サイトを守るための「セキュリティ」基本対策｜バックアップ・更新管理をやさしく解説
「セキュリティ対策なんて、大きな企業の話でしょ？」
そう思っているサイト運営初心者の方こそ、この記事を読んでほしいと思います。じつは、ハッカーや悪意ある攻撃者は大企業だけを狙っているわけではありません。むしろセキュリティ対策が手薄な個人・中小規模のサイトは格好の標的になりやすいのが現実です。
サイトが不正アクセスを受けると、コンテンツが書き換えられる・個人情報が流出する・訪問者にウイルスをばらまいてしまう・検索エンジンにスパムサイトと判定されるといった深刻な被害が起こります。一度信頼を失ったサイトを復旧するには、膨大な時間とコストがかかります。
セキュリティ対策は「何か起きてから考えるもの」ではなく、「最初から仕組みとして整えるもの」です。この記事では、サイト運営初心者が必ず知っておきたい5つの概念――バックアップ・ログイン防御・脆弱性対策・権限管理・更新管理――をわかりやすく解説します。難しい技術知識がなくても、今日から実践できる内容ばかりです。
万が一に備える「保険」を用意する｜バックアップの基本と仕組み
セキュリティ対策の第一歩として、まず取り組んでほしいのがバックアップの仕組みを整えることです。
バックアップとは、サイトのデータ（記事・画像・設定情報・データベースなど）を定期的に別の場所にコピーして保存しておくことです。不正アクセスや操作ミス・サーバー障害などでサイトが壊れてしまったとき、バックアップがあれば以前の状態に復元することができます。
どれだけ万全のセキュリティ対策を講じていても、100%安全なサイトは存在しません。バックアップは「問題が起きないようにする対策」ではなく「問題が起きたときに取り返しのつく状態にしておく対策」です。この考え方が非常に重要です。
バックアップの基本ルールを押さえておきましょう。
・定期的に自動でバックアップを取る
毎日または週に1回など、更新頻度に応じた間隔で自動バックアップを設定しましょう。手動で行うと忘れるリスクがあるため、自動化が基本です。WordPressでは「UpdraftPlus」などのプラグインを使えば、スケジュール設定から保存先の指定まで管理画面から簡単に設定できます。
・バックアップデータはサーバーとは別の場所に保存する
サーバー内だけにバックアップを保存していると、サーバー自体に障害が起きたときにバックアップごと失われてしまいます。Google DriveやDropboxなどのクラウドストレージ、または手元のパソコンにも保存しておくことを強くおすすめします。
・復元できるかどうかを定期的に確認する
バックアップを取っていても、復元できなければ意味がありません。半年に一度程度は実際に復元テストを行い、バックアップデータが正常に機能しているかを確認しましょう。
・バックアップの世代数を複数持つ
直近のバックアップだけでなく、1週間前・1か月前のデータも保管しておくと安心です。問題が発生してからバックアップを取ってしまった場合でも、古い世代のデータから復元できます。
「入口」を強固に守る｜ログイン防御と脆弱性対策の重要性
サイトへの不正アクセスは、多くの場合「管理画面への不正ログイン」を起点として起こります。そのためログイン防御はセキュリティ対策の中でも特に優先度が高い取り組みです。
ログイン防御とは、サイトの管理画面への不正なログインを防ぐための対策全般のことです。WordPressの場合、管理画面のURLがデフォルトでは「/wp-admin」に固定されているため、攻撃者が標的にしやすい構造になっています。
ログイン防御の基本対策をまとめます。
・推測されにくい強力なパスワードを使う
「admin」「12345678」「サイト名+数字」のような単純なパスワードは絶対に避けてください。大文字・小文字・数字・記号を組み合わせた16文字以上のパスワードを設定しましょう。パスワード管理ツール（1PasswordやBitwardenなど）を使えば、複雑なパスワードを安全に管理できます。
・ユーザー名を「admin」にしない
WordPressのデフォルトユーザー名「admin」は攻撃者が最初に試すものです。インストール時から別の名前に変更しておきましょう。
・二段階認証を設定する
二段階認証とは、パスワードに加えてスマートフォンへの認証コードなど、もう一段階の本人確認を求めるセキュリティ機能のことです。万が一パスワードが漏れても、不正ログインを防ぐことができます。WordPressではプラグインで設定できます。
・ログイン試行回数を制限する
「ブルートフォース攻撃」と呼ばれる、パスワードを総当たりで試す攻撃を防ぐため、一定回数以上ログインに失敗したIPアドレスをロックする設定を入れましょう。
・管理画面URLを変更する
デフォルトの「/wp-admin」から別のURLに変更することで、攻撃者が管理画面を見つけにくくなります。プラグインで設定できます。
続いて脆弱性対策について解説します。
脆弱性とは、ソフトウェアやシステムに存在するセキュリティ上の欠陥・弱点のことです。この脆弱性を突かれることで不正アクセスやサイト改ざんが起こります。脆弱性対策とは、こうした弱点を生じさせない・放置しないための取り組みです。
脆弱性は特定のテーマやプラグイン、WordPressのバージョンに発見されることがあります。発見された脆弱性は開発者によって修正されますが、利用者側がアップデートを適用しなければ意味がありません。脆弱性対策において、後述する「更新管理」は最も基本的かつ効果的な手段です。
また、セキュリティプラグインの導入も脆弱性対策として有効です。不審なアクセスの検知・ブロック・マルウェア（悪意あるプログラム）のスキャンなどを自動で行ってくれます。
「人とソフトウェア」の管理を整える｜権限管理と更新管理の実践
セキュリティ対策は技術的な設定だけでなく、サイトに関わる「人」と「ソフトウェア」の管理も重要な要素です。ここでは権限管理と更新管理について解説します。
権限管理とは、サイトの管理画面にアクセスできるユーザーの役割と操作範囲を適切に設定・管理することです。
複数人でサイトを運営している場合、全員に管理者（最上位の権限）を付与するのは非常に危険です。権限が広いアカウントが不正アクセスを受けると、被害が全体に及ぶリスクが高まります。
WordPressでは以下のような権限（ロール）が設定できます。
・管理者：すべての設定・操作が可能な最上位権限。サイト全体の管理責任者のみに付与します。
・編集者：すべての記事の作成・編集・公開が可能。コンテンツ管理の責任者に適した権限です。
・投稿者：自分の記事の作成・編集・公開が可能。ライターなど記事執筆を担当するメンバーに適しています。
・寄稿者：記事の作成・編集は可能だが公開はできない。外部ライターに付与するのに適しています。
権限管理の基本原則は「必要最小限の権限だけを付与する」ことです。業務上必要のない操作ができる権限を与えることは、リスクを不必要に高めることになります。担当業務に応じた適切な権限を設定し、定期的に見直す習慣をつけましょう。
また、退職・契約終了・役割変更があった場合は、速やかにアカウントの削除または権限変更を行ってください。使われなくなったアカウントの放置はセキュリティ上の大きなリスクになります。
続いて更新管理について解説します。
更新管理とは、WordPress本体・テーマ・プラグインなどのソフトウェアを常に最新の状態に保つための管理作業のことです。
ソフトウェアのアップデートには、新機能の追加だけでなく「発見された脆弱性の修正」が含まれています。古いバージョンを使い続けることは、既知の脆弱性をさらし続けることと同義です。攻撃者は古いバージョンを使用しているサイトを狙って攻撃を仕掛けることがあるため、更新を怠ることは非常にリスクの高い行為です。
更新管理の基本ルールを押さえておきましょう。
・WordPress本体・テーマ・プラグインの更新通知を見逃さない
管理画面のダッシュボードに更新通知が表示されたら、できるだけ早めに適用しましょう。特にセキュリティ修正を含むアップデートは優先的に対応してください。
・更新前にバックアップを必ず取る
アップデートによって稀にサイトの表示崩れや不具合が発生することがあります。更新前にバックアップを取っておけば、問題が起きても即座に元の状態に戻せます。
・使っていないテーマ・プラグインは削除する
無効化しているだけで削除していないテーマやプラグインも、脆弱性の温床になります。使っていないものは管理画面から完全に削除しておきましょう。
・自動更新の設定を検討する
WordPress本体のマイナーアップデートは自動更新に設定することができます。ただし、メジャーアップデートは互換性の問題が起きやすいため、手動で確認してから適用することをおすすめします。
この記事のまとめ
この記事では、サイトを守るためのセキュリティ基本対策として5つの概念を解説しました。
- バックアップ：サイトデータを定期的に別の場所にコピーし、復元できる状態を保つこと
- ログイン防御：管理画面への不正ログインを防ぐためのパスワード・認証・アクセス制限の対策
- 脆弱性対策：ソフトウェアの欠陥・弱点を生じさせない・放置しないための取り組み
- 権限管理：サイトに関わるユーザーの役割と操作範囲を適切に設定・管理すること
- 更新管理：WordPress本体・テーマ・プラグインを常に最新の状態に保つ管理作業
セキュリティ対策は「面倒な作業」ではなく、育ててきたサイトと訪問者を守るための「当然の責任」です。一度被害を受けてからでは取り返しのつかない事態になりかねません。
まずはバックアップの自動化と、ログイン画面の強化から始めてみてください。小さな対策の積み重ねが、大きなリスクを遠ざけます。あなたのサイトを守る仕組みを、今日から少しずつ整えていきましょう。
サイト運営初心者のための必須用語辞典
大切に育てたホームページ（HP）や訪問者の個人情報を、悪質なハッカーやウイルスから守るためのセキュリティに関する重要キーワード解説集です。トラブルを未然に防ぎ、安全にサイトを運営するために、初心者が最低限知っておくべき防御の基本用語を一覧で解説します。
■ サイバー攻撃（Cyberattack）
インターネットを通じて、ウェブサイトのデータを盗んだり、ページを改ざんしたり、システムを破壊したりする悪意ある執拗な攻撃のこと。
■ 不正ログイン（Unauthorized Login）
悪意ある第三者が、他人の管理画面のIDやパスワードを盗み見たり予測したりして、管理人になりすまして勝手にログインすること。
■ ブルートフォースアタック / 総当たり攻撃（Brute Force Attack）
パスワードを解読するために、考えられるすべての文字の組み合わせ（「aaaa」「aaab」など）を、コンピューターを使って超高速で片っ端から試す原始的かつ強力な攻撃手法。
■ 強固なパスワード（Strong Password）
第三者に推測されにくい複雑なパスワードのこと。英大文字・小文字・数字・記号を混在させ、文字数を12文字以上にするなど、辞書に載っている単語や誕生日を避けて作成します。
■ 二要素認証 / 2段階認証（Two-Factor Authentication）
管理画面へログインする際、ID・パスワードの入力に加えて、スマホに届く1回限りの確認コード（セキュリティコード）などを追加で入力させる、セキュリティを格段に高める仕組み。
■ アップデート（Update）
WordPressなどのCMS、テーマ、プラグインを最新のバージョンに更新する作業。機能追加だけでなく、発見された安全上の欠陥（脆弱性）を塞ぐために必須の作業です。
■ 脆弱性（Vulnerability）
プログラムの設計ミスなどが原因で生じた、安全上の「欠陥」や「セキュリティの穴」のこと。ここを放置すると、ハッカーに攻撃される隙を与えることになります。
■ 改ざん（Tampering）
ハッカーによってウェブサイトのデータを書き換えられてしまうこと。勝手に別のデザインに変えられたり、サイトを訪れた人にウイルスを感染させる罠を仕込まれたりします。
■ マルウェア（Malware）
ウイルス、トロイの木馬、スパイウェアなど、悪意を持って作成された有害なソフトウェアやプログラムの総称。感染するとサイトが正常に動かなくなったり、データが消えたりします。
■ スパム（Spam）
ブログのコメント欄やお問い合わせフォームから、ロボット（自動プログラム）を使って大量に送りつけられる、無関係な宣伝や詐欺サイトへの誘導リンクが含まれた迷惑メッセージのこと。
■ CAPTCHA / キャプチャ（Completely Automated Public Turing test to tell Computers and Humans Apart）
お問い合わせフォームなどで見かける「私はロボットではありません」というチェックボックスや、歪んだ文字を入力させる仕組み。人間と機械（ロボット）を判別し、大量のスパム送信を防ぎます。
■ WAF（ワフ / Web Application Firewall）
ウェブサイトの直前に設置する「見張り番（防火壁）」のこと。一般的なウイルス対策ソフトでは防げない、ウェブサイトの「お買い物カート」や「問い合わせフォーム」を狙った特殊な攻撃をブロックします。