自分のサイトのセキュリティ基本｜WordPressのバックアップ・SSL・更新

ブログやポートフォリオサイトを自分で運営していると、「セキュリティ対策は何をすればいいのか」「個人の小さなサイトでも狙われるのか」と気になる場面があります。サイトが改ざんされたり、データが消えたりすると、仕事の信用にも関わります。

個人のサイトでも、自動化された攻撃の対象になることは珍しくありません。とはいえ、基本の対策を押さえておけば、多くのリスクは減らせます。特別な知識がなくても、設定の確認と定期的な作業で対応できることがほとんどです。

この記事では、WordPressで作ったサイトを想定して、SSL化、バックアップ、更新、ログインの守り方、万一のときの対応手順を解説します。パスワード管理と二段階認証の詳しい方法は、別の記事で詳しく解説します。

個人サイトで起こりやすいトラブル

まず、どんなトラブルが起こりうるのかを知っておきましょう。主なものは次のとおりです。

対策の柱は、「通信を守る（SSL）」「元に戻せるようにする（バックアップ）」「弱点をふさぐ（更新）」「入口を守る（ログイン対策）」の4つです。順番に見ていきましょう。

SSL化で通信を守る

SSLとは、サイトと閲覧者の間の通信を暗号化する仕組みです。SSL化されたサイトはURLが「https://」で始まり、ブラウザに鍵のマークなどが表示されます。SSL化されていないと、ブラウザが「保護されていない通信」と警告を出すことがあり、閲覧者に不安を与えてしまいます。

多くのレンタルサーバーでは、無料のSSL証明書を管理画面から設定できます。設定の流れはおおむね次のとおりです。

1. サーバーの管理画面で、ドメインのSSL設定を有効にする
2. 反映されるまで待ち、「https://」でサイトが表示されるか確認する
3. WordPressの「設定」→「一般」で、サイトのURLを「https://」に変更する
4. 「http://」でアクセスしたときに「https://」へ自動で転送されるよう設定する（サーバーの機能や設定ファイルで行う）
5. 画像などが「http://」のまま読み込まれて警告が出ていないか確認する

バックアップで「元に戻せる」状態を作る

どれだけ対策をしても、トラブルを完全に防ぐことはできません。だからこそ、問題が起きても元に戻せるバックアップが最も重要です。WordPressのバックアップでは、次の2つを両方保存する必要があります。

• ファイル：画像、テーマ、プラグイン、設定ファイルなど
• データベース：記事の本文、設定、コメントなど

バックアップの方法は、主に次の3つです。1つだけに頼らず、組み合わせると安心です。

WordPress・テーマ・プラグインを更新する

サイトの改ざんの多くは、古いバージョンに残っている弱点（脆弱性）を突いて行われます。脆弱性とは、ソフトウェアの設計や作りの不備によって生じる、セキュリティ上の弱点のことです。更新には、この弱点をふさぐ修正が含まれていることが多いため、こまめに更新することが基本の対策になります。

• WordPress本体：管理画面に更新の通知が出たら、内容を確認して更新する
• テーマ・プラグイン：使っているものは更新し、自動更新を有効にするかどうかも検討する
• 使っていないプラグイン・テーマ：停止しているだけでも弱点になりうるため、不要なら削除する
• PHPのバージョン：WordPressを動かしているプログラムの言語。サーバーの管理画面で、推奨されるバージョンになっているか確認する
• 長く更新されていないプラグイン：開発が止まっているものは、代わりのプラグインを検討する

大きな更新の前にはバックアップを取り、更新後にサイトの表示や問い合わせフォームが正しく動くか確認しましょう。

ログインの入口を守る

管理画面への不正ログインを防ぐには、次の対策が有効です。

• 推測されにくい長いパスワードを使い、他のサービスと使い回さない
• ユーザー名を「admin」など推測しやすいものにしない
• 二段階認証（パスワードに加えて、スマホのアプリなどで確認する仕組み）を設定する
• ログインの試行回数を制限する機能や、サーバーの不正アクセス対策の機能を有効にする
• ユーザーの一覧を定期的に確認し、覚えのないユーザーがいないか見る

サーバーによっては、WAF（不正な通信を検知して遮断する仕組み）や、海外からの管理画面へのアクセスを制限する機能が用意されています。サーバーを選ぶときや見直すときは、次の点を確認しましょう。

• 無料のSSLを管理画面から設定できるか
• 自動バックアップの有無と、保存期間・復元の方法
• WAFや、不正ログインの対策機能があるか
• PHPのバージョンを管理画面から切り替えられるか

機能の内容や料金・条件はサーバーごとに異なり、変わることもあるため、各社の公式サイトで確認してください。

※ 2026年時点の一般的な情報です。料金・機能・キャンペーンは各社の公式サイトでご確認ください。

万一のときの対応手順

サイトの表示がおかしい、身に覚えのないページがある、検索結果に警告が出ている。そんなときは、慌てずに次の順で対応します。

1. 状況を記録する（画面のスクリーンショット、気づいた日時）
2. WordPress、サーバー、FTPなどのパスワードを変更する
3. サーバー会社のサポートやマニュアルを確認し、必要に応じて問い合わせる
4. 改ざん前のバックアップから復元する
5. WordPress・テーマ・プラグインを最新にし、不要なものを削除する
6. Search Consoleでセキュリティの問題が報告されていないか確認する
7. 問い合わせフォームなどで個人情報を預かっている場合は、影響の有無を確認する

自分で対応するのが難しい場合や、個人情報の漏えいが疑われる場合は、専門の業者やサーバー会社に相談しましょう。

まとめ

自分のサイトのセキュリティは、SSL化、バックアップ、更新、ログイン対策の4つを押さえることが基本です。中でも、問題が起きても元に戻せるバックアップは最優先で整えておきましょう。

まずは今日、サイトが「https://」で表示されているか、サーバーの自動バックアップがあるか、使っていないプラグインが残っていないかを確認してください。そのうえで、月に1回の更新とバックアップの確認日をカレンダーに入れておくと、無理なく続けられます。