この記事でわかること

• セキュリティプラグインの主な機能分類
• 複数導入で起きる不具合
• 選ぶときの判断基準
• プラグインだけでは防げないこと

目次

1. 主な機能の分類
2. 複数導入で起きる不具合
3. 選ぶときの判断基準
4. 導入するなら1つに絞る
5. プラグインだけでは防げないこと
6. まとめ

主な機能の分類

製品によって守備範囲が違います。

• ログイン防御：試行回数制限、ログインURL変更、二段階認証
• ファイル監視：改ざん検知、公式ファイルとの差分比較
• WAF：不正なリクエストの遮断
• スパム対策：コメント・問い合わせフォームへの対策
• 脆弱性通知：使用中のプラグインの脆弱性を知らせる

複数導入で起きる不具合

同じ機能を持つプラグインを重ねると、次のような問題が起きます。

• ログインURL変更が競合し、どちらのURLでも入れなくなる
• WAFが二重に働き、正常な操作までブロックされる（記事の保存ができない等）
• ファイル監視が互いを不審なファイルとして検知する
• 処理が重複し、管理画面が極端に遅くなる

実際の復旧相談でも、攻撃ではなくプラグインの競合が原因だったケースは珍しくありません。

選ぶときの判断基準

1. 更新が継続しているか：最終更新が1年以上前のものは避ける
2. 日本語環境で動くか：日本語のフォームやメール送信で問題が出ないか
3. 必要な機能に絞れるか：不要な機能をオフにできる設計か
4. ロックされたときに解除できるか：自分が締め出されたときの復旧手順があるか

4番目は特に重要です。導入前に、FTPからの解除方法を確認しておいてください。

導入するなら1つに絞る

基本は「総合型を1つ」です。それでも足りない部分だけ、機能が重複しない単機能のものを足します。たとえば総合型＋スパム対策専用、という組み合わせは競合しにくい構成です。

プラグインだけでは防げないこと

• 古いプラグイン・テーマの脆弱性：更新しなければ塞がりません
• 推測されやすいパスワード：使い回しをやめる以外に対策はありません
• サーバー側の設定不備：ファイル権限やPHPバージョン
• 既に侵入されている状態：後から入れても、既にあるものは検知しきれません

プラグインは対策の一部であって、更新を止めたままでは何を入れても危険な状態が続きます。

まとめ

セキュリティプラグインは数ではなく構成です。総合型を1つ、必要なら重複しない単機能を追加、が基本になります。導入前にFTPからの解除方法を確認しておくと、締め出しの事故を防げます。

WordPressレスキューでは、現在の構成が適切かの診断も承っています。使われていないプラグインの棚卸しから対応します。

よくあるご質問

Q. 今2つ入れています。どちらを外すべきですか。
A. 機能の重複を確認し、守備範囲の広いほうを残します。外す前に、残すほうで必要な機能が有効になっているかを確認してください。

Q. 無料版で足りますか。
A. 基本的な防御は無料版でも可能です。有料版との違いは、WAFのルール更新頻度やサポートの有無であることが多いため、サイトの重要度で判断してください。

Q. プラグインを入れたら重くなりました。
A. ファイル監視やWAFは処理負荷がかかります。スキャン頻度を下げる、監視対象を絞るといった調整で改善することがあります。

構成の見直しを依頼する場合

WordPressレスキューでは、現在のプラグイン構成が適切かどうかの診断も承っています。使われていないプラグインの棚卸しは、それ自体がセキュリティ対策になります。

調査（一律20,000円・税込）で、不要なもの・重複しているもの・更新が止まっているものを洗い出し、あるべき構成をご提案します。

この記事でわかること

• ログインできない主な原因
• 症状から原因を絞り込む方法
• FTPを使った復旧手順
• 不正アクセスが疑われる場合の対応

目次

1. 症状から原因を絞り込む
2. パスワードが分からない場合
3. ログインURLが変わっている場合
4. プラグインが原因の場合
5. ロックされている場合
6. 不正アクセスが疑われる場合
7. まとめ

症状から原因を絞り込む

• 「ユーザー名またはパスワードが違います」：認証情報の問題、または不正アクセスで変更された可能性
• ログイン画面が表示されない（404）：ログインURLが変更されている
• ログインした直後に戻される：Cookie・セッションの問題
• 真っ白・500エラー：プラグインやテーマのエラー
• 「試行回数の上限」と表示：セキュリティプラグインによるロック

パスワードが分からない場合

パスワード再設定メールが届かないケースがあります。サーバーからのメール送信が失敗している場合です。その場合はFTPとデータベースから対応します。

1. phpMyAdmin などでデータベースに接続する
2. wp_users テーブルの該当ユーザーの user_pass を編集する
3. 関数を MD5 に設定し、新しいパスワードを入力して保存する

作業前に必ずデータベースのバックアップを取ってください。

ログインURLが変わっている場合

セキュリティプラグインでログインURLを変更している場合、/wp-login.php は404になります。設定した担当者しか知らないことが多く、引き継ぎで問題になりがちです。

FTPで該当プラグインのフォルダをリネームすると機能が停止し、通常のURLでログインできるようになります。

プラグインが原因の場合

ログイン画面が真っ白、またはエラーになる場合はプラグインを疑います。FTPで wp-content/plugins をリネームして全停止し、ログインできるか確認してください。

ロックされている場合

ログイン試行の上限に達すると、一定時間ロックされます。多くの場合は時間経過で解除されますが、急ぐ場合はプラグインをFTPで一時停止します。

身に覚えのないロックが頻発する場合は、外部からの攻撃を受けています。ログインURLの変更や二段階認証の導入を検討してください。

不正アクセスが疑われる場合

次に当てはまる場合は、単なるログイントラブルではない可能性があります。

• 正しいパスワードのはずが通らない
• 管理者ユーザーが増えている、または自分の権限が下がっている
• ログインできても、見覚えのない投稿やプラグインがある

この場合はパスワードの再設定だけでは不十分です。侵入経路を特定しないと、同じことが繰り返されます。

まとめ

ログインできない原因は、認証情報・URL変更・プラグイン・ロック・不正アクセスに大別できます。症状から絞り込み、FTPを使えば多くは自力で復旧できます。

不正アクセスが疑われる場合や、復旧できない場合はご相談ください。調査（一律20,000円・税込）で原因を特定します。

よくあるご質問

Q. 二段階認証のスマートフォンを機種変更して入れません。
A. 該当プラグインをFTPで一時停止すれば、通常のログインに戻せます。停止後は必ず再設定してください。

Q. データベースを直接編集するのが不安です。
A. 作業前にバックアップを取れば、失敗しても戻せます。不安な場合は無理をせず、ご相談ください。

Q. 制作会社と連絡が取れず、ログイン情報も分かりません。
A. サーバーの管理権限があれば、FTPとデータベースから復旧できます。この状況でのご相談は少なくありません。

復旧を依頼する場合

ログインできない状態は、更新も修正もできなくなるため、放置すると影響が広がります。WordPressレスキューでは、調査（一律20,000円・税込）で原因を特定し、復旧まで対応します。

不正アクセスが疑われる場合は、パスワードの再設定だけでなく侵入経路の特定と穴を塞ぐところまで行わないと再発します。改ざんの調査と併せてご相談ください。

この記事でわかること

• 遅さの原因を5つに分けて診断する方法
• 計測ツールの見方と注意点
• 効果が大きい改善の順序
• 高速化プラグインで解決しないケース

目次

1. まず計測する
2. 原因1：画像
3. 原因2：プラグイン
4. 原因3：サーバー
5. 原因4：テーマ
6. 原因5：データベース
7. 改善の順序
8. まとめ

まず計測する

体感ではなく数値で確認します。PageSpeed Insights などのツールで、モバイルのスコアと各指標を見てください。特に見るべきは次の2つです。

• LCP：最も大きな要素が表示されるまでの時間。2.5秒以内が目安
• CLS：表示のずれ。0.1以下が目安

注意点として、ラボ値（シミュレーション）と実測値は別です。アクセスが少ないサイトでは実測値が出ず、ラボ値だけが表示されます。

原因1：画像

最も多く、最も効果が出やすい原因です。

• 表示サイズより極端に大きい画像を読み込んでいる
• 圧縮されていない
• 画面外の画像まで最初に読み込んでいる（遅延読み込み未設定）
• width / height が指定されておらず、表示がずれる

1枚数MBの画像が数十枚あるだけで、他の対策の効果は打ち消されます。

原因2：プラグイン

数が多いこと自体より、1つあたりの重さが問題になります。全ページで大きなJavaScriptやCSSを読み込むタイプは影響が大きくなります。

診断方法としては、一時的にすべて停止して計測し、1つずつ戻しながら数値の変化を見ます。

原因3：サーバー

TTFB（サーバーが応答を返し始めるまでの時間）が長い場合、サーバー側が原因です。共用サーバーで他サイトの影響を受けている、PHPのバージョンが古い、といった要因があります。

PHPのバージョンを上げるだけで体感が変わることがあります。古いバージョンは処理速度自体が遅いためです。

原因4：テーマ

多機能なテーマは、使っていない機能のCSS・JavaScriptまで読み込んでいることがあります。ページビルダー系のテーマは、生成されるHTMLが冗長になりがちです。テーマの変更は影響が大きいため、検証環境での確認が前提になります。

原因5：データベース

長く運用したサイトでは、リビジョン（記事の履歴）や不要なデータが蓄積して管理画面が重くなります。フロントの表示速度より、管理画面の重さとして現れることが多い症状です。

改善の順序

効果と手間のバランスで、次の順序をおすすめします。

1. 画像の最適化（効果が大きく、リスクが小さい）
2. PHPバージョンの確認と更新
3. 不要なプラグインの削除
4. キャッシュの導入
5. テーマの見直し（最後。影響が大きいため）

キャッシュプラグインを最初に入れる方が多いのですが、原因が画像なら効果は限定的です。

まとめ

速度改善は、原因の特定が8割です。計測 → 原因の切り分け → 効果の大きい順に対応、という流れで進めてください。

WordPressレスキューでは、表示速度の調査・改善を承っています。何が効いているかを計測で確認したうえで、効果の大きい対策からご提案します。

よくあるご質問

Q. スコアは何点を目指すべきですか。
A. 点数そのものより、LCP（2.5秒以内）とCLS（0.1以下）が目安です。点数を上げること自体が目的になると、実際の体感と乖離した対策に労力を使うことになります。

Q. キャッシュプラグインを入れれば速くなりますか。
A. サーバーの応答時間には効きますが、画像が重い場合の効果は限定的です。原因を特定してから導入するほうが確実です。

Q. 高速化でサイトが崩れると聞きました。
A. CSS・JavaScriptの結合や遅延読み込みは、設定によって表示が崩れることがあります。検証環境で確認してから本番に適用するのが安全です。

改善を依頼する場合

WordPressレスキューでは、表示速度の調査・改善を承っています。まず計測して原因を特定し、効果の大きい対策から順にご提案します。やみくもに対策を積み上げることはしません。

調査（一律20,000円・税込）では、現状の数値と、どこを直せばどれだけ改善するかの見込みをレポートにまとめます。

この記事でわかること

• 500エラーの主な原因5つ
• 管理画面に入れないときの調査方法
• 原因別の復旧手順
• 再発を防ぐために確認すること

目次

1. 500エラーの主な原因
2. まずエラーログを確認する
3. 原因1：プラグインの切り分け
4. 原因2：テーマの確認
5. 原因3：.htaccess の確認
6. 原因4：メモリ不足
7. 原因5：PHPバージョン
8. 再発を防ぐために
9. まとめ

500エラーの主な原因

1. プラグインの不具合・競合：最も多い原因です
2. テーマのエラー：functions.php の編集ミスで起きます
3. .htaccess の記述ミス：リダイレクト設定の追記時に多い
4. メモリ不足：処理の重いプラグインを入れた直後に出やすい
5. PHPバージョンの非互換：サーバー側の変更後に発生

直前に何をしたかを思い出すと、原因の見当がつきます。

まずエラーログを確認する

500エラーは画面に詳細が出ないため、ログを見ないと原因が分かりません。サーバーの管理画面またはFTPでエラーログを開き、発生時刻のエントリを確認してください。ファイル名と行番号が記録されていれば、それだけで原因が特定できます。

原因1：プラグインの切り分け

管理画面に入れない場合はFTPで作業します。

1. wp-content/plugins を plugins_off などにリネームする
2. サイトが表示されれば、プラグインが原因
3. 名前を戻し、管理画面からすべて停止する
4. 1つずつ有効化し、エラーが再発したものが原因

原因2：テーマの確認

プラグインで解決しない場合、テーマを疑います。FTPで wp-content/themes の使用中テーマをリネームすると、標準テーマに切り替わります。それで表示が戻ればテーマが原因です。

functions.php を管理画面から編集した直後なら、ほぼこれです。編集前のバックアップがあれば戻してください。

原因3：.htaccess の確認

ルート直下の .htaccess を .htaccess_bak にリネームして表示を確認します。戻れば記述ミスです。その場合は、管理画面の「設定 → パーマリンク」を保存すると、正しい内容で再生成されます。

原因4：メモリ不足

wp-config.php に次を追記して改善するか確認します。

define('WP_MEMORY_LIMIT', '256M');

改善する場合、根本的にはメモリを消費しているプラグインの見直しが必要です。設定値を上げ続けるのは対症療法にすぎません。

原因5：PHPバージョン

サーバー側でPHPが変更された直後なら、これが原因の可能性があります。一時的に前のバージョンへ戻して復旧を優先し、そのうえで対応プラグインへの移行を計画してください。

再発を防ぐために

• functions.php は管理画面から編集せず、FTPで（バックアップを取ってから）行う
• プラグインの追加・更新は、まず検証環境で試す
• 更新前にフルバックアップを取る
• エラーログの場所を、事前に確認しておく

まとめ

500エラーはログの確認 → プラグイン → テーマ → .htaccess → メモリ → PHP の順に切り分けると、最短で原因にたどり着けます。

復旧が難しい場合や、原因が特定できない場合はご相談ください。調査（一律20,000円・税込）で原因を特定し、対応方針をご提示します。

よくあるご質問

Q. FTPの情報が分かりません。
A. サーバーの管理画面から確認・再発行できます。ファイルマネージャー機能があれば、FTPソフトなしでも同じ作業ができます。

Q. プラグインを止めたら表示は戻りましたが、原因が分かりません。
A. 1つずつ有効化して再現させるのが確実です。再現したものが原因で、更新があれば更新、なければ代替を検討します。

Q. 復旧を急いでいます。
A. 売上に直結するサイトであれば、まずメンテナンス表示に切り替えて機会損失と信用低下を抑え、そのうえで原因究明に進むのが定石です。

復旧を依頼する場合

WordPressレスキューでは、エラーからの復旧を承っています。調査（一律20,000円・税込）で原因を特定し、対応方針と見積もりをご提示します。エラー・表示崩れの修正といった小規模な対応は55,000円〜（税込・参考価格）です。

ご相談の際、いつから発生したか・直前に何をしたか・エラーログの内容をお知らせいただけると、特定が早くなります。

この記事でわかること

• バックアップが戻せない典型的な理由
• 取得内容を確認する方法
• 本番を止めずに復元テストをする手順
• 保管場所と頻度の決め方

目次

1. 戻せない典型的な理由
2. 取得内容を確認する
3. 復元テストの手順
4. 保管場所の考え方
5. 頻度と世代数の決め方
6. まとめ

戻せない典型的な理由

• データベースが含まれていない：ファイルだけ取っており、記事や設定が戻らない
• 取得が途中で止まっている：容量やタイムアウトで失敗しているのに気づいていない
• 改ざん後のものしか残っていない：保管世代が少なく、正常な時点のものが上書きされている
• 同じサーバーにしか置いていない：サーバー障害時に一緒に失われる
• 復元手順を誰も知らない：設定した担当者が退職している

取得内容を確認する

まず、何が取られているかを確認します。

1. バックアップファイルの容量を見る。極端に小さければ失敗しています
2. 中身を展開し、データベースのダンプ（.sql）が含まれているか確認する
3. wp-content/uploads（画像）が含まれているか確認する
4. 最新の取得日を確認する。止まっていないか

復元テストの手順

本番を止めずに確認できます。

1. サブドメインかローカル環境に、検証用のWordPressを用意する
2. そこにバックアップを復元する
3. トップページ、記事一覧、記事個別、フォームの表示を確認する
4. 管理画面にログインできるか確認する
5. 画像が表示されるか確認する（ここで欠けが見つかることが多い）

この作業を年1回でも実施しておくと、いざというときの動きが変わります。

保管場所の考え方

同じサーバー内だけの保管は避けてください。サーバー障害やアカウント停止で、サイトとバックアップを同時に失います。

• 外部ストレージ（クラウド）に自動保存する
• 少なくとも1世代は手元にダウンロードしておく

頻度と世代数の決め方

「どこまで戻れれば許容できるか」で決めます。

• 毎日更新するサイト：日次・7世代以上
• 週数回更新：週次・4世代以上
• ほぼ更新しない：月次でも可。ただし更新作業の直前は必ず取得

改ざんは発覚まで時間がかかることがあるため、世代数は多めに持つほうが安全です。1世代しかないと、改ざん後のもので上書きされてしまいます。

まとめ

バックアップは取ることが目的ではなく、戻せることが目的です。データベースが含まれているか、復元テストをしたことがあるか、外部に保管されているか——この3点だけでも確認しておくと、リスクは大きく下がります。

WordPressレスキューでは、バックアップ体制の確認も調査に含めて対応しています。

よくあるご質問

Q. サーバー会社の自動バックアップがあれば十分ですか。
A. 保管世代と復元方法を確認してください。世代が少ないと、改ざんに気づいたときには正常な時点のものが残っていないことがあります。また、復元が有償のサーバー会社もあります。

Q. プラグインでのバックアップは信頼できますか。
A. 正しく動いていれば有効です。ただし容量やタイムアウトで途中終了していても気づきにくいため、取得できているかの確認を定期的に行ってください。

Q. 復元テストは自分でできますか。
A. サブドメインを用意できれば可能です。難しい場合は、当社の検証環境で復元可否を確認することもできます。

復元できなかった場合

バックアップから戻せない状態で障害が起きた場合でも、サーバーに残っているファイルやデータベースから復旧できることがあります。この段階で追加の操作をすると復旧が難しくなるため、まずは現状のまま保全してご相談ください。

この記事でわかること

• PHPを上げた直後に起きる症状のパターン
• 原因を特定する手順
• 切り戻すべきか、直して進むべきかの判断
• 事前に防ぐための確認方法

目次

1. よくある症状
2. まず確認すること
3. 原因の切り分け手順
4. 切り戻すべきか、直して進むべきか
5. 原因プラグインへの対処
6. 事前に防ぐ方法
7. まとめ

よくある症状

• サイト全体が真っ白になる（500エラーを含む）
• 管理画面には入れるが、フロントだけ崩れる
• 特定のページ・機能だけ動かない（フォーム送信、検索など）
• 「重大なエラーが発生しました」と表示される

原因の大半は古いプラグインまたはテーマが新しいPHPに対応していないことです。

まず確認すること

1. エラーログを見る：サーバーの管理画面かFTPで確認できます。どのファイルの何行目かが記録されており、原因の特定が一気に進みます
2. デバッグ表示を一時的に有効にする：wp-config.php の WP_DEBUG を true にすると画面にエラーが出ます（確認後は必ず戻してください）

ログを見ずに手当たり次第プラグインを止めると、原因が分からないまま時間だけが過ぎます。先にログです。

原因の切り分け手順

1. FTPで wp-content/plugins をリネームし、全プラグインを一時停止する
2. 表示が戻れば、プラグインが原因と確定
3. 名前を戻し、管理画面から1つずつ有効化して原因を特定する
4. プラグインが原因でなければ、テーマを標準テーマに切り替えて確認する

管理画面にも入れない場合は、この手順をすべてFTPで行います。

切り戻すべきか、直して進むべきか

切り戻しは応急処置であって、解決ではありません。古いPHPはサポートが終了しており、セキュリティ更新も提供されないためです。

• 切り戻す：ECサイトなど停止が売上に直結する場合。ただし復旧後すぐ対応計画を立てる
• 直して進む：原因プラグインが特定でき、代替や更新で解決できる場合

原因プラグインへの対処

• 更新がある：更新すれば解決することが多い
• 更新が止まっている：代替プラグインへの移行を検討。開発終了したものは今後も対応されません
• 自社開発・受託開発のもの：コードの修正が必要。非推奨になった関数の書き換えが中心です

事前に防ぐ方法

本番でいきなり上げないことが最善です。

1. 検証環境を作り、そこでPHPを上げて動作確認する
2. 使用中のプラグインが新PHPに対応しているか、公式ページで確認する
3. 更新が2年以上止まっているプラグインを洗い出す
4. 本番作業の前に必ずフルバックアップを取る

まとめ

PHPを上げて壊れる原因の大半は、古いプラグインやテーマです。エラーログの確認が最短経路で、当てずっぽうの停止は遠回りになります。

WordPressレスキューでは、PHPバージョンアップの代行を承っています。検証環境で事前に確認し、問題があれば代替案を提示したうえで本番に適用します。

よくあるご質問

Q. PHPを上げないままでも使えますか。
A. 動作はしますが、サポートが終了したバージョンにはセキュリティ更新が提供されません。また新しいプラグインが動作しなくなっていきます。速度面でも不利です。

Q. どのバージョンまで上げるべきですか。
A. WordPress本体と、使用中のプラグインが対応している範囲で、できるだけ新しいものを選びます。最新版が常に最適とは限らず、プラグインの対応状況を確認してから決めるのが安全です。

Q. 検証環境がありません。
A. 本番のバックアップから一時的な検証環境を作って確認できます。当社では、この方法でPHPバージョンアップの代行を行っています。

代行を依頼する場合

WordPressレスキューでは、PHPバージョンアップの代行を承っています。手順は次のとおりです。

1. 本番のバックアップを取得し、検証環境に復元する
2. 検証環境でPHPを上げ、全ページと主要機能（フォーム送信など）を確認する
3. 問題が出たプラグイン・テーマの対応方針（更新／代替／修正）をご提示する
4. 対応後、本番に適用する

まず調査（一律20,000円・税込）で、上げた場合に何が起きるかを確認するところから始められます。

この記事でわかること

• 自社対応にかかる月あたりの実作業時間
• 外注費用の内訳と相場
• 自社でやるべき作業と任せるべき作業の線引き
• 更新を止めた場合に起きること

目次

1. 自社対応で実際にかかる時間
2. 外注費用の内訳
3. 自社でやるべき作業
4. 任せるべき作業
5. 更新を止めるとどうなるか
6. 判断の目安
7. まとめ

自社対応で実際にかかる時間

WordPressの保守を自社で行う場合、月あたり次のような作業が発生します。

• コア・プラグイン・テーマの更新確認と適用：30分〜1時間
• 更新後の表示確認（主要ページ・フォーム送信テスト）：30分
• バックアップの取得確認：15分
• 不具合が出た場合の切り分けと復旧：発生時1〜数時間

平常時で月1.5〜2時間。ただし更新で不具合が出た月は、これが数時間に膨らみます。この「たまに発生する数時間」が読めないことが、自社対応の難しさです。

外注費用の内訳

月額保守の料金には、通常以下が含まれます。

• コア・プラグインの更新と、更新後の動作確認
• バックアップの取得と保管
• 障害時の一次対応
• 軽微な修正（含まれる時間数は契約による）

確認すべきは「月に何時間の作業が含まれるか」と「超過時の料金」です。ここが曖昧な契約は、いざ依頼したときに追加費用で揉めます。

自社でやるべき作業

次は自社で持つほうが早く、コストもかかりません。

• 記事の投稿・修正、画像の差し替え
• お知らせの更新
• 問い合わせ内容の確認

これらを外注すると、依頼のやり取りだけで自分でやるより時間がかかります。

任せるべき作業

• 更新作業：不具合時の切り分けに専門知識が要るため
• セキュリティ対策：何が危険かの判断が難しいため
• PHPバージョンアップ：影響範囲の確認と検証環境が必要なため
• 障害復旧：時間との勝負になるため

共通するのは「失敗したときの損失が大きい作業」です。

更新を止めるとどうなるか

「不具合が怖いので更新していない」という状態が、最も危険です。既知の脆弱性は公開されているため、更新していないサイトは攻撃者にとって狙いやすい対象になります。

また、長期間放置したあとの更新は一気にバージョンが飛ぶため、こまめに更新するより不具合が出やすくなります。止めるほど再開が難しくなる構造です。

判断の目安

• 社内にWordPressを触れる人がいて、月2時間確保できる → 自社対応も可能
• 担当者が1人だけ、または兼任 → 外注を検討（退職・異動でサイトが止まります）
• 問い合わせや予約が売上に直結する → 外注。停止時間が損失に直結します
• 更新が半年以上止まっている → まず現状診断から

まとめ

判断の軸は費用の絶対額ではなく、「その作業を止めたときに何が起きるか」です。投稿や画像差し替えは自社、更新とセキュリティは外部、という切り分けが現実的です。

WordPressレスキューでは、月額契約は任意で、スポット依頼のみのご利用も承っています。最低契約期間や解約手数料はありません。

よくあるご質問

Q. 月額契約は必須ですか。
A. WordPressレスキューでは月額契約は任意です。スポット依頼のみのご利用も歓迎しており、最低契約期間や解約手数料もありません。

Q. 保守を頼むと、更新以外に何をしてもらえますか。
A. 契約内容によりますが、一般的には更新・バックアップ・障害時の一次対応・軽微な修正が含まれます。契約前に「月に何時間分の作業が含まれるか」「超過時はいくらか」を必ずご確認ください。

Q. 今は自社でやっていますが、途中から任せられますか。
A. 可能です。その場合はまず現状の診断から入り、更新が止まっている箇所や設定の問題を洗い出したうえで、保守に移行します。

費用の考え方

判断の目安として、自社対応の実コストを計算してみてください。月2時間の作業を時給換算し、そこに不具合が起きた月の数時間と、担当者が対応できない期間のリスクを加えたものが、実質的な自社コストです。

当社では調査（一律20,000円・税込）で現状を把握したうえで、必要な範囲だけをご提案しています。すべてを任せる必要はありません。

この記事でわかること

• 無料ツールで分かることと分からないこと
• プラグインによるチェックの範囲と限界
• 専門診断でしか見つけられない問題
• 費用感と使い分けの判断基準

目次

1. 脆弱性チェックの3段階
2. 無料オンラインツールで分かること
3. プラグインによるチェックの範囲
4. 専門診断でしか分からないこと
5. 費用の目安
6. 使い分けの判断基準
7. まとめ

脆弱性チェックの3段階

WordPressの脆弱性確認は、次の3段階に分けて考えると整理しやすくなります。

1. 無料のオンラインツール：外部から見える情報だけを調べる
2. プラグインによるチェック：サイト内部からファイルや設定を調べる
3. 専門診断：構成や運用体制まで含めて調べる

下に行くほど分かることが増えますが、費用と手間も増えます。

無料オンラインツールで分かること

URLを入力するだけで診断できるサービスがあります。分かるのは主に次の点です。

• WordPress のバージョンが外部から見えているか
• 使用しているテーマ・プラグインの一部と、そのバージョン
• ユーザー名が推測できる状態になっていないか
• ディレクトリ一覧が公開されていないか

分からないのは、既に侵入されているかどうかです。外から見える情報だけを扱うため、内部に仕込まれた不正コードは検出できません。

プラグインによるチェックの範囲

セキュリティ系プラグインを使うと、サイト内部から確認できます。

• コアファイルが改変されていないか（公式との差分比較）
• 既知の脆弱性を持つプラグイン・テーマが使われていないか
• ログイン試行の状況
• ファイルパーミッションの問題

限界もあります。プラグインが導入される前に仕込まれた不正コードや、正規ファイルへの巧妙な追記は見逃されることがあります。また、プラグイン自体が動作を止められている場合もあります。

専門診断でしか分からないこと

ツールでは判定できない領域があります。

• そのプラグインが本当に必要か：使っていないのに有効なままのプラグインは、それ自体が攻撃面になります
• 権限設計が適切か：全員が管理者権限になっていないか
• バックアップが実際に復元できるか：取得できていても復元できないケースがあります
• PHPやサーバー環境が古くないか：WordPress本体だけ新しくても、土台が古ければ危険です
• 更新が止まっているプラグインの代替：開発終了したプラグインは今後修正されません

費用の目安

無料ツールとプラグインは費用がかかりません。専門診断は、対象範囲によって幅があります。当社の場合、調査・診断は一律20,000円（税込）で、現状の把握と改善方針、作業見積もりをレポートにまとめてご提出します。レポートのみのご利用も可能です。

使い分けの判断基準

• まず状況を知りたい：無料ツール＋セキュリティプラグイン
• 異常の兆候がある：専門診断。ツールで「問題なし」でも侵入されていることがあります
• 担当者が交代した／制作会社との契約が切れた：専門診断。誰が何を設定したか分からない状態は危険です
• 個人情報や決済を扱う：専門診断を定期的に

まとめ

無料ツールは外から見える情報、プラグインは内部のファイルと設定、専門診断は構成と運用まで——と、それぞれ守備範囲が違います。「ツールで問題なし」は「侵入されていない」ことの証明にはなりません。

WordPressレスキューでは、調査・診断（一律20,000円・税込）から承っています。現状を把握したうえで、必要な対策だけをご提案します。

よくあるご質問

Q. 無料ツールで「安全」と出れば大丈夫ですか。
A. 外から見える範囲に問題がない、という意味にとどまります。内部に仕込まれた不正コードや、権限設定の不備は判定できません。

Q. どのくらいの頻度で確認すべきですか。
A. プラグインによる自動チェックは常時、専門診断は年1回、または担当者の交代・制作会社との契約終了といった節目に実施することをおすすめします。

Q. 診断だけ受けることはできますか。
A. 可能です。調査レポートのみのご利用も承っており、その結果を持って他社に依頼いただいても構いません。

関連する対応

診断の結果、対応が必要になりやすいのは次の領域です。いずれもWordPressレスキューで承っています。

• 更新が止まっているプラグインの棚卸しと代替への移行
• PHPバージョンの引き上げと、それに伴う不具合の解消
• バックアップ体制の見直し（取得内容・保管場所・復元テスト）
• 権限設計の整理（不要な管理者アカウントの削除）

この記事でわかること

• 表示・検索結果・管理画面・サーバーそれぞれに出る症状
• 気づきにくく被害が長期化しやすいサイン
• 症状を見つけたときにやってはいけないこと
• 確認から復旧までの流れ

目次

1. サイトの表示に出る症状
2. 検索結果に出る症状
3. 管理画面に出る症状
4. サーバー側に出る症状
5. 見逃しやすいサイン
6. 症状を見つけたときにやってはいけないこと
7. 確認から復旧までの流れ
8. まとめ

サイトの表示に出る症状

最も気づきやすいのがこの分類です。

• トップページが真っ白、または見覚えのない画面に置き換わっている
• 身に覚えのない広告やリンクが表示される
• スマートフォンで見たときだけ別のサイトへ転送される
• 特定のページだけ文字化けする、レイアウトが崩れる

「スマホだけ転送される」は特に見落とされます。管理者はPCで確認することが多いため、報告を受けるまで気づかないケースが少なくありません。

検索結果に出る症状

サイト自体は正常に見えるのに、検索結果側に異常が出ることがあります。

• 検索結果に「このサイトは第三者に不正アクセスされた可能性があります」と表示される
• 検索結果のタイトルや説明文が、身に覚えのない言語や商材になっている
• Search Console に大量の不明なページがインデックスされている
• Google から手動による対策の通知が届く

この症状は検索エンジンにだけ別の内容を見せるタイプの改ざんで起こります。ブラウザで見ても分からないため、Search Console を定期的に確認していないと発見が遅れます。

管理画面に出る症状

• 覚えのない管理者ユーザーが増えている
• ログインできない、パスワードが変更されている
• インストールした記憶のないプラグインが有効になっている
• 投稿一覧に身に覚えのない記事が大量にある
• 管理画面の表示が極端に遅い

ユーザー一覧の確認は、月1回でも習慣にしておくと発見が早まります。

サーバー側に出る症状

• 身に覚えのないファイルがルート直下や wp-content 配下に置かれている
• ファイルの更新日時が、作業していない日付になっている
• サーバーの負荷やトラフィックが急増している
• サーバー会社から迷惑メール送信の警告が届く

サーバー会社からの警告は、外部への攻撃に加担している状態を意味します。この段階では、自社サイトの被害だけでなく第三者への加害も発生しているため、速やかな対応が必要です。

見逃しやすいサイン

次の3つは、被害が数か月続いてから発覚することが多いものです。

1. 特定の条件でだけ発動する：検索エンジン経由のアクセスだけ、深夜だけ、といった条件付きの改ざん
2. 既存ファイルへの追記：新しいファイルが増えるのではなく、正規のテーマファイルの末尾に数行足されている
3. データベース内に埋め込まれる：ファイルを調べても見つからず、記事本文やオプション値に仕込まれている

症状を見つけたときにやってはいけないこと

気づいた直後の対応で、その後の復旧の難易度が変わります。

• いきなりバックアップから戻さない：侵入経路が残ったままなら再発します。また証拠が消え、原因特定ができなくなります
• 不正ファイルをすぐ削除しない：削除前に、改ざんされた状態のバックアップを取ってください
• 放置しない：時間が経つほど検索エンジンからの評価回復に時間がかかります

確認から復旧までの流れ

症状を確認したら、現状保全 → 公開停止 → 侵入経路の特定 → 除去 → 認証情報の変更 → 再発防止、という順序で進めます。詳しい手順は改ざんの復旧手順を解説した記事で扱っています。

自力での対応が難しいのは、侵入経路が特定できない場合と、データベースに仕込まれている場合です。判断に迷う段階でご相談いただければ、調査から対応できます。

まとめ

ハッキングの症状は、表示・検索結果・管理画面・サーバーの4か所に分かれて現れます。スマホだけの転送、検索結果だけの異常、既存ファイルへの追記は特に見逃されやすいため、定期的な確認をおすすめします。

WordPressレスキューでは、改ざんの調査・復旧を承っています。まずは調査（一律20,000円・税込）で現状を診断し、改善方針と作業見積もりをレポートでご提示します。

よくあるご質問

Q. 症状が1つだけでも改ざんを疑うべきですか。
A. はい。特に「スマホだけ転送される」「検索結果の表記がおかしい」は、それ単独でも改ざんのサインです。他に異常がないからといって様子を見ると、被害が広がります。

Q. セキュリティプラグインで「問題なし」と出ています。
A. プラグイン導入前に仕込まれたコードや、正規ファイルへの追記は検知できないことがあります。症状が出ている場合は、ツールの結果より症状を優先してください。

Q. サイトを停止したほうがよいですか。
A. 訪問者に被害が及ぶ可能性がある場合（転送・不正な広告表示）は、メンテナンスモードへの切り替えをおすすめします。ただし停止前に、改ざんされた状態のバックアップを取ってください。

調査を依頼する場合の費用

WordPressレスキューでは、まず調査・診断（一律20,000円・税込）で現状を把握します。本番サイトのバックアップを取得し、弊社の検証環境で改ざんの範囲と侵入経路を調べ、改善方針と作業見積もりをレポートにまとめてご提出します。レポートのみのご利用も可能です。

実装が必要な場合は、規模に応じて小規模55,000円〜／中規模220,000円〜／大規模440,000円〜（いずれも税込・参考価格）でご案内しています。

この記事でわかること

• 優先度順に整理した5段階の対策
• なぜ更新が最優先なのか
• 「戻せる状態」「気づける状態」の作り方
• やりがちな失敗と、その理由
• 今の状態を確認する方法

目次

1. 前提：狙われるのは規模ではなく穴
2. 優先度1：更新を止めない
3. 優先度2：管理画面を守る
4. 優先度3：戻せる状態を作る
5. 優先度4：気づける状態を作る
6. 優先度5：入口での防御
7. やりがちな失敗
8. 今の状態を確認するには
9. まとめ

前提：狙われるのは規模ではなく穴

「うちのような小さいサイトは狙われない」という認識は誤りです。攻撃の大半は自動化されており、脆弱性のあるサイトを機械的に探して回っています。企業規模やアクセス数は関係ありません。

攻撃者の目的も、そのサイト自体ではないことが多くあります。スパムメールの送信元、フィッシングサイトの設置場所、別サイトへの攻撃の踏み台——サーバーが使えれば、内容は問われません。「うちのサイトには盗まれるものがない」は、理由になりません。

優先度1：更新を止めない

改ざん被害の原因で最も多いのが、更新の止まったプラグイン・テーマです。これだけで大半のリスクが減ります。

• 本体・プラグイン・テーマを最新に保つ
• 使っていないプラグイン・テーマは停止ではなく削除（停止中でもファイルは残り、攻撃対象になります）
• 更新が1年以上止まっているプラグインは、代替への乗り換えを検討する

更新には確認までが含まれる

更新して表示が崩れることがあります。そのため「更新が怖くて止めている」という状態が生まれ、結果的に脆弱性が放置されます。

正しい対処は、更新を止めることではなく戻せる状態を用意してから更新することです。バックアップを取り、更新し、表示を確認する。この3点をセットにすれば、更新は怖い作業ではなくなります。

優先度2：管理画面を守る

次に多いのがログインの突破です。

• ログインURLの変更
• ログイン試行回数の制限
• 管理者権限のアカウントを必要最小限にする
• ユーザー名を「admin」にしない
• 投稿者名からログインIDが推測されないようにする

アカウントの棚卸しを忘れない

技術的な対策より先に確認すべきなのが、今そのサイトに管理者権限のアカウントがいくつあるかです。退職者のアカウント、制作会社に渡したままのアカウント、テスト用に作って消し忘れたアカウント——これらが残っていれば、対策の効果は大きく下がります。

優先度3：戻せる状態を作る

対策をしても被害はゼロにはなりません。特に WordPress 本体の脆弱性は、公表から更新までの間、どのサイトも無防備になります。重要なのは戻せることです。

• ファイルとデータベースの両方をバックアップする
• サーバーとは別の場所に保存する（サーバーごと侵害されると同時に失います）
• 実際に戻せるか一度試す
• 複数世代を保持する

世代管理が効いてくる場面

改ざんは気づくまでに時間がかかります。1世代しか保持していないと、侵害後の状態で上書きされたバックアップしか残らないことがあります。戻す先が汚染されていては意味がありません。最低でも数世代、可能なら1か月分は保持してください。

「取れている」と「戻せる」は違う

3番目が抜けている現場は非常に多いです。バックアップは取得できていても、いざ戻そうとするとファイル欠損や容量制限で失敗する、という事態は珍しくありません。検証環境で一度復元してみるだけで、この不確実性はなくなります。

優先度4：気づける状態を作る

改ざんは気づくのが遅れるほど被害が広がります。検索順位への影響、Google からの警告、取引先からの指摘——どれも発覚が遅いほど深刻になります。

• ファイルの改ざん検知（セキュリティプラグインの機能）
• Google Search Console の登録（問題があれば警告が届きます）
• 死活監視
• 管理者アカウントが増えていないかの定期確認

Search Console の登録は無料で、数分で終わります。費用対効果が最も高い対策のひとつです。

優先度5：入口での防御

ここまでができてから、WAF やセキュリティプラグインの細かい設定に進んでください。順序を逆にして、更新を止めたまま WAF だけ入れても効果は限定的です。

• サーバー標準の WAF を有効にする
• フォームのスパム対策
• 常時 SSL 化
• 不要なファイルへの直接アクセスを制限する

やりがちな失敗

セキュリティプラグインを複数入れる

機能が競合し、かえって不具合の原因になります。ログイン制限が二重にかかって管理者が締め出される、といったことも起こります。1つに絞ってください。

設定を厳しくしすぎて管理画面に入れなくなる

IP 制限やログイン制限を強めた結果、自分が入れなくなるケースです。設定を変更する前に、必ず戻し方を確認してから行ってください。FTP でプラグインのフォルダ名を変更すれば無効化できる、といった脱出手段を知っておくと安心です。

対策して終わりにする

最も多い失敗です。セキュリティ対策は状態ではなく運用です。更新を続けなければ、半年後には穴が空きます。一度きりの作業ではなく、続く仕組みにすることが本質です。

今の状態を確認するには

まず「ツール」→「サイトヘルス」を確認してください。ここで指摘される項目は、優先度1〜3に関わるものが中心です。

あわせて次を確認すると、現状が把握できます。

• WordPress 本体のバージョン（重大な脆弱性の対象になっていないか）
• 更新が止まっているプラグインの有無
• 管理者アカウントの一覧
• バックアップが動いているか、いつのものが残っているか

管理しているサイトが複数ある場合は、まずバージョンの一覧化から始めてください。1件ずつ管理画面にログインして確認していては、脆弱性が公表されたときの初動が間に合いません。

まとめ

• 攻撃は自動化されている。規模は関係ない
• 優先度は更新 → 管理画面 → 戻せる状態 → 気づける状態 → 入口の防御
• WAF より先に、更新と棚卸しを済ませる
• バックアップは「取れている」ではなく「戻せる」まで確認する
• 対策は状態ではなく運用。続く仕組みにする

WordPressレスキューでは、現状の確認から対策の実施、その後の保守までを一括で対応しています。「何から手をつければいいか分からない」という段階でご相談ください。