URLを入れるだけで、WordPressサイトの守りの状態を点検します。WordPress・PHP・プラグインの更新状況、ログインIDの見え方、ログイン画面とXML-RPC、ファイルの公開範囲、通信の設定まで。見つかった点にはなぜ危ないのかと、具体的な直し方を付けます。
誰でも普通に閲覧できるページ・ファイルだけを読んで判定します（トップページ、RSSフィード、ログイン画面、REST API の公開部分など、合わせて十数回の閲覧）。ログインの試行や、弱点を突く通信、ファイル名の総当たりは一切行いません。ユーザー名は伏せ字で表示し、ログファイルなどの中身は表示しません。プラグインの更新状況は WordPress.org の公開情報と照らし合わせています。外から見えない設定（バックアップ、パスワードの強さ、管理画面の中の設定など）は判定できないため、結果の最後に「自分で確認すること」として載せています。ご自身が管理しているサイトの点検にお使いください。
点数が低かったら、乗っ取られているということですか？
いいえ。この点数は攻撃を受けやすい状態かどうかの目安で、乗っ取りや改ざんの有無を調べるものではありません。改ざんが心配な場合は、見覚えのない管理者ユーザーがいないか、知らないファイルやプラグインが増えていないかを管理画面とサーバーで確認し、Wordfence などのスキャン機能も使ってください。
どれから直せばいいですか？
結果の上にある「まずやること」の順で進めてください。効き目が大きいのは、WordPress・プラグイン・PHPの更新と、ログインまわりの対策（推測されにくいログインID・長いパスワード・ログイン画面の保護）です。WordPressの乗っ取りの多くは、修正済みの弱点が残った古いプラグインと、弱いパスワードから起きています。
セキュリティプラグインは何を入れればいいですか？
日本語で設定しやすいのはSiteGuard WP Plugin（ログインURLの変更・画像認証・ログイン失敗時のロック・XML-RPCの停止・ユーザー名の漏えい対策）です。改ざんの検知や不正な通信の遮断まで欲しい場合は Wordfence Security も候補です。どちらも入れすぎると重くなるので、機能が重なるものは片方にします。レンタルサーバーのWAF（不正アクセスを防ぐ機能）も合わせて有効にしてください。
版数を隠せば安全になりますか？
隠すと「この版には弱点がある」と外から特定されにくくなりますが、攻撃の多くは版数を確かめずに手当たり次第に送られてきます。一番の対策は、版数を隠すことより最新版に更新し続けることです。
「ログインIDの手がかりが分かる」とはどういうことですか？
WordPressは初期状態で、REST API（/wp-json/wp/v2/users）や「?author=1」で開く投稿者ページから、投稿者のスラッグが分かります。スラッグはログインIDと同じになっていることが多いため、パスワードを総当たりされる入口になります。このツールでは名前を伏せ字で表示しています。
🔒 調査結果と一時データの取り扱い
- 調査結果を検索履歴として蓄積・公開しません。調べた対象を利用者別に一覧化したり、他の利用者が検索できる履歴として公開したりする機能はありません。
- 検索履歴を残しません。誰が何を調べたかを紐づけて蓄積することはしません。会員登録・ログインも不要です。
- 第三者に提供・販売しません。営業リストや広告目的での利用もありません。
- サーバー負荷を抑えるため、判定結果を有効期間最大1時間の一時キャッシュとして保持する場合があります。連続アクセスの制限には、IPアドレスをハッシュ化した値と実行回数を使い、最終受付から10分間の有効期限を設けています。この制限用データに元のIPアドレスは保存しません。
- 調べた対象は共有用にURLの
#以降に付きますが、この部分は通常のHTTPリクエストでは送信されません。URLを共有すると、受け取った方には調査対象が伝わります。
同じ分類のツール（SSL・セキュリティ）
WordPress専門のホームページ制作会社です。日々の制作で「毎回調べるのが面倒だった」ことを、そのままツールにして公開しています。
診断結果の見方や改善のご相談も承っています。お問い合わせ