WordPress（ワードプレス）はその仕様上、不正アクセスなどの攻撃の機会に晒されやすく、セキュリティ対策はとても重要な課題です。
しかし、初心者の場合…
「何がどう危険なの？どう対策する？」
「そもそも WordPress の仕組みが分からない」
といったように、セキュリティ対策をするための基礎知識が足りないという問題を抱えているかと思います。
この記事では、そういった初心者の方に向けて、WordPress（ワードプレス）を安全に運用するための基礎知識や、運用する上での 危険性、そして、セキュリティ対策について解説をしていきます。
それでは、まずは WordPress（ワードプレス）を運用する上で知っておきたい「基本の仕組み」から見ていきましょう。
①基礎知識（管理画面とログイン URL の関係）
まずは、管理画面とログイン URL についての基本的な仕組みを解説してきます。
1.WordPress（ワードプレス）の管理画面とは？
WordPress（ワードプレス）の管理画面は「ダッシュボード」とも呼ばれ、サイト運営を行うために必要な操作は、基本的にすべてこの場所から行います。
- 新規記事の作成・下書きや公開記事の編集
- 新規テーマの追加・変更
- プラグインの追加・設定
- メディアファイルの管理（画像の追加・削除など）
ログインページからログインすることで初めて管理画面にアクセスできるため、通常、サイト管理者以外は管理画面に入ることはできません。
2.管理画面へアクセスするための基本 URL
管理画面へアクセスするためには「/wp-admin」を使って直接アクセスする方法と「/wp-login.php」を使ってログイン画面を経由してアクセスする２つの方法があります。
- サイト URL ＋/wp-admin で管理画面に直接アクセスできる
- ログイン済み：そのままダッシュボードにアクセス可能
- 未ログイン：ログイン画面（/wp-login.php）にリダイレクト
- サイト URL ＋/wp-login.php でログイン画面にアクセスできる
- /wp-admin のリダイレクト先に設定されている
「/wp-admin」と「/wp-login.php」はお互いに連携しており、どちらも管理画面に入るための窓口という共通点があります。
3.ログインできない時に確認するべきポイント
サイト管理者であっても、ログインできないトラブルが発生する場合があります。
システム上の仕様の問題や、ちょっとした人的ミスなどが原因になりますので、ここではその一例を挙げていきます。
- Cookie/キャッシュの問題：
古いログイン情報を参照している（キャッシュをクリア） - ログイン情報の入力ミス：
ユーザー名・パスワードの確認（正しい情報を入力） - セキュリティプラグインでの制限：
IP 制限やログインロックなど（設定の見直し、時間を空けて再入力） - プラグインでログインURLを変更：
/wp-login.php でアクセスできなくなる（URL をメモする、ページをブックマーク）
ここまでが、管理画面の基本的な仕組みについての解説です。
それでは次は、WordPress（ワードプレス）の危険性について見ていきましょう。
②WordPress（ワードプレス）の危険性
ここからは、WordPress（ワードプレス）の危険性について解説していきます。
1.仕組みを知るだけで誰でもアクセスできる仕様
WordPress（ワードプレス）はオープンソースソフトウェアのため、その仕組みが広く周知されています。
そのため、サイト管理者以外の第三者によって「/wp-admin」や「/wp-login.php」からアクセスされるリスクがあり、また、それらを完全にブロックすることが難しくなっています。
2.セキュリティ上の弱点
ブルートフォース攻撃：パスワードを総当たりで試す攻撃
Bot による自動スキャン：自動ツールがサイトを攻撃
第三者が簡単にログイン画面に入れる仕組みのため、何の対策も行っていないサイトは、上記のような攻撃に対して無防備となります。
3.ユーザー名の漏えい
WordPress（ワードプレス）にはログイン URL に加えてもうひとつ、仕様上の大きな問題があります。
それが、ユーザー名が漏えいするリスクです。
アドレスバーに「サイト URL ＋ ?author=1」 のような URL を入力してアクセスすると、そのサイト管理者のユーザー名が記載されたページが表示される場合があります。
「ユーザー名＝ログイン ID」であるため、本来であれば公開するべき情報ではありませんが、上記の方法を使うことによって、第三者が簡単にログイン情報の一部を取得できてしまいます。
③ セキュリティ対策
ここからは、セキュリティ対策に関する解説を行っていきます。
1.不正アクセスの基本対策
基本的な対策としては、以下のようなものがあります。
- 強力なパスワード：桁数や文字列の組み合わせを意識して複雑にする
- 2段階認証（2FA）：最も効果的な防御策
- ログイン試行回数の制限：ログインの失敗で操作をロック
- reCAPTCHAの導入：Bot 対策
- 最新のアップデート：本体やテーマ、プラグインの更新を管理
2.ログイン URL 変更の必要性と効果について
プラグインなどによってログイン URL（/wp-login.php）そのものを変更することも効果的ですが、デメリットを理解した上で使う必要があります。
メリット： 攻撃に晒される機会が減る
デメリット：完全な対策にはならない、ログインできないトラブルのリスクがある
URL 変更よりも、まずは「2FA・IP制限・Basic認証」など、別の対策をしっかりと行った上で、導入するかどうかを検討していきましょう。
3.サーバー側で実施できる効果的なセキュリティ対策
レンタルサーバーの機能を使って WordPress（ワードプレス）の弱点を補うこともできます。
- Basic認証：管理画面に二重のログインを追加
- 2段階認証（2FA）：最も効果的な防御策
- IP制限：特定の回線からのみアクセス可能にする
- WAF（Webアプリケーションファイアウォール）：攻撃を自動で遮断
- 国別アクセス制限：海外からの不正アクセスを防止
まとめ
WordPress（ワードプレス）管理画面の基本構造を理解すれば、初心者でも安全に運用できます
仕組みとしてまず知っておくべき点は…
「サイト URL ＋/wp-login.php」でログイン画面にアクセスできること
「サイト URL ＋ ?author=1」でユーザー名を取得される可能性があること
ログイン URL を変更した場合でも「サイト URL ＋/wp-admin」のリダイレクトを利用されてログインページが表示されてしまう（見つかってしまう）こと
になります。
上記の３つを対策することも重要ですが、初心者がまずやるべき安全対策としては…
- 複雑で強力なパスワードを設定する
- 2段階認証（2FA）※サーバーの機能
- ログイン試行回数制限※プラグインなどで補足
- 最新アップデート※管理者が確認する
これらも大事な対策となりますので、まずはできることから始めていきましょう！
プラグインを活用したセキュリティ対策については↓コチラの記事をご確認ください。
