WordPressセキュリティ
基本対策の詳細手順

各サーバーのSSL設定場所

エックスサーバー：サーバーパネル → SSL設定 → ドメインを選択 → 無料独自SSL追加
ConoHa WING：コントロールパネル → サイト管理 → サイトセキュリティ → SSL → 有効化
ロリポップ：ユーザー専用ページ → セキュリティ → 独自SSL証明書導入

SSL証明書の発行・反映を待つ

申請後、証明書の発行・反映には通常数分〜1時間かかります。反映後、ブラウザでhttps://あなたのドメインにアクセスして鍵マーク（🔒）が表示されれば成功です。

管理画面でURLを変更

WordPress管理画面 → 設定 → 一般 → 「WordPressアドレス（URL）」と「サイトアドレス（URL）」を両方ともhttps://に変更して保存。

httpからhttpsへのリダイレクトを設定

.htaccess（WordPressルートディレクトリにある）を開き、# BEGIN WordPressの前に以下を追記：

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

ユーザー追加画面へ移動

WordPress管理画面 → ユーザー → 新規追加

新しいユーザー情報を入力

ユーザー名：「admin」「administrator」「サイト名」以外の推測されにくい名前を設定
メールアドレス：現在のものとは別のアドレスを使用
権限グループ：「管理者」を選択
「ユーザーを追加」をクリック

新アカウントでログインし直す

一度ログアウトし、新しいユーザー名・パスワードでログインします。ログインできることを確認してから次のステップへ進んでください。

旧アカウント（admin）を削除

ユーザー一覧で旧adminアカウントを削除。「すべてのコンテンツを帰属させる」で新アカウントを選択してから削除してください（投稿の帰属先が変わります）。

強固なパスワードを生成する

パスワードマネージャー（1Password・Bitwarden・KeePass等）のパスワード生成機能を使うのが最も安全です。Bitwardenは無料で使えます。WordPressの管理画面にも「強力なパスワードを生成」機能があります。

管理画面でパスワードを変更

WordPress管理画面 → ユーザー → プロフィール → 「アカウント管理」セクション → 「新しいパスワードを設定」をクリック → 生成されたパスワードをコピーして入力 → 「プロフィールを更新」

プラグインをインストール・有効化

WordPress管理画面 → プラグイン → 新規追加で「Two Factor Authentication」（開発者：David Anderson）を検索してインストール・有効化。無料で利用可能です。

スマートフォンに認証アプリをインストール

Google Authenticator・Authy・Microsoft Authenticatorのいずれかをスマートフォンにインストール。Authyはバックアップ機能があり機種変更時に便利です。

QRコードをスキャンして設定完了

WordPress管理画面 → Users → Your Profile → Two Factor Authentication → 「TOTP」を有効化 → 表示されるQRコードを認証アプリでスキャン → 認証アプリに表示される6桁のコードを入力して認証 → 完了

バックアップコードを必ず保存する

スマートフォンを紛失した際に使えるバックアップコードが表示されます。必ず印刷またはパスワードマネージャーに保存してください。これを紛失するとロックアウトの可能性があります。

FTPソフト（FileZilla等）で確認する場合

FTPでサーバーに接続 → ファイル・フォルダを右クリック → 「ファイルパーミッション」または「属性」を選択 → 現在の値を確認・変更。ディレクトリの場合は「サブディレクトリに再帰的に適用」にチェックを入れると一括変更できます。

SSH（コマンド）で一括変更する場合

SSHが使えるサーバーでは以下のコマンドで一括変更できます：

# WordPressルートに移動（public_htmlなどに置き換え）
cd /home/username/public_html

# ディレクトリを755に設定
find . -type d -exec chmod 755 {} \;

# ファイルを644に設定
find . -type f -exec chmod 644 {} \;

# wp-config.phpだけ600に設定
chmod 600 wp-config.php

マイナーアップデートの自動更新（デフォルトで有効）

WordPress 5.6以降、マイナーバージョン（4.9.x等のセキュリティ修正）は自動更新されます。無効にしている場合は以下でオフを解除：

define('WP_AUTO_UPDATE_CORE', true); // マイナー更新を自動化

プラグイン・テーマの自動更新を有効化

管理画面 → プラグイン 一覧で各プラグインの「自動更新を有効にする」をクリック。または wp-config.php に追記：

add_filter( 'auto_update_plugin', '__return_true' );
add_filter( 'auto_update_theme', '__return_true' );