WordPressのセキュリティ対策については、以前の記事で、パスワードやプラグインの整理、更新、バックアップまでひととおりご紹介しました。
今回は、その中から「プラグイン」に絞ります。セキュリティ対策のプラグインは数多く公開されていて、「結局どれを入れればいいのか」「入れたあと、どこを設定すればいいのか」で手が止まってしまう士業さんも多いのではないでしょうか。
結論から言うと、士業事務所のサイトであれば、まずはSiteGuard WP Pluginを入れ、必要に応じてTwo Factorで二段階認証を足す、という組み合わせをおすすめしています。それぞれ、機能と、設定で見ておきたいところを順にご紹介します。
攻撃の速さが変わってきている
その前に、少しだけ最近の状況に触れておきます。
2026年7月、WordPress本体に、ログインしなくても外部からサイトを乗っ取れてしまう深刻な脆弱性（セキュリティ上の弱点）が見つかりました。「wp2shell」と呼ばれたもので、WordPress.orgが対象のサイトに強制的に自動更新をかけるという、異例の対応が取られています。
このとき話題になったのが、修正が公開されてから攻撃が始まるまでの速さです。修正内容を生成AIで読み解き、短時間で攻撃のコードを作った、という報道もありました。これまでは、修正内容から攻撃の方法を組み立てるには相応の知識と時間が必要で、そのあいだに更新を済ませれば間に合うことが多かったのですが、AIによって、その猶予がかなり短くなってきているようです。
ここで1つ、押さえておきたいことがあります。この脆弱性はログイン画面を通らずに突かれるものだったため、ログインまわりを固めるプラグインを入れていても防げませんでした。防げたのは、すぐに更新していたサイトです。
つまり、セキュリティ対策のプラグインは万能ではありません。プラグインが得意なのは、主にログイン画面まわりの守りです。そのうえで、更新が遅れないようにする仕組みとして使う。この2つの役割で考えておくと、入れたあとに過信せずに済みます。
入れるのは役割の重ならない2つ
以前の記事では「プラグインを減らすこと自体が対策になる」とお伝えしましたが、セキュリティ対策のプラグインも例外ではありません。
「念のため」と何本も入れると、同じような機能が重なって、ログインできなくなったり、どの設定が効いているのか分からなくなったりします。そこで、この記事では役割がはっきり分かれた次の2つに絞って説明していきます。
- SiteGuard WP Plugin……ログイン画面への攻撃を防ぐ、更新を知らせる
- Two Factor……パスワードが漏れても入られないようにする（二段階認証）
SiteGuard WP Pluginの機能と設定
SiteGuard WP Pluginは、国内のセキュリティ企業が開発しているプラグインです。設定画面が日本語で、項目もログインまわりの基本に絞られているため、士業さんご自身でも内容を把握しやすいのが一番の理由です。いまも比較的こまめに更新が続いています。
インストールして有効化すると、管理画面に「SiteGuard」のメニューが追加されます。主な機能は次のとおりです。
- 管理ページアクセス制限……ログインしたことのない場所からの管理画面へのアクセスを制限
- ログインページ変更……ログイン画面のURLを変える
- 画像認証……ログイン時にひらがななどの入力を求める
- ログイン詳細エラーメッセージの無効化……ユーザー名とパスワードのどちらが違うのかを表示しない
- ログインロック……何度も失敗した相手を一定時間締め出す
- ログインアラート……ログインがあるとメールで知らせる
- フェールワンス……正しいパスワードでも1回目はわざと失敗させる
- XMLRPC防御……ピンバックなどを使った攻撃を防ぐ
- 更新通知……WordPress本体やプラグインの更新があるとメールで知らせる
多くはそのままで構いませんが、士業事務所の運用によっては、見ておきたい項目がいくつかあります。
ログインページ変更はURLを控えておく
有効化すると、ログイン画面のURLが「login_」と数字5桁の形に変わります。総当たりの自動攻撃をそもそもログイン画面にたどり着かせないための機能で、効果は大きいのですが、URLを忘れるとログインできなくなります。
変わったURLは控えておき、覚えやすい名前に変えておくと安心です。あわせて「管理者ページからログインページへリダイレクトしない」にもチェックを入れておきましょう。/wp-admin/ からログイン画面のURLが分かってしまうのを防げます。
管理ページアクセス制限は外出先での作業に注意
ログインに成功したことのある場所（IPアドレス）以外からは、管理画面に入れなくする機能です。
「事務所でも自宅でも、外出先のスマートフォンからも記事を直すことがある」という士業さんの場合、場所が変わるたびに管理画面に入れず、戸惑うかもしれません。ログイン画面からあらためてログインすれば入れますので、仕組みを知っておけば問題はありません。スタッフさんにも、ひと言伝えておくとよいでしょう。
ログインアラートは更新する人数で判断する
誰かがログインするたびに、そのユーザーのメールアドレスに通知が届きます。身に覚えのないログインにすぐ気づけるのが利点です。
ただ、複数のスタッフさんが毎日のように更新している事務所では、通知が多くなりすぎて、そのうち誰も見なくなってしまいがちです。そうなるくらいなら、ログイン履歴の画面をときどき確認する形に切り替えても構いません。
フェールワンスはスタッフさんが混乱しやすい
正しいユーザー名とパスワードを入れても、1回目は必ず失敗させ、続けてもう一度入れたときだけログインできる機能です。自動攻撃はたいてい1回で次へ進むため、効果のある仕組みではあります。
ただ、知らずに使うと「パスワードは合っているのにログインできない」と混乱します。オンにするなら、ログインする人全員に仕組みを伝えておきたいところです。後で触れる二段階認証を入れる場合は、オフのままでもよいかもしれません。
更新通知はオンにしておく
上で触れたとおり、いまは更新までの時間がこれまで以上に大事になっています。更新通知は、WordPress本体、プラグイン、テーマに更新が出るとメールで知らせてくれる機能です。
管理画面を毎日開くわけではない士業さんにとっては、更新に気づくきっかけになります。通知が届いたら、その週のうちに更新する。プラグインでできる対策の中で、意外と効いてくるのはこの機能かもしれません。
レンタルサーバーによっては動かない機能もある
SiteGuard WP Pluginは、Apache系のウェブサーバーを前提に作られています。国内の主要なレンタルサーバーであれば、まず問題なく動きますが、サーバーの種類によっては、ログインページ変更などの一部の機能が働かないことがあります。
有効化したあと、ログイン画面のURLが実際に変わっているか、一度ログアウトして確かめておくと安心です。
Two Factorで二段階認証を足す
SiteGuard WP Pluginで自動攻撃はかなり防げますが、パスワードそのものが漏れてしまった場合は、正規のログインとして通ってしまいます。そこで足しておきたいのが二段階認証です。
二段階認証は、パスワードを入力したあとに、スマートフォンのアプリに表示される数字などの入力を求める仕組みです。パスワードが漏れても、スマートフォンが手元になければログインできません。
WordPressで二段階認証を追加するプラグインはいくつかありますが、Two FactorはWordPressの開発に携わっているメンバーが中心になって作っているプラグインで、機能がシンプルなことからおすすめしています。
設定は一人ひとりのプロフィール画面で行う
Two Factorは、有効化しただけでは二段階認証が始まりません。管理画面の「ユーザー」→「プロフィール」を開くと、下のほうに二段階認証の設定欄が追加されていますので、ここでユーザーごとに設定します。
選べる方法は、主に次の3つです。
- 認証アプリ……スマートフォンのアプリに表示される6桁の数字を入力する
- メール……登録しているメールアドレスに届く数字を入力する
- バックアップコード……スマートフォンが使えないとき用の、使い切りのコード
おすすめは、認証アプリとバックアップコードの組み合わせです。認証アプリは、Google AuthenticatorやMicrosoft Authenticatorなど、無料で使えるものがあります。設定欄に表示されるQRコードをアプリで読み取り、表示された数字を入力すれば完了です。
メールの方法は手軽ですが、メールのパスワードが簡単だったり、WordPressと同じパスワードを使い回していたりすると、二段階にした意味が薄れてしまいます。
バックアップコードは紙で控えておく
バックアップコードは、使い切りのコードが10個発行されるものです。スマートフォンをなくした、壊れた、機種変更でアプリを引き継ぎ忘れた、といったときの非常口になります。
「スマホの中に保存しておけばいいか」と思われたかもしれませんが、そのスマートフォンが使えないときのためのコードですので、印刷して事務所の鍵のかかる場所に保管しておく、といった形が安心です。
もし代表者以外のスタッフさんがログインできなくなった場合は、管理者がそのユーザーのプロフィール画面から二段階認証を解除できます。
全員に設定してもらうなら事務所の運用で決める
士業事務所で気をつけたいのがここです。Two Factorには、「スタッフ全員に二段階認証を必須にする」といった設定画面がありません。設定するかどうかは、ユーザー一人ひとりに任される形になります。
そのため、二段階認証を入れるなら、「管理画面にログインする人は全員、認証アプリを設定する」といったルールを事務所の中で決めて、実際に設定されているかを管理者がユーザー一覧で確かめる、という運用になります。ユーザーの権限の分け方とあわせて、一度整理しておくとよいでしょう。
SiteGuard WP Pluginと組み合わせたときのログイン
2つを組み合わせると、ログインは次の流れになります。
- 変更したURLのログイン画面を開く
- ユーザー名、パスワード、画像認証の文字を入力する
- 続いて表示される画面で、認証アプリの6桁の数字を入力する
入れたあとは、一度ログアウトして、この流れで最後までログインできるか確かめておきましょう。
なお、パスキーや、USBに挿すタイプのセキュリティキーでログインしたい場合は、Two Factorに追加するための別のプラグイン（WebAuthn Provider for Two Factor）が必要になります。まずは認証アプリから始めれば十分だと思います。
Wordfenceというプラグインもある
セキュリティ対策のプラグインとしては、Wordfenceも広く使われています。ファイアウォール、不正なファイルの検査、ログインまわりの保護、二段階認証まで、1つで多くをまかなえるのが特徴です。
その分、設定項目が多く、すべてを把握して使いこなすには少し慣れが必要です。SiteGuard WP Pluginが動かないサーバーを使っている場合や、より踏み込んだ対策をしたい場合の選択肢として考えておくとよいでしょう。
なお、WordfenceとSiteGuard WP Pluginを同時に入れるのは避けてください。ログインまわりの機能が重なり、思わぬ不具合の原因になります。
セキュリティと更新のしやすさの兼ね合い
ここまで読んで、「ログインのたびにスマホを出すのは正直おっくうだな」と感じた士業さんもいらっしゃると思います。
実際、ここは悩ましいところです。士業事務所のサイトは、法改正の解説や事務所からのお知らせなど、こまめに情報を発信していくことも多いものです。二段階認証を入れたことでログインが面倒になり、記事の更新そのものが途絶えてしまっては、セキュリティは上がっても、サイトとしては本末転倒です。
その場合は、二段階認証の代わりに、パスワードを非常に強力なものにしておくというのも1つの手です。長く、意味を持たない文字の並びにして、ブラウザやパスワード管理ツールに覚えさせておけば、ログインの手間はあまり変わりません。
ただ、ログインのときに求める要素は、増やすほど突破されにくくなります。パスワードだけ、パスワードと画像認証、そこに二段階認証、と重ねるほど、侵入される危険は下がっていきます。
どこまでセキュリティを上げるかは、更新の頻度やログインする人数との兼ね合いで決めてもよいでしょう。たとえば、次のような考え方ができます。
- 代表者が1人で、毎日のように更新する……SiteGuard WP Plugin＋非常に強力なパスワード
- 複数のスタッフさんがログインする……SiteGuard WP Plugin＋Two Factor
- 制作会社など外部の人にもアカウントがある……SiteGuard WP Plugin＋Two Factor
どの形を選ぶにしても、SiteGuard WP Pluginは土台として入れておき、更新通知が届いたら早めに更新する。そのうえで、事務所の更新のペースに合わせてTwo Factorを足すかどうかを決めていくのが、無理なく続けられる進め方ではないでしょうか。
