← ブログに戻る

ブログ

WordPressセキュリティ監査チェックリスト：実践ガイド

July 11, 2026

WordPressセキュリティ監査の包括的なガイド。ウェブサイトを一般的な脅威から保護するための必須チェックと実践的なステップを網羅しています。

要約

WordPressウェブサイトのセキュリティ保護は継続的なプロセスであり、徹底的なセキュリティ監査は潜在的な脆弱性を特定し、軽減するための重要なステップです。このガイドでは、WordPressサイトを監査するための実践的かつ段階的なアプローチを提供し、コアコンポーネント、プラグイン、テーマ、ユーザーアクセスが攻撃に対して堅牢であることを保証します。ソフトウェアの古いバージョン、弱い認証情報、一般的なセキュリティ設定ミスを体系的にチェックすることで、マルウェア、データ侵害、不正アクセスからサイトを積極的に保護できます。これらのチェックを実装することは、サイトのセキュリティ体制を強化するだけでなく、全体的な安定性と信頼性にも貢献します。

WordPressセキュリティ監査チェックリスト：実践ガイド

デジタル環境において、WordPressウェブサイトは貴重な資産ですが、サイバー脅威の潜在的な標的でもあります。データ侵害から改ざんまで、リスクは現実です。積極的なアプローチが最も重要であり、包括的なセキュリティ監査は最初の防御線です。このガイドでは、徹底的なWordPressセキュリティ監査を実施するための必須ステップを順を追って説明し、脆弱性が悪用される前に特定して対処できるようにします。

なぜWordPressセキュリティ監査を行うのか？

定期的なセキュリティ監査は、大企業だけのものではありません。すべてのWordPressサイトオーナーにとって不可欠です。これらは、以下を支援します。

  • 弱点の特定： 攻撃者が悪用できる古いソフトウェア、弱いパスワード、安全でない設定を明らかにします。
  • 攻撃の防止： マルウェア、ブルートフォース攻撃、SQLインジェクションなどの一般的な脅威を抑止するために、脆弱性に積極的に対処します。
  • コンプライアンスの確保： データ保護規制を満たし、ユーザーの信頼を維持します。
  • パフォーマンスの維持： セキュリティが確保されたサイトは、多くの場合、より安定し、パフォーマンスが高くなります。
  • 安心感： ウェブサイトが十分に保護されていることを知ることで、コンテンツとビジネス目標に集中できます。

包括的なWordPressセキュリティ監査チェックリスト

このチェックリストは、実践的かつ実行可能になるように設計されています。ソフトウェア自体からユーザー管理、サーバー設定まで、WordPressインストールのコア領域をカバーします。

1. WordPressコア、テーマ、プラグイン：セキュリティの基盤

古いソフトウェアは、攻撃者にとって最も一般的な侵入口の1つです。すべてを最新の状態に保つことは必須です。

  • WordPressコア：

    • チェック： WordPressの最新の安定バージョンを実行していることを確認します。ダッシュボード > 更新に移動します。
    • アクション： アップデートが利用可能な場合は、まずサイトをバックアップしてから、すぐにアップデートしてください。マイナーリリースについては、自動アップデートを有効にすることを検討してください。
    • 注意点： アップデートを実行する前に、必ずサイトをバックアップしてください。可能であれば、ステージング環境でアップデートをテストしてください。

  • テーマ：

    • チェック： インストールされているすべてのテーマ（アクティブおよび非アクティブ）が最新であることを確認します。外観 > テーマに移動します。
    • アクション： アクティブに使用していないテーマは削除してください。アクティブなテーマは速やかにアップデートしてください。カスタムテーマを使用している場合は、適切にコーディングされており、定期的にセキュリティレビューを受けていることを確認してください。
    • 注意点： マーケットプレイスから購入したプレミアムテーマは、アップデートメカニズムが異なる場合があります。テーマプロバイダーのドキュメントを確認してください。

  • プラグイン：

    • チェック： インストールされているすべてのプラグインのアップデートを確認します。プラグイン > インストール済みプラグインに移動します。
    • アクション： 使用していないプラグインは無効化して削除してください。アクティブなプラグインは、アップデートがリリースされたらすぐにアップデートしてください。プラグイン開発者のセキュリティ実績を調査してください。
    • 注意点： セキュリティ上の脆弱性があるプラグインは、非アクティブであってもリスクをもたらす可能性があります。プラグインリストを定期的に監査してください。

2. ユーザー管理とアクセス制御：人間的要素

安全でないユーザー認証情報と過剰な権限は、重大なセキュリティリスクです。

  • 強力なパスワード：

    • チェック： すべてのユーザーパスワードを確認します。それらが複雑（大文字、小文字、数字、記号の組み合わせ）でユニークであることを確認します。
    • アクション： 強力なパスワードポリシーを強制します。パスワードマネージャーの使用を検討してください。管理者アカウントには、非常に強力でユニークなパスワードを使用してください。
    • 例： P@$$wOrd123! は弱い。Tr0ub4dor&3 はより良い。XyZ7!pQ@r9#sT はさらに強力です。

  • 二要素認証（2FA）：

    • チェック： すべての管理者およびエディターアカウントで2FAが有効になっていますか？
    • アクション： 信頼できる2FAプラグイン（例：Wordfence、Google Authenticator、Two Factor Authentication）をインストールして設定します。これにより、パスワード以上の重要なセキュリティレイヤーが追加されます。
    • 利点： パスワードが侵害された場合でも、攻撃者は2番目の要素なしではログインできません。

  • ユーザーロールと権限：

    • チェック： 各ユーザーに割り当てられているロールを確認します。ユーザーはタスクに必要な権限のみを持っていることを確認します。
    • アクション： '管理者'ロールの割り当ては、絶対に必要でない限り避けてください。権限の低いユーザーには、'エディター'、'著者'、'投稿者'などのロールを使用します。不要になったユーザーアカウントは定期的に見直し、削除してください。
    • 例： コンテンツライターは管理者である必要はありません。'著者'ロールで十分です。

  • ログイン試行回数の制限：

    • チェック： ブルートフォースログイン試行から保護されていますか？
    • アクション： 一定回数のログイン失敗後にIPをロックアウトするブルートフォース保護を提供するセキュリティプラグインをインストールします。または、この目的のための専用プラグインを使用することもできます。
    • 注意点： ロックアウトメカニズムが、正当なユーザーを誤ってロックアウトしないようにしてください。

3. WordPressインストールを強化する：コアの要塞化

これらは、WordPressサイトをより回復力のあるものにするための高度なステップです。

  • デフォルトの管理者ユーザー名を変更する：

    • チェック： 管理者ユーザー名がまだ「admin」ですか？
    • アクション： もしそうなら、ユニークなユーザー名で新しい管理者アカウントを作成し、古い「admin」アカウントを削除します（コンテンツを移行した後）。これは、簡単なブルートフォース攻撃を防ぐための基本的なステップです。

  • WordPressログインURLを変更する：

    • チェック： ログインページはデフォルトのwp-login.phpまたはwp-adminでアクセス可能ですか？
    • アクション： セキュリティプラグインまたは専用プラグイン（例：WPS Hide Login）を使用してログインURLを変更します。これにより、ボットがログインページを見つけて標的にすることが困難になります。
    • 例： 新しいログインURLはyourwebsite.com/my-secret-loginのようになるかもしれません。

  • ファイル編集を無効にする：

    • チェック： WordPressダッシュボードからテーマやプラグインファイルを直接編集できますか？
    • アクション： テーマおよびプラグインエディターを無効にするために、wp-config.phpファイルに次の行を追加します。

define('DISALLOW_FILE_EDIT', true);

    *   **利点：** 管理者アカウントへのアクセス権を取得した悪意のあるユーザーが、テーマまたはプラグインファイルに悪意のあるコードを注入するのを防ぎます。

*   **`wp-config.php`を保護する：**
    *   **チェック：** `wp-config.php`ファイルは適切に保護されていますか？
    *   **アクション：** ホスティングが許可する場合、`wp-config.php`をWordPressルートディレクトリの1つ上のディレクトリに移動します。ファイルパーミッションが正しく設定されていることを確認します（例：644または640）。

*   **XML-RPCを無効にする：**
    *   **チェック：** XML-RPCは有効で、サイトに必要ですか？
    *   **アクション：** XML-RPCはブルートフォース攻撃の標的となる可能性があります。それを使用しない場合（例：WordPressモバイルアプリやJetpack用）、セキュリティプラグインまたは`functions.php`ファイルまたは`.htaccess`へのコード追加によって無効にします。
    *   **コード例（functions.php）：**
        ```php
        add_filter('xmlrpc_enabled', '__return_false');
  • データベースプレフィックスを変更する：
    • チェック： データベースはデフォルトのwp_プレフィックスを使用していますか？
    • アクション： 新規インストール時に、プレフィックスをユニークなものに変更します（例：wp_a7b3c_）。サイトが既に稼働している場合、これはバックアップと慎重な実行を必要とするより複雑なタスクであり、多くの場合プラグインまたは開発者によって行われます。
    • 利点： SQLインジェクション攻撃をわずかに困難にします。

4. セキュリティプラグイン：自動保護と監視

セキュリティプラグインは、ファイアウォール、マルウェアスキャン、アクティビティログなどを含む、堅牢な防御層を提供します。

  • 信頼できるセキュリティプラグインをインストールする：

    • チェック： セキュリティプラグインがインストールされ、設定されていますか？
    • アクション： 人気があり効果的なオプションには、Wordfence Security、Sucuri Security、MalCare、iThemes Securityなどがあります。次のような機能を有効にするためにプラグインの設定を構成します。
      • Web Application Firewall（WAF）： 悪意のあるトラフィックをサイトに到達する前にブロックします。
      • マルウェアスキャン： サイトを定期的にスキャンして悪意のあるコードを探します。
      • アクティビティログ： ユーザーのアクションとセキュリティイベントを追跡します。
      • ログインセキュリティ： 強力なパスワード、2FA、ログイン試行回数の制限を強制します。
    • 注意点： 1つのプラグインだけに頼らないでください。セキュリティは多層的なアプローチです。

  • 定期的なスキャンとレビュー：

    • チェック： セキュリティプラグインのスキャンは定期的に実行されており、レポートを確認していますか？
    • アクション： 定期的なマルウェアスキャンをスケジュールし、結果を確認します。検出された問題には速やかに対処してください。

5. バックアップと復旧：セーフティネット

最善のセキュリティ対策を講じても、データ損失は発生する可能性があります。定期的なバックアップは復旧に不可欠です。

  • 定期的なバックアップ：

    • チェック： WordPressサイト全体（ファイルとデータベース）の定期的な自動バックアップを実行していますか？
    • アクション： 信頼できるバックアッププラグイン（例：UpdraftPlus、BackupBuddy、VaultPress）またはホスティングプロバイダーのバックアップソリューションを使用します。バックアップはオフサイト（例：Google Drive、Dropbox、Amazon S3などのクラウドストレージ）に保存します。
    • 頻度： アクティブなサイトには毎日バックアップが推奨され、eコマコマースまたは高トラフィックサイトにはより頻繁なバックアップが推奨されます。

  • バックアップのテスト：

    • チェック： バックアップからの復元をテストしたことがありますか？
    • アクション： バックアップが有効で完全であることを確認するために、定期的にステージング環境またはローカル環境にバックアップを復元します。復元できないバックアップは役に立ちません。

6. サーバーとホスティングのセキュリティ：環境

ホスティング環境は、ウェブサイトのセキュリティに大きな役割を果たします。

  • 安全なホスティング：

    • チェック： ホスティングプロバイダーは信頼でき、セキュリティを意識していますか？
    • アクション： 定期的なサーバーアップデート、ファイアウォール、マルウェアスキャン、SSL証明書などの機能を提供するホスティングプロバイダーを選択します。

  • SSL証明書：

    • チェック： ウェブサイトはHTTPSを使用していますか？
    • アクション： SSL証明書がインストールされており、サイトがHTTPS接続を強制していることを確認します。これにより、ユーザーのブラウザとサーバー間で転送されるデータが暗号化されます。

  • ファイルパーミッション：

    • チェック： ファイルパーミッションは正しく設定されていますか？
    • アクション： 一般的に、ディレクトリは755、ファイルは644であるべきです。wp-config.phpのような機密ファイルは、サーバーの設定に応じて、より厳格なパーミッション（例：640または600）からメリットを得る可能性があります。

  • ディレクトリブラウジングを無効にする：

    • チェック： インデックスファイルがない場合に、訪問者がディレクトリ内のファイルのリストを表示できますか？
    • アクション： WordPressのルートディレクトリにある.htaccessファイルに次の行を追加します。

Options -Indexes


#### 7. 監視とログ：警戒を怠らない

継続的な監視は、不審なアクティビティを早期に検出するのに役立ちます。

*   **アクティビティログの確認：**
    *   **チェック：** ユーザーアクティビティログを定期的に確認していますか？
    *   **アクション：** セキュリティプラグインはアクティビティログを提供することがよくあります。異常なログイン試行、ファイル変更、ユーザーアクションを監視します。

*   **不審なファイルの監視：**
    *   **チェック：** WordPressインストールに未知のファイルやディレクトリはありますか？
    *   **アクション：** WordPressのファイル構造に異常がないか定期的に確認します。セキュリティプラグインもこれに役立ちます。

### 結論：セキュリティは旅であり、目的地ではない

WordPressセキュリティ監査の実施は、ウェブサイトを保護するための重要なステップです。このチェックリストを体系的に進めることで、一般的な攻撃に対するサイトの脆弱性を大幅に軽減できます。セキュリティは一度きりのタスクではなく、継続的な警戒が必要であることを忘れないでください。ソフトウェアを定期的に更新し、ユーザー権限を確認し、サイトを監視し、バックアップを最新の状態に保ちます。安全なWordPressサイトは回復力のあるサイトであり、最も重要なこと、つまりコンテンツとオーディエンスに集中できます。
Tags:WordPress Securitysecurity auditwebsite securitymalware preventionbrute-force attacksvulnerability assessmenthardening WordPresssecurity pluginstwo-factor authenticationbackup and recovery
Sources (5)