WooCommerceセキュリティ対策15選：オンラインストアを安全に守るための完全ガイド

WooCommerceは、世界のECサイトの中で約30%という市場シェアを誇り、Squarespace、Shopify、Magentoなどの他プラットフォームを大きく引き離して業界をリードしています。WordPressとWooCommerceを組み合わせることで、高い機能性・カスタマイズ性・セキュリティをオンラインストアにもたらすことができるのがその理由です。

しかし残念ながら、プラットフォームの人気が高まるほど、ハッカーにとって魅力的な標的にもなります。WooCommerceサイトがハッキングされると、通常のサイトよりも深刻な被害をもたらします。検索エンジンからのトラフィックや順位の低下だけでなく、顧客や売上の損失という、ビジネスに壊滅的な影響を及ぼしかねないからです。

そのため、一定レベルのセキュリティ機能が組み込まれているとはいえ、自分とユーザーの両方を守るために追加の対策を講じることが不可欠です。万が一問題が発生した場合に備えて、ダウンタイムを最小限に抑える仕組みも用意しておきましょう。

この記事では、WooCommerceサイトに潜むセキュリティ上の脆弱性と、サイバー脅威に先手を打つための具体的な対策をご紹介します。

要点： WooCommerceサイトのセキュリティニーズは通常のサイトとは異なります。こうした追加要件に対応できるWPセキュリティプラグインが必要です。MalCareをインストールすれば、プロアクティブなサイト保護を開始できます。定期的なスキャンにより、マルウェアがあれば即座に駆除できます。

WooCommerceセキュリティのための15のベストプラクティス

WordPressサイトを安全に保つためには、複数のレベルでセキュリティ対策を実装し、ハッカーに侵入の隙を与えない「鉄壁」の状態を作ることが重要です。ここでは、対策を3つのレベルに分けて解説します。

セキュリティレベル1

1. デフォルトのユーザー名「admin」を変更する

ハッカーは「ブルートフォース攻撃（総当たり攻撃）」と呼ばれる手法を使い、ユーザー名とパスワードの組み合わせを推測しようとします。特に狙われるのは、サイトへの完全な権限を持つ管理者アカウントです。

ユーザー名を「admin」のままにしていると、サイトへの侵入は格段に容易になります。いわば、鍵をドアに挿したままにしているようなものです。

推測されにくい固有のユーザー名を作成しましょう。WordPressの管理者名を変更するには、「ユーザー ＞ 新規追加」に移動します。

必要事項を入力する際、必ず固有性の高いユーザー名を使用してください。新しいアカウントを作成し、WordPressのユーザーロールから「管理者（Administrator）」を選択します。

完了したら、wp-adminから一度ログアウトし、新しいアカウントで再ログインします。これで以前の「admin」アカウントを削除できます。「admin」アカウントに関連付けられていた投稿はすべて新しいアカウントに引き継がれます。

2. 強力なパスワードを使用する

脆弱なパスワードは、ハッキングの最も一般的な原因の一つです。ブルートフォース攻撃に対抗するには、強力なパスワードの使用が欠かせません。wp-adminには、他のアカウントで使い回していない、このアカウント専用の固有パスワードを設定することを心がけましょう。

パスワードを強化するための3つのコツをご紹介します。

• パスワードではなくパスフレーズを使う： パスフレーズとは、単語ではなく複数の単語をつなげたものです。例えば、「computer」のような単語ではなく、「thisismycomputer」のように設定します。
• 頭字語を活用する： 例えば「John F Kennedy at BlogVault」なら「jfk@bv」のようになります。ただし、これだけではまだ非常に弱いパスワードです。

• 英字・数字・記号を組み合わせる： 例えば「Jfk@Bv123$」のようにします。ただし、これでもまだ十分ではありません。

上記の3つのコツを組み合わせれば、「ThisisJfk@Bv123$」のような超強力なパスワードを作成できます。フレーズ、頭字語、大文字、小文字、数字、記号がランダムに含まれています。

これで、推測が困難な強力なパスワードの完成です。

セキュリティレベル2

1. サイトをバックアップする

バックアップがなぜセキュリティ対策になるのか不思議に思うかもしれません。しかし、あらゆるウェブサイトにとって最も重要な施策の一つです。通常のサイトがダウンしても深刻ですが、WooCommerceサイトがダウンすると壊滅的です。顧客、注文、収益を失うことになりかねません。

サイトがハッキングされた場合でも、バックアップがあれば素早く復元して営業を再開できます。ただし、ハッキングされた原因を特定し、再発防止のために修正することが重要です。

バックアップの重要性を強調するのは、WooCommerceサイトでは機密性の高い顧客情報を扱っているからです。顧客の個人情報、取引履歴、クレジットカード情報、支払い情報、注文データなどが含まれます。

こうした情報を失わないよう、サイトのバックアップの維持は絶対的に不可欠です。

WooCommerceでは注文や顧客データが頻繁に発生するため、リアルタイムバックアップソリューションの導入をおすすめします。これにより、サイトで新しいデータが生成されるたびに即座にバックアップされます。

さらに、バックアップは暗号化された形で安全に保管してください。万一ハッカーの手に渡っても、悪用されることはありません。

WooCommerceデータの喪失は深刻な信頼の裏切りとなり、ビジネスにとって重大なセキュリティ問題へと発展します。多大な復旧コストとさまざまな悪影響が伴うのです。

2. セキュリティプラグインをインストールする

次に取り組むべきは、WooCommerceサイトにセキュリティプラグインをインストールし、ハッカーからサイトを守ることです。前述の通り、WooCommerceサイトがハッキングされた場合の被害は、通常のサイトよりはるかに深刻です。

Googleからブラックリストに登録されたり、ホスティング会社からアカウントを停止されたり、顧客と収益を失ったりする可能性があります。さらに、顧客データが漏洩した場合は法的トラブルに発展することもあります。

優れたプラグインは、サイトを定期的かつ徹底的にスキャンし、ハッキング、マルウェア、不審なアクティビティを検出します。

市場には多くのWordPressセキュリティプラグインがありますが、すべてが同等のセキュリティレベルを提供しているわけではありません。

多くのプラグインは時代遅れのマルウェアスキャン・駆除手法に依存しています。その結果、実際にはクリーンなサイトにマルウェア検知の誤報（false positive）が出たり、逆に偽装・隠蔽されたマルウェアを見逃したりすることがあります。

WooCommerceは極めて機密性の高いデータを扱うため、信頼できないプラグインの使用は避けるべきです。サイトを守るには、ハッカーから積極的に防御するファイアウォールが必要です。ハッカーの手法は日々進化しているため、偽装・隠蔽されたマルウェアを検出できるスキャナーも必要です。

だからこそ、サイトをクリーンに保つことが実証済みのプレミアムプラグイン、MalCareの使用を強くおすすめします。誤検知なし、あらゆるマルウェアの検出、そしてハッキングされたサイトの迅速な復旧——すべて安心してお任せいただけます。

3. SSL証明書を取得する

これは必ず実装すべき基本的なステップです。SSL証明書により、ユーザーとサイト間でやり取りされる機密情報が暗号化されます。これにより、ハッカーが情報を盗み見る可能性を排除できます。

サイトにSSLを導入すると、アドレスバーの表示がhttpからhttpsに変わり、左側に鍵アイコンが表示されます。

以前はSSL証明書の取得に高額な費用と長い手続きが必要でしたが、現在は多くのWooCommerce対応ホスティング業者がSSL証明書を提供しています。また、Let's Encryptのような取り組みのおかげで、無料ですぐにSSL証明書を取得できるようになりました。

WooCommerceサイトの場合、SSL証明書を取得したら、「WooCommerce ＞ 設定 ＞ 詳細」に移動し、「チェックアウトページでのHTTPS強制（Force Secure Checkout）」を有効にします。

これで、WooCommerceサイトのセキュリティ確保に向けた重要な一歩を踏み出しました。しかし、やるべきことはまだたくさんあります！

常にサイトを最新の状態に保つ

ソフトウェアは、新機能の追加、バグ修正、セキュリティ脆弱性の修正のために、随時アップデートが提供されます。ソフトウェアの更新は必須であり、避けて通れません。最新のソフトウェアでサイトを運用していれば、最新のセキュリティアップデートも適用されていることになります。

WooCommerceサイトは、WordPressコアソフトウェア、テーマ、プラグインで構成されています。ハッカーに利用される脆弱性を残さないためには、この3要素すべてを常に最新の状態に保つ必要があります。

WordPressサイトを安全にアップデートする方法については、BlogVaultの詳細ガイドを参考にしてください。

セキュリティレベル3

1. ログイン試行回数を制限する

ブルートフォース攻撃についてさらに掘り下げると、ハッカーはボットを使って作業を自動化しています。つまり、1秒間に何千もの組み合わせを試行できるのです。強力なユーザー名とパスワードの設定方法はすでにご紹介しました。では、なぜログイン試行回数の制限まで必要なのでしょうか？

WooCommerceサイトを一人だけで運営していることはまれです。wp-adminダッシュボードには、さまざまな役割を持つ多数のユーザーが登録されています。ユーザーが増えるほど、ハッカーの侵入経路も増えます。デフォルトでは、WordPressはログイン試行回数を無制限に許可しています。

おすすめのセキュリティ対策は、WordPressダッシュボードへのログイン試行回数を制限することです。ユーザー名とパスワードの入力は3回までとし、それ以降は「パスワードをお忘れですか？」のオプションを案内するか、アカウントをロックする仕組みにします。

MalCareプラグインをインストールしていれば、ログイン保護機能が自動的に有効になります。

2. 二要素認証（2FA）を使用する

ハッカーの侵入をさらに困難にする対策として、二要素認証の導入があります。

これは、WordPressダッシュボードにログインする際、通常の認証情報に加えて、リアルタイムで生成されるセキュリティコードの入力を求める仕組みです。携帯電話番号に送られるワンタイムパスワードや、Google Authenticatorなどのアプリで生成されるコードなどが該当します。

これにより、ハッカーが組み合わせを推測したり、不正入手した認証情報を悪用したりする可能性を完全に排除できます。

3. サイトを強化（ハードニング）する

WordPress公式は、サイトを「強化（ハードニング）」する、つまりセキュリティを高めるためのいくつかの対策を推奨しています。

ここでは、実装すべき3つの主要な対策をご紹介します。

プラグイン・テーマのファイルエディターを無効化する： ハッカーがサイトへのアクセス権を得ると、ダッシュボードのプラグイン・テーマ編集画面にあるファイルエディター機能を通じてマルウェアを注入できます。

WooCommerceサイトの運営者がこのエディターを使うことはほとんどないため、無効化しておくのが得策です。

信頼できないフォルダでのPHP実行をブロックする： WordPressサイトはファイルとフォルダで構成されており、その一部のみがPHP関数を使用します。ハッカーがサイトに侵入すると、既存のファイルやフォルダに独自の関数を挿入したり、新しいものを作成したりする可能性があります。

こうした活動を防ぐには、信頼できないフォルダでのPHP関数の実行を無効化します。

セキュリティキーを変更する： WordPressはログイン資格情報を自動的に保存し、ダッシュボードへの簡単なログインを可能にしています。このデータは、セキュリティキーとソルト（salt）を使って暗号化・保存されています。

ハッカーにセキュリティキーとソルトを解読されると、コードを解析されてアカウントに侵入される恐れがあります。

これを防ぐために、キーとソルトを定期的に置き換えることが推奨されます。

これらの対策を手動で実装するには、ある程度の技術的な知識が必要です。関連記事：「WordPressサイトのセキュリティを強化する12の方法」もぜひご覧ください。ただし、MalCareをご利用いただければ、サイトのハードニングは自動化されており、数クリックで実装できます。

まとめ：WooCommerceサイトを常に守り抜こう！

セキュリティはすべてのWordPressサイトにとって重要ですが、WooCommerceサイトではその重要性がさらに高まります。店舗に営業時間があった時代は終わり、ECの時代にはストアは24時間365日営業し、昼夜を問わず売上が発生します。したがって、わずかなダウンタイムでもビジネスに深刻な影響を及ぼしかねません。

さらに、ECビジネスは企業の機密情報を扱うだけでなく、より重要なことに、顧客固有のデータである個人識別情報（PII）も扱っています。これが漏洩すれば、顧客の信頼を裏切り、ブランドの評判を失うことになります。さらに悪いことに、法的罰則、訴訟、データ漏洩からの復旧にかかる高額なコストに直面する可能性もあります。

賭け金は非常に高く、セキュリティに一切の油断は許されません。

WooCommerceサイトに高度なセキュリティを実装するために、MalCareセキュリティプラグインをインストールし、攻撃を阻止し、マルウェアを駆除し、完全なWooCommerceセキュリティを実現しましょう。

WordPressセキュリティについてさらに詳しく知りたい方は、「ウェブサイトセキュリティの最も包括的なガイド」をご参照ください。