WordPressのサイトを公開したものの、セキュリティの対策が足りているのか分からないままの人は多いはずです。
乗っ取りの多くは、古いプラグインや弱いパスワードなど、外から確かめられる弱点から起きています。
この記事では、URLを入れるだけで点検できるツールの使い方と、同じことを手で確かめる方法、見つかった点を直す順番を紹介します。
この記事で使うWordPressセキュリティ診断は、当サイトと同じMOTOKI合同会社が作った「WEBツール箱」の1つです。
無料で、会員登録なしで使えます。
最終確認日：2026年10月26日
この記事で分かること
- URLを入れるだけでWordPressのセキュリティを点検する手順
- 点検する項目と、それぞれが危ない理由
- ツールを使わずに、ブラウザーで同じことを確かめる方法
- 見つかった点を直す順番と、具体的な設定
- 外からは分からないので、自分で確かめること
URLを入れてセキュリティを点検する流れは、動画でも紹介しています。
先に結論｜効き目が大きいのは更新とログインまわり
対策の優先順位を1つだけ挙げるなら、WordPress本体・プラグイン・PHPを最新に保つことです。
次に効くのは、推測されにくいログインID、長いパスワード、ログイン画面の保護です。
版数を隠す、ヘッダーを足すといった対策は、その後で十分です。
ツールの結果の「まずやること」も、この考え方で並んでいます。
ツールで点検する手順
- WordPressセキュリティ診断を開く
- 点検したいサイトのURLを入れて「診断する」を押す
- 点数と「まずやること」を確かめる
- 「診断結果と対策」で、項目ごとの理由と直し方を読む
会員登録やログインは要りません。
読むのは誰でも閲覧できるページとファイルだけで、合わせて十数回の閲覧で終わります。
ログインの試行や、弱点を突く通信、ファイル名の総当たりはしません。
点検するのは、自分が管理しているサイトにしてください。
実際の結果｜ja.wordpress.orgを点検した画面
ツールの「お試し」に入っているja.wordpress.org（WordPressの日本語版の公式サイト）を点検した結果です。
点数は100点満点の88点で、評価はBでした。
内訳は、要対応が0件、改善するとよいが3件、問題なしが6件です。
「まずやること」には、XML-RPCが使える状態であること、セキュリティヘッダーの一部が無いこと、WordPressの版数が外から分かることが並びました。
項目ごとの判定では、改善が必要な項目に「なぜ危ないのか」と「どう直すか」が付きます。
たとえばXML-RPCの項目には、1回の通信で大量のパスワードを試せるので総当たりに使われやすい、という理由が書かれています。
同じ結果はこの点検をいま開くと確かめられます。
点検する項目と危ない理由
ツールが見ている項目は、次の5つの分野に分かれます。
| 分野 | 見ていること | 危ない理由 |
|---|---|---|
| 通信 | http で開いたときに https に転送されるか、基本のセキュリティヘッダーがあるか、サーバーソフトの版数が見えていないか | 転送されないと、ログイン情報や問い合わせの内容が暗号化されずに送られるおそれがある |
| 更新 | WordPressが最新版か、セキュリティ修正が当たっているか、版数が外から分かるか、PHPのサポートが続いているか | 修正済みの弱点が残ったままになる。版数が見えると、弱点のある版だと特定されやすい |
| プラグイン・テーマ | トップページで読み込んでいるものに、古い版や配布停止のもの、2年以上更新されていないものが無いか | 乗っ取りの多くは、修正済みの弱点が残った古いプラグインから起きている |
| ログイン | ユーザー一覧が外から見えるか、ログイン画面が既定のURLで開けるか、XML-RPCが使えるか | ログインIDが分かると、パスワードの総当たりの入口になる |
| 公開範囲 | アップロードフォルダーの中身が一覧で見えるか、エラーログ（debug.log）が読めるか | 非公開のつもりのファイルや、サーバーの中の構成が誰にでも見える |
プラグインの古さは、WordPress.orgの公開情報と照らし合わせて判定しています。
ユーザー名が見つかった場合も、画面では伏せ字で表示されます。
ツールを使わずに確かめる方法
ツールがしていることの多くは、ブラウザーでURLを開くだけで確かめられます。
自分のサイトのドメインに置き換えて開いてください。
httpからhttpsへの転送
http://example.com/アドレス欄に http から始まる形で入れて開き、https に変われば転送されています。
WordPressの版数が見えるか
トップページでCtrl＋U（Macはcommand＋option＋U）を押してソースを表示し、「generator」を検索します。
「WordPress 6.8」のように版数が書かれていれば、外から分かる状態です。
ログインIDの手がかりが見えるか
https://example.com/wp-json/wp/v2/users
https://example.com/?author=11行目で「slug」が並ぶ一覧が出るか、2行目で投稿者のページに転送されるかを確かめます。
スラッグはログインIDと同じになっていることが多いので、出る場合は対策の候補です。
XML-RPCが使えるか
https://example.com/xmlrpc.php「XML-RPC server accepts POST requests only.」と表示されれば、使える状態です。
403や404になれば止められています。
ファイルの公開範囲
https://example.com/wp-content/uploads/
https://example.com/wp-content/debug.log1行目でファイルやフォルダーの一覧が出たら、中身が誰にでも見えています。
2行目でエラーの記録が表示されたら、すぐに止めてください。
見つかった点を直す順番
直す順番は、効き目の大きいものからです。
| 順番 | やること | どこで |
|---|---|---|
| 1 | WordPress本体・プラグイン・テーマを最新にし、使っていないプラグインを消す | 管理画面の「ダッシュボード → 更新」と「プラグイン」 |
| 2 | PHPをサポート中の版にする | レンタルサーバーの管理画面 |
| 3 | 推測されにくいログインIDと長いパスワードにし、ログイン画面を守る | 管理画面の「ユーザー」と、セキュリティ系プラグイン |
| 4 | 使っていなければXML-RPCを止める | セキュリティ系プラグインか .htaccess |
| 5 | アップロードフォルダーの一覧表示とエラーログの公開を止める | .htaccess と wp-config.php |
| 6 | セキュリティヘッダーを足し、版数の表示を止める | .htaccess と functions.php |
更新の前には、バックアップを取ってください。
古いプラグインが新しい版のWordPressやPHPに対応していないと、表示が崩れることがあるためです。
XML-RPCを止める（.htaccess）
Jetpackやスマホアプリから投稿していなければ、止めても困りません。
Apache 2.4のサーバーでは、.htaccessに次の3行を足します。
<Files xmlrpc.php>
Require all denied
</Files>SiteGuard WP Pluginを使っている場合は、その設定画面からも止められます。
アップロードフォルダーの一覧表示を止める（.htaccess）
Options -Indexesこの1行で、フォルダーを開いたときに中身が一覧で出なくなります。
エラーログを公開の場所に書かない（wp-config.php）
エラーログは、WP_DEBUG_LOG を true にすると公開フォルダーの中の /wp-content/debug.log に書かれます。
普段は false にしておき、記録が要るときは公開フォルダーの外の場所を指定します。
define( 'WP_DEBUG_LOG', false );すでに debug.log がある場合は、中身を確かめたうえで削除してください。
版数の表示を止める（functions.php）
remove_action( 'wp_head', 'wp_generator' );子テーマの functions.php か、Code Snippetsなどのプラグインに足します。
WordPressの直下にある readme.html にも版数が書かれていることがあるので、削除するか、開けないようにします。
ただし、版数を隠すより最新版を保つほうがずっと大事です。
セキュリティヘッダーの書き方は、「WordPressにセキュリティヘッダーを設定する方法」で詳しく解説しています。
外からは分からないこと
このツールが見るのは、誰でも見られる公開情報だけです。
次のことは外から判定できないので、結果の最後に「自分で確認すること」として載っています。
- バックアップを取っていて、戻せるか
- パスワードが長く、使い回していないか
- 見覚えのない管理者ユーザーがいないか
- トップページで読み込まれないプラグインが古くないか
- レンタルサーバーのWAF（不正な通信を防ぐ機能）が有効か
プラグインは、トップページで読み込んでいるものしか見えません。
管理画面だけで動くプラグインは、管理画面の「プラグイン」で更新を確かめてください。
よくある質問
Q. 点数が低かったら、乗っ取られているということですか？
いいえ、点数は攻撃を受けやすい状態かどうかの目安です。
乗っ取りや改ざんの有無を調べるものではありません。
改ざんが心配なときは、見覚えのない管理者ユーザーや知らないファイルが増えていないかを、管理画面とサーバーで確かめてください。
Q. 版数を隠せば安全になりますか？
隠すと、弱点のある版だと外から特定されにくくはなります。
ただ、攻撃の多くは版数を確かめずに手当たり次第に送られてきます。
一番の対策は、最新版に更新し続けることです。
Q. セキュリティ系プラグインは何を入れればいいですか？
日本語で設定しやすいのはSiteGuard WP Pluginで、ログインURLの変更・画像認証・ログイン失敗時のロック・XML-RPCの停止がそろっています。
改ざんの検知や不正な通信の遮断まで欲しい場合は、Wordfence Securityも候補です。
機能が重なるものを2つ入れると重くなるので、片方にします。
SWELLを使っている場合は、「SWELLのセキュリティ設定」もあわせて読んでください。
Q. PHPの版も詳しく調べられますか？
PHPのサポート期限と、未適用のセキュリティ修正はPHPバージョン診断で詳しく調べられます。
確かめ方と上げ方は「WordPressのPHPバージョンを確認する方法」にまとめています。
まとめ
- WordPressセキュリティ診断にURLを入れると、外から見える弱点をまとめて点検できる
- 見ているのは通信・更新・プラグイン・ログイン・公開範囲の5つ
- 直す順番は、更新が先、ログインまわりが次
- XML-RPC・一覧表示・エラーログは、.htaccess や wp-config.php の数行で止められる
- バックアップやパスワードの強さは外から分からないので、自分で確かめる
公開前の設定をまとめて見直すなら、「WordPressの初期設定チェックリスト」も役に立ちます。
ほかの項目もまとめて点検するなら、「WordPressサイトを自分で点検する手順」で順番と使い分けを解説しています。
ツールの一覧はWEBツール箱にあります。
