WordPress関連イベント関連

WordPress × Webフォームのセキュリティ対策セミナーに参加しました

2025-05-12

先日、「WordPress × Webフォーム：最新の脅威と守るべきセキュリティ対策」というウェブセミナーに参加しました。

セミナーの主な内容

WordPressのセキュリティに関して、よくある問題の原因として以下が挙げられていました。

また、お問い合わせフォームにも注意が必要で、

といった内容も紹介されました。

このセミナーを受けて、制作者として自分がどう対応すべきかを整理してみました。

WordPressで最も多いセキュリティ問題は「ログインIDとパスワードの突破」です。
対策として、「SiteGuard WP Plugin」の導入が有効だと考えています。主な機能は以下の2点です。

通常のログインURL（/wp-login.php）を、任意の文字列に変更できます。これにより、他人がログイン画面にアクセスしにくくなります。

ログイン時に数字やひらがなの画像認証を導入できます。これで、パスワードだけでなく追加の確認ステップを設けられます。

セキュリティを保つには、定期的な更新が欠かせません。

自動更新が可能ですが、不具合が発生しても気づかないリスクがあります。そのため、以下の手順で手動更新を行うのが現実的だと考えています。

※理想は「ステージング環境」を用意して、そこで更新の動作確認を行うことです（手間はかかりますが…）。

一番厄介なのがここかもしれません。プラグインは便利ですが、更新が止まったり、セキュリティリスクが潜んでいたりします。

対策として意識しているのは以下の3点です。

とはいえ運用していけば、プラグインの問題は起きると思います。
WordPressでサイト制作をする以上、ある程度の妥協が必要だと思っています。

セミナーでは、お問い合わせフォームも攻撃対象になるという点が強調されていました。

スパムメールを防ぐため、reCAPTCHAの導入が推奨されていました。私が使っている「Contact Form 7」では、reCAPTCHAの設定も簡単にできます。導入しておくと安心です。

エックスサーバーの記事でも紹介されていましたが、自動返信メールを悪用してスパムを送信する手口があるようです。

対応策としては以下が挙げられていました。

ただ、自動返信メールを無効化すると、ユーザーに返信が届かなくなるため、使うかどうかは案件ごとに相談して決めるのが良さそうです。

WordPressのセキュリティ対策として、現時点で私が実践・検討している対応は次の通りです。

WordPressでの制作を選ぶ以上、セキュリティとのバランスを見極めながら、完ぺきではないけど最適な対応を取っていくことが大切だと感じました。

そこで選択肢として浮かぶのが、「プラグインを使わない」という方向です。例えば、ブログ機能だけをWordPressで運用し、それ以外のページは静的サイトとして構築するという方法があります。

現在では、Next.js や Nuxt、Astro といったフレームワークを使って静的ページを作成し、WordPressはヘッドレスCMSとして活用するスタイルも実現可能です。

このような構成であれば、WordPressに依存する範囲を最小限に抑えつつ、セキュリティやパフォーマンスの面でも質の高いサイト運用が可能になります。