CMS（コンテンツ管理システム）の代表的な存在とも言えるワードプレス。既に利用している方も多いですが、巷ではセキュリティが弱いと噂されることもあります。しかし本当に、ワードプレスのセキュリティは脆弱なものなのでしょうか。
そこでこの記事では、ワードプレスのセキュリティが弱いと言われる理由や診断方法、対策などを紹介します。対策に関しては初心者でもできるため、これからワードプレスを利用したいと考えている方もぜひ読んでみてください。
ワードプレスのセキュリティが弱い と言われる 理由
冒頭で述べたように、ワードプレスはセキュリティが弱いと言われることがあります。ただ、実際のところはそこまで弱いものではありません。
では一体、なぜワードプレスはセキュリティが弱いと言われているのでしょうか。その理由としては以下の3つが挙げられます。
理由1：人気であるため
ワードプレスはCMSの中で非常に人気があり、世界的に見ても最も高いシェアを誇っています。事実、書店に行くとワードプレス関連の本がいくつも並んでおり、ネットでもワードプレスに関する記事が多数公開されています。
しかし、人気であるがゆえに他のCMSよりも目立ってしまうことから、ネット犯罪者や攻撃者から狙われてしまうという欠点も。脆弱性が見つかると、その部分をネット犯罪者や攻撃者が利用し、個人情報を盗んだりシステムを改変したりなどされてしまう恐れがあります。そのため、ネット犯罪者からすれば、非常に効率良く攻撃できると思えてしまうでしょう。
また、初心者はセキュリティ対策を十分に行っていないことが多いです。きちんとワードプレスのセキュリティ対策をしていないと、ちょっとした行為で上記で紹介したようなトラブルに巻き込まれてしまうかもしれません。
理由2： オープンソースであるため
ワードプレスは無償で使えるサービスであるため、誰でも気軽に利用できます。ただ、コストがかからないのはオープンソースのためであり、オープンソースのソフトウェアはソースが公開されているためセキュリティホールが見つかりやすいです。もし見つかってしまえばすぐにネット犯罪の脅威にさらされ、トラブルに巻き込まれてしまいます。
理由3：初心者ユーザーが多いため
上記したように、ワードプレスは人気が高い上に無償で利用することが可能です。ワードプレスに関連した書物も多いことから、初めてのCMSとして初心者が多く利用しています。しかし、初心者の多くはセキュリティに対して詳しい知識を持っていないことが多いことから、何らかの攻撃を受けても十分な対応ができません。これはネット犯罪者側としては簡単に攻撃ができることにつながり、都合がいいのです。
まずはチェック！セキュリティの診断方法
もし自分のサイトのセキュリティが不安ならば、まず診断をしてみましょう。「WPScans.com」や「WPdoctor」などのサイトを使えば、自分のブログのセキュリティリスクをチェックすることが可能です。どちらも無料で使えますが、「WPScans.com」に関しては有料版に切り替えると、さらに細かい結果が見られます。今後どのようなセキュリティ対策をすれば良いのか計画を立てるためにも、まずはチェックしてみてください。
セキュリティ対策としての設定とは？
ワードプレスのセキュリティ対策は、設定から行えます。そこでこの項目では、セキュリティ対策をする上での設定内容について、いくつかピックアップしてご紹介します。プラグインを導入する前に、まずはここから対策していきましょう。
管理者アカウントの強化
ワードプレスを使うにはアカウントが必要ですが、パスワードが弱いと簡単に外部からアクセスされる危険性があります。特に、「123456」や「qwerty」のような単純すぎるパスワードは非常に危険であり、すぐに解除されてしまいます。だからこそ改めてアカウント情報を見直し、弱いようであればパスワードを変更しましょう。
最新のプログラムにアップデート
ワードプレスは定期的にプログラムのアップデートが行われます。ただ、プラグインやテーマの互換性からアップデートをせず、そのままのバージョンで使う方もいるかもしれません。確かに互換性が無いと扱いにくくなりますが、一方で不正アクセスの対象となってしまう恐れがあります。プログラムのアップデートはセキュリティも含まれているため、外部からの侵入を防ぐためにもきちんと最新のプログラムを保ちましょう。
アクセスを制限する
ワードプレスの中には重要なデータもあるため、アクセスの制限をかけましょう。例えば、もしあなたが日本でしかワードプレスを扱わないのであれば、国外からのIPアドレスを制限することで、海外からの不正アクセスを防げます。その他のアクセス制限も設定できるため、自分の環境や管理できる範囲などを考慮した上で制限を設けましょう。
追加のログイン設定を設ける
ワードプレスでは追加のログイン設定を行うことができ、安易な外部からのログインを防げます。ただ、こちらはプラグインを利用する必要があるため、すぐできるものではありません。それでも追加のログイン設定を設けることで、ログイン時のセキュリティを強化できます。
セキュリティ対策プラグインはどれが良い？
プラグインは、ワードプレスをさらに活用できる便利なものです。数多くあるため、人によって導入しているプラグインが異なっていますが、その中にはセキュリティ対策向けのプラグインもあります。
そこで最後の項目では、セキュリティ対策として役立つプラグインをいくつかピックアップして紹介します。気になるものがあれば、ぜひ追加してみてください。
導入する上で知っておきたいこと
ワードプレスにプラグインを導入する上では、2つのポイントを知っておきましょう。
1つは、セキュリティ対策だからといって全てのプラグインを導入しないことです。プラグインが多すぎるとワードプレスの動作が重たくなってしまうため、必要最低限にしましょう。このことは、セキュリティ対策だけの話ではなく、全てのプラグインで当てはまります。
もう1つは、セキュリティ対策のプラグインは有料のものが多いということです。基本的に無料版も用意されてますが、有料版よりも使える機能が限られています。とはいっても、無料版でも十分使えるプラグインもあるため、それぞれ比較しながら決めてみてください。
Wordfence Security
「Wordfence Security」は、 ワードプレスにおける全体的なセキュリティ強化ができるプラグイン。脆弱性の診断やログインの強化などもできます。「Wordfence Security」に備わっている主な機能としては、ファイアウォールの導入やサイバー攻撃によるアクセスの監視、ログイン試行回数の制限など。上記で紹介したようなログインのセキュリティ強化も、「Wordfence Security」の機能として含まれています。
All In One WP Security & Firewall
「All In One WP Security & Firewall」も、「Wordfence Security」と同じく総合的なセキュリティ強化ができるプラグインです。主な機能は、ワードプレスのバージョン情報を非表示にしたり、ログインURLを変更したりなどがあります。ログイン試行回数の制限やファイアウォールの導入といった「Wordfence Security」と同様の機能も備えています。少し変わった機能もありますが、中には扱いが難しいものもあるため、注意が必要です。
SiteGuard WP Plugin
「SiteGuard WP Plugin」を導入すれば、ワードプレスの管理画面を守ってくれます。日本語に対応しており、管理画面やログイン画面のセキュリティを重視している方におすすめ。主な機能は、ログインする際のURLの変更やアップデート情報に関するメール配信などです。画像認証を追加してくれる機能も備わっているため、ログイン認証を増やしたい方にも向いています。
BackWPup
最後に紹介する「BackWPup」は、バックアップに関するプラグインです。バックアップ以外にも、データベースの最適化や検証、修復などの機能もあります。また、DropboxやAWSなどにバックアップを保存することもできるため、特定の場所に保存したい方にも向いています。バックアップは万が一が起きた時に助かる存在であるため、こちらもしっかりと管理しておきましょう。
ワードプレスを使う際はセキュリティも注意しよう！
今回はワードプレスのセキュリティが弱い理由や対策方法などを紹介しました。ワードプレス自体のセキュリティはそこまで弱いわけではありませんが、人気があることや一部の技術者から嫌われていることなどの理由から、弱いと噂されています。ただ設定やプラグインで対策ができるため、自分のサイトが不安な方はこの機会にセキュリティ対策を強化しておきましょう。
SEデザインではオウンドメディア制作の支援を行っておりますので、ぜひお気軽にご相談ください。
