WordPressのセキュリティ対策｜企業サイトの予防・点検・外注範囲
- WordPress
- 保守管理・運用
最終更新日：2026年10月10日
WordPressのセキュリティ対策は、更新・アカウント管理・バックアップ・監視を組み合わせ、異常時に誰が対応するかまで決めることが基本です。プラグインを入れるだけでは、管理者の退職や復元できないバックアップなど運用上の穴は埋まりません。この記事では、被害が起きる前の予防と企業担当者の点検を中心に、実施順序・外注範囲・費用の確認方法を整理します。
WordPressで
お困りではありませんか？
WordPressのあれこれならお任せください。
ファーストネットジャパンでは、
1998年の創業から培ってきた知見・経験を基に
WordPressのお悩みを解決いたします。
WordPressのセキュリティは4つの管理で考える
まず、サイトの管理者、サーバーの契約者、保守担当者、フォームの受信担当者を確認してください。同じ会社に委託していても、アカウント管理や監視が契約に含まれるとは限りません。次の表は導入する製品の一覧ではなく、責任と確認結果を残すための点検表です。
| 管理範囲 | 最初に確認すること | 確認結果として残すもの |
| 更新 | 本体・テーマ・プラグインの提供元と更新状況 | 製品一覧、検証日、表示・フォームの試験結果 |
| アクセス | 管理者権限、共用ID、二要素認証 | 利用者・権限・退職時の解除担当 |
| バックアップ | ファイルとデータベース、別保管先 | 取得日時、保存期間、復元試験の結果 |
| 監視・対応 | 不審な変更やログインの通知先 | 連絡先、受付時間、対応範囲 |
危険度はサイトの機能と保存する情報で変わります。企業案内だけのサイトと、会員情報・予約・決済を扱うサイトを同じチェック項目で終わらせず、データの保存場所も整理します。
WordPress保守会社を比較・選定するときに確認しておきたい、対応範囲や運用体制を実務用チェックリストにまとめました。
- WordPress・プラグイン更新
- 障害・緊急時の対応
- バックアップ・復旧体制
- 軽微修正・更新対応
- セキュリティ対策
- 契約期間・解約・乗り換え条件
フォーム入力後、メールでダウンロードURLをご案内します（PDF資料・無料）
最初に取り組むセキュリティ対策の優先順位
1. 管理者アカウントと端末を整理する
退職者や以前の制作会社が使うアカウント、用途不明の管理者を棚卸しします。編集だけの担当者に管理者権限を渡さず、作業に必要な権限へ分けます。共用IDでは操作の追跡が難しくなるため、担当者単位で管理することが基本です。変更前に業務への影響と代替担当を確認してください。
長く独自のパスワードと、対応した仕組みによる二要素認証を組み合わせます。復旧コードの保管者と、認証端末を紛失した場合の手順も必要です。管理端末のOS・ブラウザ更新も対象にし、WordPressだけを保護して終わりにしません。
2. 更新前に戻せる状態を作る
本体・テーマ・プラグインの更新情報と互換性を確認し、バックアップ、検証環境での更新、表示・フォームの確認、本番反映の順で進めます。脆弱性への緊急対応は月次点検を待つかどうかを別途判断します。更新停止が長い独自機能は、修正・代替・廃止を比較してください。
WAFやプラグインの導入前に確認すること
WAFは不審なWebリクエストを検知・遮断する仕組みですが、すべての被害を防ぐものではありません。プラグイン側とサーバー側で機能が重なる場合は、通知や遮断の管理元を揃えます。管理画面やフォームが遮断される誤検知も想定し、例外設定の承認者を決めてください。
- 公式配布元や信頼できる提供元か、更新が継続しているか
- 利用中のテーマ・会員機能・予約機能との相性を検証できるか
- ログの保存期間、通知先、誰が通知を確認するか
- 解除や復元の手順があり、担当者不在時にも引き継げるか
同じ用途の製品を重ねるほど安全になるとは限りません。設定の競合や表示速度への影響も確認し、不要な機能は整理します。
日常点検は担当・頻度・完了条件をセットにする
| タイミングの例 | 点検すること | 完了条件 |
| 担当者の入退社・委託先変更時 | 権限と連絡先 | 不要なアクセスを解除し、新担当が連絡できる |
| 更新時 | 重要ページとフォーム | 表示、送信、受信を確認し変更記録を残す |
| 定期点検時 | バックアップと通知 | 取得状況を確認し、計画した復元試験を実施 |
| 不審な変更・通知の発生時 | 影響範囲と証拠 | 担当へ連絡し、封じ込めと調査を開始 |
頻度は更新回数、扱う情報、サイト停止時の影響によって決めます。点検表には「問題なし」だけでなく、確認した画面や復元対象、未対応事項を残すと、次の担当者が再確認できます。
外注費用は予防・監視・事故対応を分けて確認する
費用を比較するときは、初期診断・設定、月次の更新検証、監視、バックアップ、緊急復旧を分けます。月額料金に含まれる項目と、障害時の追加料金、夜間・休日の受付、作業開始までの条件を確認してください。料金は要件・規模・独自機能・対応時間で変動するため、金額だけで比較しないことが重要です。
制作・運用のご相談では、プラグイン一覧、管理者一覧、サーバー契約、現在の保守契約、困っている症状を共有すると範囲を整理しやすくなります。パスワードや復旧コードは通常の問い合わせ文に書かず、安全な共有方法を担当者と決めます。
改ざんの疑いがある場合は予防作業より初動を優先する
身に覚えのないページ、不審な管理者、外部サイトへの転送などが見つかった場合は、通常の点検を続ける前に保守担当とサーバー会社へ連絡します。変更履歴やログを残し、不要と判断して先に削除しないことが大切です。WordPress公式のセキュリティ管理ガイドも、更新・アクセス制限・バックアップ・監視を組み合わせる考え方を示しています。
企業サイトの管理範囲を洗い出す具体的な手順
契約とアカウントを別々の台帳で把握する
最初にWordPressのログイン情報だけを探すと、サーバーやドメインの管理が抜けやすくなります。ドメイン登録先、DNS、サーバー、メール、SSL、WordPress、外部フォーム、解析ツールを行に分け、契約名義、請求先、管理担当、緊急連絡先を整理してください。パスワードそのものを共有台帳へ並べるのではなく、認証情報を保管する仕組みとアクセスできる人を記載します。
例えば、制作会社がWordPressを更新し、総務がドメイン料金を支払い、営業がフォームを受信している企業では、それぞれが自分の担当しか把握していないことがあります。ドメインの更新通知が退職者に届いていれば、WordPressが安全でもサイトは継続できません。担当者名だけでなく代替担当と通知先の組織アドレスまで確認することで、担当交代時の抜けを減らせます。
保存する情報から優先順位を決める
サイトに会社情報しか載せていなくても、フォームの送信履歴や添付ファイル、管理者のメールアドレスを保存している可能性があります。会員登録や予約があれば、外部サービスとWordPressのどちらが情報を保持するかも確認します。保存する項目、保存期間、閲覧権限、削除担当を整理すると、どの機能を重点的に保護すべきかを説明しやすくなります。
使っていない会員機能や過去のフォームが残っている場合は、公開する必要とデータを保持する必要を分けて判断してください。不要だからと即座に削除するのではなく、業務上の保管要件とバックアップを確認し、関係者の承認を得て整理します。情報を減らす判断もセキュリティ対策の一部ですが、証拠や必要な記録まで失わない運用が重要です。
更新作業の標準手順と、途中で止める判断
更新ボタンを押したことと、安全に更新が完了したことは同じではありません。担当者が毎回同じ確認を行えるように、対象の選定、バックアップ、検証、公開、記録を一つの作業票へまとめます。本番の作業時間は、フォームの利用が多い時間帯や予約の締切も考慮して決めてください。緊急の脆弱性対応では通常の予定を待たず、保守担当と優先度を判断します。
| 工程 | 作業内容 | 次へ進む条件 |
| 事前確認 | 更新対象と互換性、独自変更、注意事項を確認する | 担当者と影響する機能が特定されている |
| 復旧準備 | 直前のファイルとデータベースを保存し、戻す方法を確認する | 取得成功だけでなく復元対象と担当が分かる |
| 検証環境 | 本番と近い条件で更新し、主要な操作を試す | 重要画面、送信、受信、権限に問題がない |
| 本番作業 | 承認した対象だけを反映し、同じ操作を再確認する | 利用者側と管理者側の確認が終わっている |
| 記録 | 変更日、製品の版、確認結果、残課題を保存する | 次の担当者が変更内容と戻し方を追える |
更新後の確認はトップページだけで済ませず、主力サービス、問い合わせ、検索、会員ログイン、予約、管理画面など、サイトの役割に沿って選びます。フォームでは送信完了画面が出ても、受信側に届かないことがあります。テスト用データを使い、実際の受信先まで確認したうえで記録してください。個人情報を含む実データを検証環境へ複製する場合は、必要性とアクセス制限を確認します。
白い画面、管理画面へのログイン不可、入力内容の消失、通知不達などが出たら、関連のない設定を次々と変更しないことが大切です。発生時刻、直前の変更、再現する操作を記録し、更新前へ戻すか、公開機能を一時的に制限するかを判断します。戻した場合も、その更新を不要と扱わず、原因と代替案を整理して再実施する予定を残します。
WordPressで
お困りではありませんか？
WordPressのあれこれならお任せください。
ファーストネットジャパンでは、
1998年の創業から培ってきた知見・経験を基に
WordPressのお悩みを解決いたします。
バックアップは復元できる範囲まで確認する
ファイルとデータベースの取得時点をそろえる
画像やテーマなどのファイルだけを保存しても、記事、設定、フォーム履歴などが入るデータベースを復元できなければ、以前のサイトへ戻せません。反対にデータベースだけでは、必要なプログラムや画像が不足します。取得方法、取得日時、対象、保存先、保存期間をそろえて確認し、更新作業前の状態を識別できる名前や記録を残してください。
バックアップを同じサーバーの中だけに置くと、サーバー障害や不正アクセスの影響を同時に受ける可能性があります。別の保管先を使う場合も、誰でも読める状態では意味がありません。閲覧権限、暗号化などの保護、削除権限、保存先への認証を確認します。バックアップには公開していない情報が含まれることがあるため、一般の共有フォルダと同じ扱いにはしないでください。
復元試験で「どこまで戻るか」を説明する
復元試験は、本番へいきなり上書きする作業ではありません。検証用の環境へ戻し、記事や画像、管理画面、フォーム設定、独自機能が必要な範囲で使えるかを確認します。メール送信や外部連携が実際の取引先へ動かないように調整し、試験終了後は複製データの扱いも決めます。試験の成功日時と対象を残すことで、取得済みという説明から復元可能という説明へ進めます。
例えば前日の夜に取得したバックアップで復旧すると、その後に追加した記事や予約データが戻らない場合があります。許容できるデータ損失と停止時間を、サイトの利用部門と合意してください。更新頻度の低い会社案内と、毎日申込を受け付けるサイトでは条件が違います。数値を一律に決めず、どのデータをどの方法で補うかまで含めて、取得頻度と復旧方法を選びます。
通知を放置しないための監視と連絡体制
監視を導入しても、通知が誰にも読まれなければ対応につながりません。サイトの稼働、証明書の期限、更新状況、不審なログイン、ファイル変更など、何を監視するかを契約と照らして整理します。通知メールを受ける人、判断する人、作業できる人が同じとは限らないため、連絡経路を具体的に決めることが必要です。夜間や休業日の扱いも別途確認します。
すべての通知を同じ緊急度で扱うと、重要な連絡が埋もれます。例として、公開ページが表示できない、第三者へ転送される、管理者が勝手に追加されたといった状態は、通常の更新案内と分けてエスカレーションします。通知の内容だけで被害を断定せず、対象URL、時刻、再現条件を確認し、保守担当へ渡します。誰が確認したかを残せる仕組みも用意してください。
連絡訓練では、管理者の認証端末が使えない場合や、制作会社の担当者が不在の場合も想定します。サーバー会社へ契約者が連絡できるか、ドメインの管理者を確認できるか、バックアップを取得した人が復元担当へ引き継げるかを試してください。復旧コードや秘密情報を会議資料へ掲載する必要はありません。安全に保管した情報を、必要な権限の人が取り出せることを確認します。
保守会社へ渡す依頼メモと見積もり比較の例
見積もりを依頼するときは、「セキュリティを強くしたい」だけでなく、対象サイトの機能と不安を分けて伝えると比較しやすくなります。例えば、会社案内と資料請求フォームを運用し、月に数回記事を更新するサイトなら、更新検証、フォーム受信、アカウント棚卸し、別保管バックアップを相談事項として整理できます。これは依頼条件の例であり、すべてのサイトへ同じ作業を勧めるものではありません。
| 依頼メモの項目 | 記入する内容の例 |
| サイトと業務 | 企業サイト、資料請求フォーム、社内担当者による記事更新 |
| 困りごと | 更新を止めている製品がある、復元試験をしたことがない |
| 担当範囲 | 社内は原稿更新、委託先は更新検証と技術作業を希望 |
| 希望する記録 | 月次の実施内容、未対応事項、バックアップと復元試験の結果 |
| 緊急対応 | 受付時間、連絡方法、作業開始条件、別料金の範囲を確認 |
比較では、更新回数だけでなく、検証用環境の用意、独自機能の確認、障害時の復旧、外部サービスとの調整が含まれるかをそろえます。安い月額でも緊急復旧や独自プログラムの調査が別途であれば、必要な費用は変わります。定額に含める作業と、都度見積もりにする作業を分け、追加作業を誰が承認するかまで契約時に確認してください。
保守の完了条件は、報告書の提出だけではありません。未対応の更新や要調査の通知があれば、理由、影響、次の予定を確認します。担当者交代時には製品一覧、変更履歴、連絡先、復旧手順を引き継ぎ、委託終了時にはアクセス権を整理します。月次点検を積み重ねながら、サイトの機能変更や保存情報の増加に合わせて対策範囲も見直すことが、継続できる企業サイト運用につながります。
点検を始める月は、未確認の範囲を見えるようにする
初回の点検では、すべてを問題なしにする必要はありません。管理者一覧を確認済み、バックアップの保存先は確認中、復元試験は未実施というように、確認済みと未確認を区別します。未確認の項目には担当者と次の確認日を付けてください。作業が進むほど空欄が減り、残っているリスクと次に使う予算を説明できる状態を目指します。
WordPressの安全な運用をファーストネットジャパンへ相談する
ファーストネットジャパンは、1998年創業・大阪市中央区を拠点とするWeb制作会社です。4,000件超の制作実績をもとに、企画・設計・制作から公開後の運用改善まで一貫して支援します。
制作実績の件数は当社のWeb制作などを含む総実績であり、この記事の業種や支援メニューだけの件数ではありません。課題と既存環境を確認し、必要な作業範囲をご提案します。
Web制作と関連機能をまとめて相談できる
WordPressの制作・改修と保守をまとめて相談でき、現在のテーマ、プラグイン、独自機能、サーバー環境を確認して対応範囲を整理します。更新するだけでなく、フォームや会員機能など事業に必要な動作を維持できるよう、検証方法と役割分担を検討します。
公開後の運用と改善まで範囲を整理する
公開後の更新、バックアップ、表示確認、SEOや問い合わせ導線の改善もご相談いただけます。監視や緊急復旧の受付時間、初動、追加作業は契約によって異なるため、実際の環境と希望条件を確認してご案内します。常時対応や完全な被害防止を一律に保証するものではありません。
ご相談時に用意するとよい情報
サイトURL、現在の保守契約、分かる範囲の製品一覧、更新できていない機能、社内の更新担当をお知らせください。秘密情報を問い合わせ文に記載する必要はありません。改ざんなどの症状がある場合は、通常の保守相談と分けて発見日時と症状を先に共有してください。
要件や予算が固まっていない段階でも構いません。現状の困りごと、希望時期、自社で担当できることをお知らせください。見積もりでは初期作業と継続支援を分け、対応範囲と費用をご確認いただいてから進めます。
【関連記事】
WordPressの脆弱性と確認方法
WordPressバックアップと復元の考え方
WordPress乗っ取りの緊急対処と復旧依頼
よくある質問
Q. WordPressはセキュリティ対策をしないと危険ですか？
更新や権限管理を放置すると、既知の脆弱性や漏えいした認証情報を悪用されるリスクが高まります。更新、アクセス管理、バックアップ、監視を組み合わせて継続的に確認してください。
Q. セキュリティプラグインだけで十分ですか？
十分とはいえません。管理者権限、端末、サーバー側の保護、バックアップの復元、通知後の対応まで含めて運用を整える必要があります。
Q. 二要素認証を導入するときの注意点は何ですか？
利用中の環境との相性と、端末紛失時の復旧方法を確認します。管理者から試し、復旧コードの安全な保管と代替担当者の手順を決めてから対象を広げます。
Q. バックアップは何を保存しますか？
WordPressのファイルとデータベースを対象にします。別の保管先、保存期間、取得状況に加え、必要なデータを復元できることも確認してください。
Q. 外注費用は何で変わりますか？
独自機能、更新頻度、保存する情報、検証環境、監視範囲、緊急時の対応時間などで変わります。初期設定・月次作業・事故対応を分けて見積もりを確認します。
Q. 改ざんが疑われるときは何から始めますか？
発見日時と症状を記録し、保守担当者とサーバー会社へ連絡します。ログや変更履歴を残してから、被害の拡大防止と調査・復旧を相談してください。
まとめ
WordPressのセキュリティ対策は製品の導入だけで終わりません。更新・権限・復元・監視の担当と確認結果を残し、点検から異常対応までつながる運用にしましょう。自社で判断できない項目は、対象環境と必要な対応時間を整理して相談することから始められます。
WordPressで
お困りではありませんか？
WordPressのあれこれならお任せください。
ファーストネットジャパンでは、
1998年の創業から培ってきた知見・経験を基に
WordPressのお悩みを解決いたします。
