個人や小規模サイトでもできるホームページのセキュリティ対策｜今日から始める実践チェックリスト

「うちみたいな小さな個人サイトを、わざわざ狙う人なんていないだろう」——ホームページのセキュリティについて、軽く考えている方も多いのではないでしょうか。

しかし実際の攻撃の多くは、特定のサイトを狙い撃ちしているわけではありません。

世界中のサイトを無差別に自動スキャンし、古いバージョンのソフトウェアや弱いパスワードなど、隙のあるサイトを機械的に見つけ出す仕組みがほとんどです。

WordPressは世界のサイトの4割以上で使われている分、この無差別スキャンの対象になりやすいCMSでもあります。

この記事では、個人や小規模サイトの運営者が、専門知識がなくても今日から取り組めるセキュリティ対策を、優先度の高い順に具体的に紹介します。

なぜ個人・小規模サイトも狙われるのか

セキュリティ対策を怠ると、次のような被害につながる可能性があります。

• サイトを改ざんされ、無関係な広告やウイルス配布サイトへのリンクが埋め込まれる
• Googleから「このサイトは安全ではない可能性があります」という警告が表示され、検索順位・アクセス数が下落する
• サーバーが乗っ取られ、迷惑メール送信の踏み台にされる
• お問い合わせフォームなどに入力された、お客様の個人情報が漏洩する

どれも気づいたときには手遅れになりやすいトラブルです。

ここから紹介する対策を、優先度の高いものから順に取り入れてみてください。

1. 強力なパスワードの管理

サーバーやホスティングの管理パネル、FTP/SFTPアカウント、WordPressの管理画面など、すべてのログイン先で強力なパスワードを設定します。

パスワードは大文字・小文字・数字・記号を組み合わせて、なるべく複雑なものを。

加えて、次の点も意識してください。

意識したいポイント	良い例	避けたい例
使い回し	サービスごとに異なるパスワード	複数サービスで同じパスワードを使い回す
管理方法	パスワード管理ツールで生成・保管	ブラウザの付箋やメモ帳に平文で保存
長さ	12文字以上のランダムな文字列	誕生日・電話番号・辞書に載っている単語

以前は「定期的にパスワードを変更すべき」とよく言われましたが、近年は海外のセキュリティ機関を中心に、むやみな定期変更よりも「使い回さない」「十分な長さと複雑さを確保する」ことの方が重要だという考え方が主流になっています。

まずはこの2点を徹底してください。

2. SSL証明書の導入

SSL証明書を導入してサイトをHTTPS化すると、サイトとユーザー間の通信が暗号化されます。

多くのレンタルサーバーが無料でSSL証明書を導入できるオプションを提供しているので、管理パネルから設定しましょう。

※SSLの仕組みや、常時HTTPS化のメリットについては「【初心者必見】SSLの必要性とウェブサイトの安全対策」で詳しく解説しています。

3. ログインまわりの保護を強化する

パスワードを強化しても、ログイン試行そのものを無制限に許してしまうと、総当たり攻撃（ブルートフォース攻撃）のリスクが残ります。

特にWordPressサイトでは、以下の対策を組み合わせておくと安心です。

• ログイン試行回数の制限：一定回数パスワードを間違えたIPアドレスを一時的にブロックする
• 管理画面URLの変更：標準の「/wp-admin/」「/wp-login.php」から推測されにくいURLに変更する
• 二段階認証(2FA)の導入：パスワードに加えてスマートフォンアプリ等での認証を必須にする
• 画像認証(CAPTCHA)の設置：ログインフォームに機械的な総当たり攻撃を防ぐ仕組みを追加する

これらは後述する「SiteGuard WP Plugin」のようなセキュリティプラグイン1つでまとめて設定できることが多く、個別にツールを探す必要はありません。

4. 定期的なバックアップ

万が一改ざんや消失が起きても、バックアップさえあれば復旧できます。

対策をしていても、いつかは何かが起きるかもしれないという前提で、バックアップ体制を整えておくことが最後の砦になります。

バックアップ対象	頻度の目安	保存先
データベース(記事・設定情報)	更新頻度が高いサイトは週1回〜、更新が少ないサイトは月1回	サーバーとは別の場所(クラウドストレージ等)
ファイル一式(画像・プラグイン・テーマ)	大きな変更を加えたタイミングごと	サーバーとは別の場所
プラグイン更新前のスナップショット	アップデートの都度	手動保存または自動バックアップツール

WordPressであれば無料プラグインで、バックアップの自動化とクラウドストレージへの保存を設定できます。

意外と見落とされがちですが、バックアップは「取ること」よりも「実際に復元できるか一度試しておくこと」の方が重要です。

5. ファイルのアクセス権限の設定

サーバー上のファイルやディレクトリのアクセス権限(パーミッション)を適切に設定し、部外者がファイルを書き換えられないようにします。

FTPクライアントやホスティングのファイルマネージャーから設定できます。

一般的には、ディレクトリは「755」、ファイルは「644」、そしてWordPressの設定情報が入った「wp-config.php」のようなデータベース接続情報を含むファイルは、可能であれば「440」や「400」といったより厳しい権限に設定するのが推奨されています(サーバーの仕様により対応できない場合もあるため、契約しているレンタルサーバーのマニュアルもあわせて確認してください)。

6. ファイアウォール(WAF)の設定

WAF(Webアプリケーションファイアウォール)は、Webアプリケーションの脆弱性を悪用した攻撃からサイトを保護する仕組みです。

不正アクセスからサイトを守り、簡単な設定でWordPressなどの安全性を高められます。

エックスサーバーをはじめ、多くのレンタルサーバーが管理画面からワンクリックでWAFを有効化できる機能を標準搭載しています。

まだ設定していない場合は、契約中のサーバーの管理パネルを一度確認してみてください。

7. 定期的なセキュリティ診断

セキュリティサービスを利用して、定期的にサイトの診断を行いましょう。

有料の診断サービスは高額なことが多いですが、無料の診断でも「何もしないよりはるかに安心」というレベルの効果は得られます。

無料でマルウェアチェックができる「VirusTotal」は、ウイルス・ワーム・トロイの木馬など、さまざまな種類のマルウェアを素早く検出できます。

あわせて、Google Search Consoleの「セキュリティの問題」レポートも月1回程度は目を通しておくと、Google側が検知した異常にいち早く気づけます。

8.【WordPress】定期的なソフトウェアのアップデート

WordPressを利用している場合は、コア本体・プラグイン・テーマを常に最新バージョンに更新します。

管理画面にログインし、アップデート通知が表示されたら速やかに更新するのが基本です。

ただし、アップデートが原因でサイトの表示が崩れることも稀にあります。
更新前には必ずバックアップを取っておき、可能であればステージング環境(本番と同じ内容の検証用サイト)で先に動作確認してから本番に反映するのが理想です。

個人・小規模サイトでステージング環境の用意が難しい場合は、せめてプラグインを1つずつ更新して、都度表示を確認する方法をおすすめします。

※これからWordPressでサイトを立ち上げる方は、「【初心者向け】これだけ見れば絶対できる！WordPressでホームページを作成する手順」もあわせてご覧ください。

9.【WordPress】セキュリティプラグインの利用

WordPressには、セキュリティ対策ができるプラグインが豊富にあります。

現場でよく使われている代表的なプラグインを紹介します。

プラグイン名	特徴	向いている人
SiteGuard WP Plugin	日本語対応。ログインページURL変更・画像認証・管理ページのアクセス制限など多機能	まず1つだけ導入したい初心者
All In One WP Security & Firewall	ユーザーアカウント保護・ファイルシステム保護・スパム防止など総合的な機能	幅広い項目を一括で管理したい人
Wordfence Security	リアルタイムの脅威防止・マルウェアスキャン・ファイアウォール・ログイン試行制限	より高いレベルの監視・防御を求める人

注意点として、セキュリティ系のプラグインは複数同時に導入すると、機能同士が競合してエラーや表示崩れの原因になることがあります。

基本的には1サイトにつき1つの総合セキュリティプラグインに絞るのがおすすめです。

セキュリティ対策も、目に見えない「安心」という顧客体験のひとつ

ここまで紹介してきた対策は、どれも訪問者の目には直接触れない、いわば「裏方」の作業です。

しかし、この裏方の作業が疎かになった瞬間に、訪問者が体験する印象は一変します。ブラウザに警告が表示されたサイト、問い合わせフォームが正常に送信されないサイトを、安心して利用したいと思う人はいません。

見た目のデザインだけを整えても、その裏側の安全性が伴っていなければ、訪問者に「ここは大丈夫だろうか」という小さな不安を残してしまいます。

逆に言えば、セキュリティ対策は派手さこそありませんが、サイトを訪れた人が最後まで安心して問い合わせや購入に進めるという、顧客体験(CX)を下支えする土台のひとつだと私は考えています。

AIの普及でホームページの見た目自体は誰でも簡単に整えられる時代になった今、こうした見えない部分への配慮こそが差になりつつあるという話を「AIで見た目が均一化する時代に、差がつくのは「顧客体験」」でも触れていますので、あわせて読んでみてください。

まとめ

個人や小規模サイトであっても、紹介した対策を一つずつ組み合わせることで、十分に高いレベルのセキュリティを確保できます。

すべてを一度に完璧にする必要はありません。まずはパスワード管理とバックアップ体制の2つから着手し、余裕ができたらログイン保護やWAF設定へと広げていくのがおすすめです。

こうした保守・セキュリティ対策にかかる継続的な費用感については「ウェブサイト管理費について」でも触れています。

自分で対応するのが難しい、あるいは現状のサイトのセキュリティ状態を一度プロに見てほしいという方は、料金ページもご覧のうえ、お気軽にお問い合わせください。