WordPressのセキュリティ点検チェックリスト｜更新・不要プラグイン・ログイン・バックアップ・権限

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑悠太

結論：WordPressの点検は、①本体・テーマ・プラグインを最新にする、②使っていないプラグインとテーマを消す、③管理画面のログインを守る、④戻せるバックアップを取る、⑤管理者の人数を減らすの5つから始めます。ほとんどは管理画面から確かめられます。更新の前には必ずバックアップを取ってください。

WordPress点検の5項目。更新、不要なプラグインの削除、ログインの保護、バックアップ、権限の見直し

点検チェックリスト（15項目）

画面の名前は版によって変わることがあります。

分類	確かめること
更新	ダッシュボードの「更新」で、本体・テーマ・プラグインに更新が残っていない
更新	プラグイン一覧の「自動更新」が、必要なもので有効になっている
更新	長く更新されていない、配布が止まったプラグインを使っていない
不要物	停止したままのプラグインがない（停止ではなく削除する）
不要物	使っていないテーマが残っていない（使用中と、その親テーマは残す）
入手元	プラグインとテーマは、公式ディレクトリか、名の知れた配布元から入れている
ログイン	ユーザー名が「admin」ではない
ログイン	管理者は長く、使い回していないパスワードにしている
ログイン	管理者に2段階認証を入れている
ログイン	ログイン画面の手前に、もう1枚の認証か、試行回数の制限がある
ログイン	管理画面はhttpsで開いている
保管	ファイルとデータベースの両方を、日付つきで複数世代とっている
保管	バックアップをサーバーの外にも置き、戻せることを試した
権限	管理者は2人程度。記事を書くだけの人は「編集者」か「投稿者」
権限	退職者や、作業が終わった制作会社のアカウントが残っていない

進める順番

バックアップを取る：レンタルサーバーのバックアップ機能か、バックアップ用のプラグインで、ファイルとデータベースを保存します。
消す：停止中のプラグインと、使っていないテーマを削除します。公式の手引きも「使っていないプラグインは削除する」としています。
更新する：プラグイン、テーマ、本体の順に更新し、トップページと問い合わせフォームが動くかを見ます。
ログインを守る：2段階認証を入れ、ログインの試行回数を制限します。
人を見直す：「ユーザー」の一覧で、管理者の人数と、いらないアカウントを確かめます。

権限の決め方

WordPressの標準の権限は5段階です。仕事に合う、いちばん低い権限を選びます。

管理者：すべての設定ができる。プラグインの追加や更新をする人だけ。
編集者：他人の記事も含めて公開・管理できる。広報の責任者など。
投稿者：自分の記事を公開できる。
寄稿者：自分の記事を書けるが、公開はできない。
購読者：自分のプロフィールだけ。

サーバーに詳しい人がいる場合は、wp-config.phpに define( 'DISALLOW_FILE_EDIT', true ); を加え、管理画面からテーマやプラグインのファイルを編集できないようにする方法もあります。ログインされたときに、最初に使われやすい機能だからです。

よくある質問

更新するとサイトが崩れませんか？

崩れることはあります。そのため更新の前にバックアップを取り、1つずつ更新して表示を確かめます。崩れたら、バックアップから戻して制作会社に相談してください。

プラグインは停止していれば安全ですか？

停止中でもファイルはサーバーに残ります。使う予定がなければ削除してください。

セキュリティ用のプラグインを入れれば十分ですか？

役に立ちますが、それだけでは足りません。プラグインを増やすほど更新の手間も増えます。まずは上の15項目を一巡してください。

点検と最低限の対策を、まとめて頼む

MoshiruのWordPress点検パックは、改ざんの痕跡を確かめたうえで、バックアップ、本体・テーマ・プラグインの更新、管理画面の保護、ログイン試行の制限までを行い、レポートでお返しします。料金は4万円（税別）、やり取りはメールだけで、打合せはありません。

WordPress点検パックを見る4万円・5営業日無料スキャンを申し込む外から見える範囲だけ