WordPressのセキュリティプラグインを比較｜SiteGuard WP Plugin・Wordfenceとサーバーの守り

WordPressで起きやすい被害

セキュリティの道具を比べる前に、WordPressでどんな被害が起きやすいかを知っておきましょう。

不正ログイン

WordPressのログインページは、多くのホームページで同じアドレス（/wp-login.php など）になっています。そのため、ログインページを狙って、よくあるユーザー名とパスワードを機械で次々に試す攻撃が、世界中から届きます。弱いパスワードを使っていると、ログインされて、ページを書き換えられてしまうことがあります。

古いプラグインやテーマのすき

プラグインやテーマに弱いところ（脆弱性）が見つかると、作者が直した新しい版を出します。でも、更新しないまま古い版を使い続けていると、そのすきを突かれて、勝手にページを書き換えられたり、迷惑なページに飛ばされるようにされたりすることがあります。

気づかないうちに悪用される

書き換えられても、見た目が変わらないこともあります。気づかないうちに、迷惑メールの送信に使われたり、ほかのサイトを攻撃する足場にされたりすることもあるため、ふだんから守りを固めておくことと、異変に気づけるしくみが大切です。

3つの守りの比較

※2026年11月時点の公式の案内をもとにした目安です。

SiteGuard WP Plugin

SiteGuard WP Pluginは、日本のセキュリティの会社、EGセキュアソリューションズが提供している無料のプラグインです。公式の案内では、「管理ページとログインページの保護を中心とした日本語対応のシンプル・簡単プラグイン」と紹介されています。

主な機能は次のとおりです。

• ログインページの変更：有効にすると、ログインページのアドレスが自動で「login_」と5桁の数字の形に変わります。機械が狙う決まったアドレスでなくなるので、不正ログインの試みを大きく減らせます。
• 画像認証：ログインやコメントのときに、ひらがななどの画像の文字を入力させて、機械による入力を防ぎます。
• ログインロック：ログインの失敗をくり返す相手を、しばらくの間ロックします。
• ログインアラート：ログインがあったことを、メールで知らせます。
• 管理ページへのアクセス制限：ログインしていない相手から、管理画面のフォルダを守ります。

強みは、画面がすべて日本語で、入れて有効にするだけで基本の守りが効くことです。動きも軽く、ほかのプラグインとぶつかりにくいのも安心です。

弱みは、守れるのがログインまわりが中心で、ウイルスなどの検査や、ログイン以外の攻撃の通信を止める機能はないことです。サーバーのWAFなどと組み合わせて使うのがよいでしょう。

Wordfence

Wordfenceは、世界でとくに多く使われているWordPressのセキュリティプラグインのひとつです。無料版でも、次のような機能が使えます。

• ファイアウォール：WordPressに届く通信を調べて、攻撃とわかるものを止めます。
• マルウェアスキャン：WordPressのファイルを調べて、書き換えられたものや、悪いプログラムが入っていないかを確かめます。
• ログインの守り：ログインの失敗の回数を制限したり、2段階認証を使ったりできます。

強みは、ひとつのプラグインで、攻撃を止める、異変を見つける、ログインを守る、という幅広い対策ができることです。

無料版と有料版の違いとして、公式の料金ページでは、有料版は新しい攻撃に対応したファイアウォールのルールや、ウイルスの見分け方がすぐに届き、無料版は30日遅れて届くと案内されています。新しく見つかった攻撃にすぐ備えたい場合は、有料版を考えるとよいでしょう。

弱みは、機能が多い分、設定の項目が多く、英語の説明も多いため、慣れないうちは少し難しく感じることです。また、検査を動かすときにサーバーに負担がかかり、安いサーバーでは表示が遅くなることがあります。

サーバーのWAF

WAF（ワフ）は、ウェブアプリケーションファイアウォールの略で、ホームページに届く通信をサーバーの手前で調べ、よくある攻撃の形をした通信を止めるしくみです。エックスサーバー、ConoHa WING、さくらのレンタルサーバなど、多くのレンタルサーバーで、管理画面からオンにするだけで使えるようになっています。

強みは、WordPressの中に入れるプラグインと違い、WordPressに届く前に攻撃を止めるので、ホームページへの負担が少ないことです。WordPress以外のページも守れます。

弱みは、ログインページを狙った「パスワードの総当たり」のように、ふつうの通信の形をした攻撃は止めにくいことです。また、WAFが正しい操作まで攻撃とまちがえて止めてしまい、WordPressの保存がうまくいかないことがまれにあります。その場合は、管理画面でWAFの設定を調整します。

3つのケースで考える

ケース1：スタッフが少ない小さなパン屋

店主がひとりで、ときどきお知らせを更新しているホームページです。セキュリティに時間はかけられない。

この場合は、サーバーのWAFをオンにして、SiteGuard WP Pluginを入れる組み合わせがおすすめです。どちらも日本語で、入れたりオンにしたりするだけで基本の守りが効きます。あわせて、WordPressの自動更新をオンにしておきましょう。

ケース2：お客さまの会員情報を扱う習い事の教室

生徒の会員ページがあり、お客さまの情報をWordPressで扱っている教室です。

この場合は、サーバーのWAFに加えて、Wordfenceでファイアウォールとマルウェアスキャンを使うと、異変に早く気づけます。新しい攻撃にすぐ備えたいなら、有料版も検討しましょう。管理者には2段階認証を使うとさらに安心です。

ケース3：以前、ホームページが書き換えられたことがある会社

以前、古いプラグインのすきを突かれて、ホームページが書き換えられたことがある会社です。

この場合は、まず書き換えられたファイルが残っていないかを、Wordfenceのマルウェアスキャンなどで確かめることが大切です。そのうえで、使っていないプラグインやテーマを消し、すべてのパスワードを変え、更新を続けるしくみを整えましょう。被害が大きい場合は、専門の会社に調べてもらうことも考えましょう。

プラグインより大切な、基本の守り

セキュリティのプラグインは心強い道具ですが、入れただけで安全になるわけではありません。次の基本の守りがあってはじめて、プラグインも力を発揮します。

更新を続ける

攻撃のほとんどは、すでに直された古いすきを狙っています。WordPressの本体、テーマ、プラグインを新しい版に保つことが、いちばん効果のある対策です。WordPressには、自動で更新する設定もあります。

使わないものは消す

止めているだけのプラグインやテーマも、ファイルが残っていると、すきを突かれることがあります。使っていないものは、止めるだけでなく、消しておきましょう。

強いパスワードと2段階認証

管理者のパスワードは、長く、ほかのサービスと使い回さないものにしましょう。ユーザー名も「admin」のような推測されやすいものは避けます。2段階認証を使えば、パスワードが知られても、すぐにはログインされません。

バックアップをとる

どんなに守っても、被害を100％防ぐことはできません。被害にあったときに元に戻せるよう、バックアップをとっておくことも、セキュリティの大切な一部です。

被害に気づくためのサイン

書き換えられても、すぐには気づかないことがあります。次のようなことが起きたら、被害を疑ってみましょう。

• 検索の結果に、自分のホームページの名前で、身に覚えのない商品や外国語のページが出てくる
• スマホで開いたときだけ、別のページに飛ばされる
• 知らない管理者のユーザーが増えている
• サーバーの会社から、迷惑メールの送信や、不審なファイルについての連絡が来た
• Search Consoleに、セキュリティの問題のお知らせが届いた

とくに、スマホからだけ、または検索から来たときだけ別のページに飛ばされる、という書き換えは、管理者がパソコンで見ても気づきにくいのが特徴です。ときどき、スマホで検索からホームページを開いてみると、早く気づけることがあります。また、Search Consoleにホームページを登録しておくと、Googleがセキュリティの問題を見つけたときに、メールで知らせてくれます。無料で使えるので、まだ登録していない場合は、この機会に登録しておきましょう。

被害にあったときの最初の対応

もし被害に気づいたら、あわてずに、次の順で対応しましょう。

1. パスワードを変える：WordPressの管理者、サーバーの管理画面、FTPなど、関係するすべてのパスワードを変えます。
2. 知らないユーザーを消す：WordPressのユーザーの一覧を見て、身に覚えのない管理者がいれば消します。
3. 書き換えられる前の状態に戻す：バックアップから、被害にあう前の状態に戻します。いつ書き換えられたかわからない場合は、少し前のものを選びます。
4. 原因をふさぐ：古いプラグインやテーマを更新し、使っていないものは消します。
5. サーバーの会社に相談する：サーバーの会社によっては、不審なファイルの調べ方や、対応の手順を案内してくれます。

お客さまの情報を扱っていた場合は、情報が漏れていないかの確認や、お客さまへのお知らせが必要になることもあります。自分だけで判断が難しいときは、早めに専門の会社に相談しましょう。

選び方のまとめ

セキュリティの管理も任せたいときは

WordPressの更新や、セキュリティの見張りは、続けていくと手間がかかります。ホームページの制作から、公開後の管理まで任せたい場合は、制作と管理をまとめて頼めるサービスもあります。CRAFT WEBは、月額3,000円（税別）で、オリジナルのデザインのホームページの制作から、公開後の管理まで任せられるサービスです。

まとめ

WordPressのセキュリティの道具は、かんたんにログインを守るならSiteGuard WP Plugin、攻撃を止めて異変を見つけるならWordfence、サーバーの手前で守るならサーバーのWAF、と守る場所と得意なことが違います。

ただし、いちばん大切なのは、更新を続ける、使わないものを消す、強いパスワードを使う、バックアップをとる、という基本の守りです。プラグインは、その基本の上に重ねる道具と考えましょう。