WordPressのソルトとセキュリティキー徹底解説！仕組みから変更方法まで完全ガイド

WordPressのセキュリティに関する記事を読んでいると、「WordPressソルト」や「セキュリティキー」という言葉を目にしたことがあるかもしれません。簡単に言えば、これらはWordPressがパスワードを暗号化するために使用するランダムな文字列のことです。

パスワードはウェブサイトのセキュリティにおいて最も重要な要素の一つです。そのため、WordPressソルトキーの仕組みを理解し、さらには必要に応じて適切に変更する方法を知っておくことは大きな価値があります。

TL;DR（要点）：MalCareを使えば、サイトのWordPressソルトとセキュリティキーを数秒で変更できます。ログイン試行の制限、ブルートフォース攻撃への対策、高度なファイアウォールにより、ハッカーによるサイトへの侵入を防ぎます。面倒な設定不要のセキュリティ対策で、ウェブサイト構築の他の作業に集中できます。

WordPressソルトとは？

WordPressソルト（セキュリティキー）とは、WordPressがユーザー名とパスワードを暗号化するために使用するランダムな文字列です。これらの文字列はログイン認証情報のハッシュ化に使われます。ハッシュ化とは、暗号技術における暗号化プロセスを指す用語です。認証情報はランダムな文字列と区別がつかなくなるため、盗まれたり、ウェブサイトへの不正ログインに悪用されたりすることはありません。

「WordPressソルト」と「WordPressセキュリティキー」という用語はしばしば同じ意味で使われますが、どちらも同じ8つの文字列を指します。セキュリティキーは4種類あり——AUTH_KEY、SECURE_AUTH_KEY、LOGGED_IN_KEY、NONCE_KEY——それぞれに対応するソルトが存在します。

WPソルトはログイン認証情報を保護する重要な役割を担っているため、厳重に秘密にしておく必要があります。ソルトはデータベース接続情報とともに、WordPressのコアファイルであるwp-config.phpに保存されており、それ以外の場所に保存してはいけません。

WordPressソルトの用途

WordPressソルトは、ブラウザのCookieに保存されるユーザー名とパスワードを保護するために使用されます。WordPressはCookieを使って、ユーザーがウェブサイトにログインしているかどうかを記憶します。例えば、管理画面（wp-admin）にログイン中に誤ってブラウザのタブを閉じても、再度ログインを求められることはありません。これは便利な機能であり、多くのウェブサイトがCookieを使ってユーザーの設定や操作履歴を記憶しています。

しかし、Cookieは攻撃に対して脆弱です。Cookieの盗難やセッションハイジャックといった被害が実際に発生しているように、機密情報を暗号化し、ハッカーに悪用されないようにすることが極めて重要です。

WordPressセキュリティキーとソルトを変更すべき理由

WordPressのセキュリティキーとソルトはランダムな文字列であるため、強力で一意性が高いと考えられます。しかし、変更が必要になるケースも存在します。前述の通り、これらの文字列を秘密にしておくことは最重要事項です。万一漏洩の疑いがある場合は、直ちに変更しなければなりません。

WordPressサイトがハッキングされた場合が、まさにソルトキーが漏洩した典型例です。マルウェアによって、ハッカーはwp-config.phpファイル（WPソルトが保存されている場所）を含むウェブサイトのファイルへ不正アクセスできます。したがって、マルウェアを駆除した後は、ハッキング後の復旧対応の一環として、ソルトキーを変更することが不可欠です。MalCareなら、同じダッシュボードからマルウェアの駆除とセキュリティキーの変更を数分で完了できます。

また、パスワードと同様に、WordPressソルトキーを定期的に変更することも良い習慣とされています。認証情報を更新することで、ハッカーがサイトのセキュリティを突破する難易度が上がります。

WordPressソルトの変更方法（3つの方法）

ウェブサイトのWordPressソルトキーを変更するには、主にプラグインを使う方法と手動で行う方法があります。ここではセキュリティプラグインの利用をおすすめします。はるかに簡単で、ソルトの変更以外にも多くのセキュリティ機能を提供してくれるからです。

1. セキュリティプラグインを使用する

WordPressのソルトを更新する最も簡単な方法は、MalCareのようにこの機能を備えたセキュリティプラグインを使用することです。

MalCareでセキュリティキーを変更する手順は以下の通りです：

1. MalCareにログイン
2. 「Security and Firewall」セクションに移動
3. 「Security overview」の下にある「Apply Hardening」をクリック
4. 「Paranoid」セクションまでスクロールし、「Change Security Keys」を選択
5. 「Apply」をクリック
6. 次の画面でFTP認証情報を入力
7. WordPressがインストールされているフォルダ（通常はpublic_htmlフォルダ）を選択
8. 「Apply Fix」をクリック

変更後、ログイン中のユーザーは全員サイトからログアウトされますが、パスワードとユーザー名はそのまま引き継がれます。

MalCareをおすすめする理由

MalCareはウェブサイトを総合的に保護する高機能なWordPressセキュリティプラグインです。ソルトとセキュリティキーを簡単に変更できるだけでなく、詳細なウェブサイトスキャナー、マルウェアクリーナー、高度なファイアウォールも備えています。さまざまなWordPressハードニング（強化）オプションを適用でき、セキュリティキーの変更もその一つです。

ソルトキー変更に使えるその他のセキュリティプラグイン

MalCareの代替として、SucuriやiThemes SecurityでもWordPressセキュリティキーを変更できます。

Sucuriでセキュリティキーを変更する手順：

1. 左側のナビゲーションメニューから「Sucuri Security」に移動
2. 「Settings」を開く
3. 「Post-Hack」タブを選択
4. 「この操作は元に戻せないことを理解しています」のチェックボックスにチェックを入れる
5. 「Generate New Security Keys」をクリック

Sucuriでは、キーを自動更新するスケジュール設定も可能です。

iThemesでセキュリティキーを変更する手順：

1. 左側のナビゲーションメニューから「Security」に移動
2. 「Settings」をクリック
3. 設定画面の左ペイン下部にあるツールメニューアイコンをクリック
4. 「Change WordPress Salts」を選択してペインを展開
5. 「Run」をクリック

注意：ただし、セキュリティプラグインとしてはこの2つはおすすめしません。Sucuriのマルウェアスキャナーはマルウェアを十分に検出できず、iThemesは評価の低いセキュリティプラグインの一つだからです。とはいえ、どちらもWordPressセキュリティキーの変更機能を持っているため、参考として紹介しました。

2. 専用プラグインを使用する

セキュリティプラグインを導入したくない場合や、既存のプラグインにこの機能がない場合は、専用プラグイン「Salt Shaker」をインストールするという選択肢があります。

インストールして有効化すると、Salt Shakerは左側ナビゲーションの「ツール」メニューに表示されます。画面はシンプルで、WordPressソルトを即座に変更するか、スケジュールに従って自動変更するかを選べるだけです。

通常、単一機能のみのプラグインはおすすめしません。特に他のプラグインで代替できる場合はなおさらです。しかし、Salt Shakerはその唯一の機能を見事に果たしてくれる優れたプラグインです。

3. WordPressソルトを手動で変更する

WordPressセキュリティキーを手動で変更することは可能ですが、通常はサイトのコードを直接編集することは避けるべきとされています。この場合、WordPressの中核をなす最重要ファイルの一つであるwp-config.phpファイルを編集することになります。作業自体は比較的シンプルですが、ひとたびミスをすればサイトが壊れるリスクがあるため注意が必要です。

手動でWordPressソルトを変更する手順は以下の通りです：

1. 新しい値を取得する：WordPress公式のシークレットキージェネレーターから新しいキーを取得します。
※注意：これらのキーを自分で使うことは一切ないため、どこにも保存しないでください。また、独自に文字列を生成するのも避けましょう。

2. サイトをバックアップする：WordPressのコアファイルを手動編集するため、サイトが壊れる可能性に備えた必須の予防策です。

3. wp-config.phpファイルを編集する：方法は2つあります。FTP経由でファイルをダウンロードして編集後に再アップロードするか、SSHを使ってサーバー上で直接ファイルを編集します。

4. 「Authentication Unique Keys and Salts」のセクションを探す

5. 該当箇所のコードを新しいキーに置き換えて保存する

ソルトキーを変更すると、ログイン中のすべてのユーザーはサイトからログアウトされ、再ログインが必要になります。ただし、認証情報そのものに影響はなく、パスワードも変更されません。

重要：生成したキーはどこにも保存しないでください。後から必要になることはありません。

WordPressソルトキーを変更する頻度

WordPressサイトにはデフォルトでソルトとセキュリティキーが設定されているため、新たにインストールする必要はありません。ソルトの変更が緊急に必要になるのは、ハッキング被害を受けた直後です。サイトにマルウェアがあった場合、キーが漏洩したと想定すべきです。ハッカーはサイトで使用されている暗号化ハッシュを把握することで、より容易に侵入できるようになります。

その他、サイトを初めて構築したときや、半年に一度程度の定期変更も検討する価値があります。攻撃者による認証情報の解析を困難にする効果がありますが、必須ではありません。

ユーザーログインを保護するためのその他の対策

何度も強調しますが、パスワードのセキュリティはウェブサイト保護の要です。WordPressソルトとセキュリティキーの更新・管理に加えて、以下の対策も実施しましょう：

• ブルートフォース攻撃対策を導入する
• 強力なパスワードを強制する
• サービスごとに一意のパスワードを要求する
• データ漏洩で流出したことが判明しているパスワードの使用を禁止する
• 二要素認証（2FA）を有効化する
• ログイン試行回数を制限する
• XML-RPCを無効化する

まとめ

WordPressソルトは、Cookieによるログイン状態の維持という利便性を保ちながら、ログイン認証情報がハッカーに読み取られるのを防ぐ重要な仕組みです。WPソルトを定期的に更新することにはセキュリティ上のメリットがありますが、ハッキング被害がない限りは急ぐ必要はありません。

ご不明な点があれば、お気軽にお問い合わせください。皆様からのご連絡をお待ちしております！

よくある質問（FAQ）

Q. WordPressソルトとは何ですか？

WordPressソルトとは、ログインユーザーの認証情報を保護するためにWordPressが使用する長いランダムな文字列です。「セキュリティキー」とも呼ばれ、セキュリティ確保のため、ユーザー名とパスワードの暗号学的ハッシュを生成するために使われます。

Q. なぜ「ソルト」と呼ばれるのですか？

「ソルト（塩）」は暗号学の用語で、重要な情報を暗号化する前に加えるランダムなデータを指します。WordPressのセキュリティキーとソルトは、ユーザー名とパスワードに対してまさにこの処理を行うため、ソルトと呼ばれています。

Q. なぜWordPressのソルトキーを変更すべきですか？

サイトがマルウェアに感染した場合は、WordPressのソルトとセキュリティキーを変更する必要があります。ハッカーは、ソルトが保存されているwp-config.phpファイルを含むWordPressファイルにアクセスしていた可能性があります。この情報を入手されていれば、サイト上のあらゆるパスワードを解読される恐れがあります。そのため、ハッキング後はWPセキュリティキーとソルトの変更が不可欠です。

Q. WordPressのソルトを変更するにはどうすればよいですか？

WordPressソルトキーの変更方法は主に3つあります：

1. MalCareのようなハードニング機能を備えたセキュリティプラグインを使う
2. WordPressソルト変更専用プラグイン「Salt Shaker」を使う
3. wp-config.phpファイル内のソルトとセキュリティキーを手動で書き換える