WordPressの対策は、侵入を防ぐ工夫と、問題が起きたときに復旧する準備を組み合わせます。プラグインを一つ入れて完了ではありません。更新、権限、バックアップ、異常時の連絡を継続して管理しましょう。
優先して確認する対策
| 対策 | 確認すること |
|---|---|
| 更新 | 本体・テーマ・プラグインに必要な修正を適用しているか |
| アカウント | 共有を減らし、必要な人だけに必要な権限があるか |
| 認証 | 強いパスワードと利用可能な多要素認証を使えるか |
| 不要機能 | 使わない拡張やアカウントを残していないか |
| サーバー | 動作環境、アクセス権、ログを管理する担当がいるか |
| 復旧 | バックアップと戻す手順があるか |
HTTPSは通信を保護しますが、それだけでサイトの改ざんを防げるわけではありません。対策ごとの役割を理解して重ねます。（出典：WordPress：セキュリティの強化）
バックアップに必要なもの
本文や設定を持つデータベースと、画像・テーマ・プラグインなどのファイルを対象にします。WordPress公式のバックアップ資料でも、この両方が説明されています。記事のXMLエクスポートだけをサイト全体の復元手段としないようにします。（出典：WordPress：バックアップ）
同じサーバーだけに置く場合は、そのサーバーの障害や不正アクセスで一緒に失う可能性があります。別の保管先、アクセス制限、必要な保持期間を確認し、公開ディレクトリに無防備なデータを置かないようにします。
頻度は失ってよい更新量から考える
毎日投稿や予約が増えるサイトと、月一回の情報更新では必要な頻度が違います。「どの時点まで戻れればよいか」「復旧までどの程度の停止を許容できるか」を業務側で決め、技術担当と方法を選びます。
保存ファイルがあるだけでは十分ではありません。別環境で復元し、本文、画像、管理画面、主要機能を確認します。復元テストの際は、顧客への通知や外部連携が誤って動かないよう制御します。
アカウントを整理するときの確認
退職者や旧制作会社の権限を外す前に、現在の管理者が必要な操作をできるかを確かめます。特定のアカウントに連携や通知がひも付いている場合、削除だけで動作が止まることがあります。投稿の扱いも確認してから整理します。
一つの管理者アカウントを全員で共有すると、誰が作業したかを確認しにくくなります。可能な範囲で個別アカウントを使い、担当業務に必要な権限だけを付与します。バックアップへのアクセス権も同じように管理します。
改ざんが疑われるときの初動
発見時刻、表示、直前の変更を記録し、保守担当へ連絡します。ログや不審な状態を確認できるようにし、調査せず古いデータを戻すだけで完了にしないようにします。原因が残れば再発する可能性があるため、復旧と原因対処を合わせて進めます。