすめしたいのが、BlogVaultバックアッププラグインの導入です。サイト全体の完全なバックアップを自動で取得してくれます。

※初回のバックアップはサイト全体をコピーするため時間がかかることがあります。以降は変更部分のみを保存する増分方式により、高速に処理されます。

バックアップ完了後、BlogVaultのダッシュボードから「Test Restore（復元テスト）」を実行しましょう。復元が成功すると通知が届きます。

3. 現在の管理者設定を確認する

WordPressでは複数人での共同作業が可能ですが、すべてのユーザーに完全なアクセス権を与える必要はありません。たとえばライターには記事の執筆・公開権限だけで十分で、プラグインのインストールやテーマ変更の権限は不要です。

WordPressには6つのユーザーロールが用意されています。特権管理者（Super Admin）、管理者（Administrator）、編集者（Editor）、投稿者（Author）、寄稿者（Contributor）、購読者（Subscriber）です。それぞれ異なる権限レベルを持っています。

セキュリティ監査では、まずサイトに登録されているユーザーを分析しましょう。

• 管理者権限を持つユーザーが何人いるか確認する。
• 実際に管理者権限が必要なのは何人かを見極める。
• 管理者である必要のないユーザーのロールを変更し、権限を制限する。
• ダッシュボード上の全ユーザーを把握し、身に覚えのないアカウントは削除する。ハッカーが作成した不正アカウントの可能性があります。

次に、管理者が「admin」というユーザー名を使っていないか確認してください。「admin」は最も一般的なユーザー名で、ハッカーもそれを承知の上で狙ってきます。

変更するには、新しいユーザーアカウントを作成し、コンテンツを新アカウントに割り当てた上で、旧「admin」アカウントを削除します。

4. 未使用のプラグインを削除する

10年以上WordPressに携わってきた経験から言えるのは、脆弱なプラグインが原因でハッキングされたサイトを数多く見てきたということです。

プラグインはサードパーティの開発者が管理・更新していますが、他のソフトウェアと同様、時間の経過とともに脆弱性が現れます。開発者は通常すぐに修正版をリリースしますが、更新を怠ればサイトは脆弱なまま放置されることになります。

• 監査時にインストール済みプラグインの一覧を確認しましょう。多くのサイト運営者は新しいプラグインを試してはそのまま忘れています。使っていないプラグインは削除しましょう。不要な要素を減らし、ハッカーの侵入経路を狭められます。
• すべてのプラグインを認識していることを確認してください。身に覚えのないプラグインがあれば削除をおすすめします。ハッカーは侵入後、バックドアを仕込んだ独自のプラグインをインストールすることがあります。
• 海賊版やヌル化（nulled）されたプラグインがあれば即座に削除してください。こうしたソフトウェアにはマルウェアが含まれていることが多く、ハッカーがマルウェアを拡散する手段として利用しています。

使用中のプラグインだけを残したら、開発者がリリースする更新を速やかに適用しましょう。

5. 余分なテーマを削除する

サイト運営者は好みのテーマを探すうちに、複数のテーマをインストールしがちです。しかし不要になったテーマの削除を忘れることが少なくありません。プラグインと同様、テーマにも脆弱性が生じる可能性があります。

使用中のテーマ以外はすべて削除し、有効化しているテーマが最新バージョンであることを確認しましょう。

6. ホスティング業者とプランを見直す

共有ホスティングのおかげで、大きな投資なしにサイトを立ち上げられるようになりました。共有プランは安価で小規模なWordPressサイト向けに設計されています。

開始当初は共有プランで十分でも、サイトの成長に合わせてアップグレードの必要性を検討すべきです。

共有ホスティングでは他のサイトとサーバーを共用するため、他サイトの動向をコントロールできません。他のサイトがハッキングされるとサーバーリソースを大量消費し、あなたのサイトの速度とパフォーマンスが低下します。マルウェア感染が同じサーバー上のサイトに広がるリスクもあります。予算に余裕があれば、専用サーバーへの移行をおすすめします。

現在のホストのサービスに満足していない場合は、他のホスティング業者を比較して、より良い環境への移行を検討しましょう。

7. FTPアクセス権限を持つユーザーを確認する

FTP（File Transfer Protocol）は、ローカルPCとサイトのサーバーを接続する仕組みです。FTP経由でサイトのファイルやフォルダにアクセスし、変更を加えられます。

ファイルの追加・修正・削除が自由に行えるため、FTPアクセスは信頼できる、かつ絶対に必要な人物にのみ限定すべきです。

FTPユーザーの一覧を確認し、必要に応じてパスワードを再設定しましょう。操作手順は、WordPressのホスティングアカウント > cPanel > FTPアカウントの順にアクセスします。

ここでサイト用に作成されたすべてのFTPアカウントの一覧が表示されます。アクセス不要なアカウントは削除しましょう。

8. WordPressハードニング対策を確認する

WordPress公式は、サイトをより安全にするためのハードニング対策を推奨しています。主なものは以下の通りです。

1. プラグイン・テーマのファイルエディターを無効化する
2. プラグインのインストールを無効化する
3. WordPressキーとソルトを再生成する
4. 強力なパスワードを強制する
5. ログイン試行回数を制限する
6. 二要素認証（2FA）を導入する

セキュリティ監査の際は、これらの対策が正しく機能しているか確認しましょう。たとえばログイン試行の制限や二要素認証にプラグインを使用しているなら、そのプラグインが正常に動作し最新版であることを確認してください。より優れた代替案がないかもチェックしましょう。

ハードニング対策の多くは技術的な専門知識を要しますが、MalCareセキュリティプラグインを使えば、クリック数回で実装できます。

WordPressセキュリティ監査チェックリスト

ここまでの内容をまとめると、以下のチェックリストになります。

1. セキュリティプラグイン – プラグインの機能を評価する。MalCareの利用がおすすめ。

2. WordPressバックアップ – バックアップからの復元が可能かテストする。BlogVaultの復元テスト機能が便利。

3. 管理者ユーザー – 管理者設定を見直し、必要な人にだけ管理者権限を付与する。休眠アカウントは削除。

4. プラグイン – 未使用・非アクティブなプラグインを削除し、使用中のものは常に最新に保つ。

5. テーマ – 余分なテーマを削除し、有効なテーマ1つだけを最新バージョンで運用する。

6. ホスティング – 業者とプランを見直す。信頼できるホストと専用サーバープランがおすすめ。

7. FTP – FTPアクセス権限を持つユーザーを確認し、必要な人に限定する。

8. ハードニング – WordPressハードニング対策が有効かつ最新であることを確認する。

まとめ

この記事が、繰り返し実行できるWordPressセキュリティ監査のプロセス構築に役立ったなら幸いです。このプロセスを定期的に実践し続ければ、ハッカーによるサイトへの侵入を防げると断言できます。

確かに、本格的なセキュリティ監査は時間と手間のかかる作業です。しかし、長期的にビジネスを守るための投資だと考えれば、決して無駄ではありません。

もし監査作業が負担に感じられるなら、MalCareプラグインで自動化するのがおすすめです。他の多くのセキュリティプラグインとは異なり、MalCareはセキュリティ監査にとどまらない包括的なセキュリティツール群を提供しています。

マルウェアのスキャンと駆除、定期バックアップ、ファイアウォールとボット対策の設置、WordPressハードニングなど、煩雑な手作業をすべて自動化できます。

これらすべてを、使いやすい先進的なダッシュボードからわずか数クリックで実現できます。

MalCareでWordPressサイトを今すぐ守りましょう！