「WordPressサイトの保守、専門業者に頼むと費用がかかる…」
「更新通知は見るけど、なんだか怖くて後回しにしている…」
少しでもこう感じている方に向けて、この記事を書きました。
WordPressサイトは、作って終わりではありません。安全で快適な状態を保つための「メンテナンス（保守）」が欠かせません。
しかし、その重要性を見過ごしている方は多く、制作会社から知らされていない方も少なくありません。そしてある日突然、「サイトが表示されない」「見知らぬページが増えている」といった事態に直面します。
ここでは、専門業者に頼らず、ご自身でサイトを守るための、具体的で実践的な保守の方法を説明します。サイトの安全を守る最初の一歩を踏み出すための材料にしてください。
保守を放置するとどうなるか。ある朝に起きたこと
WordPressサイトの保守では、「面倒だから」「たぶん大丈夫」という油断が、取り返しのつかない事態を招きます。
次に紹介するのは、保守をしていなかったサイトで実際に起きたことです。決して他人事ではありません。
プラグインの更新を放置して、サイトが改ざんされた例
このサイトは別の制作会社が作ったもので、「OptinMonster」というプラグインが入っていました。運営者ご本人には、インストールした覚えがなかったそうです。
WordPressの管理画面には、そのプラグインを更新するよう促す通知が出ていました。
「よく分からないな…。サイトは問題なく表示されてるし、とりあえず放っておこう…」
そう考えて、通知はそのままにされていました。
更新について、制作会社からは何の説明もなかったそうです。
こうしたケースは実際に多く、grandworkでも対応に困ることがあります。システムを使ってサイトを作るのであれば、更新が必要なことまで説明しておくのが制作する側の責任だと考えています。
【ある日の朝】
「サイトを見ようとしたら、サイトが表示されないのですが…」
すぐにサイトを確認すると、たしかに表示されていませんでした。
下の画像は、サーバー会社へ問い合わせたあと、当社が対応していたときのメールの一部です。
当社の調査でも、ファイルが改ざんされた形跡を確認しました。
同じ脆弱性の影響を受けたサイトは、かなり多かったようです。
1,000,000 Sites Affected by OptinMonster Vulnerabilities
https://www.wordfence.com/blog/2021/10/1000000-sites-affected-by-optinmonster-vulnerabilities
そもそも、このプラグインは必要だったのでしょうか。
なぜ入っていたのかを調べてみると、All in One SEOを入れると一緒にインストールされるようです。（当社ではAll in One SEOを採用しておらず、Yoast SEOを使っています）
設定は何もされていなかったので、制作会社も意図して入れたわけではなかったように見受けられました。使わないプラグインは、入れたままにせず削除しておいてほしかったところです。
もちろん、WordPressサイトを運営していれば誰もがすぐにこうした事態に遭う、というわけではありません。 運良く一度もトラブルに見舞われず、何年もサイトを運営できるケースもあるでしょう。
しかし、脆弱性を放置したサイトは、いわば「鍵のかかっていない家」と同じです。 いつ空き巣に狙われるかは運次第かもしれませんが、だからといって、家の鍵をかけずに出かける人はいません。
これから説明する「保守」は、この「鍵をかける」ことにあたります。サイトという資産を守るための、最低限の、しかし重要な習慣です。
【最重要】自分で保守するなら、必ず行いたい2つの作業
その前に、ひとつ大事な前提をお伝えします。
残念ながら、セキュリティに「これをやれば100%防げる」という方法はありません。どんなに頑丈な金庫でも、時間をかければ破られる可能性があるのと同じです。
しかし、だからといって対策を怠っていい理由にはなりません。
ほとんどの攻撃者は、無防備なサイトや、簡単に侵入できるサイトを無差別に狙っています。これから紹介する2つの作業は、サイトを「侵入に手間がかかる、守りの固いサイト」に変えて、被害に遭う確率を大きく下げるためのものです。
作業1：命綱になる「バックアップ」
サイトが改ざんされても、操作ミスでデータを消してしまっても、バックアップさえあれば、サイトを正常な状態に戻せます。 保守のなかで、何よりの「命綱」になります。
■ なぜ必要か
万が一のときに「復元」するためです。これに尽きます。
■ 方法：プラグインを使う
- おすすめのプラグインは、定番のAll-in-One WP Migrationです。スケジュールを組めば自動でバックアップを取ってくれるので、一度設定すれば手間がかかりません。有料ですが、保守を外部に頼む費用と比べれば、それほど高いとは考えていません。これはあくまで当社の見方です。
All-in-one-wp-migration-Pro （年間サブスクリプションプラン契約が必要）
当社の保守サービスでは、現在はこのプラグインではなく、Dropbox APIなどを使った別の方法で、毎日のバックアップをサイトとは別の場所に保管しています。（サービス料金に含まれます）同じサーバーの中にだけバックアップを置いていると、そのサーバーに障害が起きたときに、サイトと一緒に失われてしまい、復旧の手段がなくなるからです。ご要望によっては、お客様が指定するサーバーへAPI経由でバックアップする処理を作成することもあります。 - 契約しているサーバー会社がバックアップ機能を提供していれば、そちらを使う方法もあります。
使い勝手はサーバー会社によって違うので、ご契約先のマニュアルをご確認ください。
■ いつ・どこに？
- 頻度： 毎日取ってもよいくらいです。
- 保管場所： サーバーの中（同じ場所）だけでは不十分です。サーバーに障害が起きると、サイトと一緒に消えてしまいます。Dropboxなど、外部のクラウドストレージに自動で保存するように設定してください。
作業2：サイトを守る「アップデート」
管理画面の更新通知を、そのままにしていないでしょうか。
アップデートには、機能の追加だけでなく、見つかった脆弱性（セキュリティの穴）をふさぐためのものも含まれています。
更新を怠ることは、家に「どうぞお入りください」と貼り紙をするのと同じくらい危険な行為です。
■ 対象は3つ
- WordPress本体（コア）
- プラグイン
- テーマ
これら3つすべてが対象です。
■ 安全にアップデートする手順
「更新ボタンを押したらサイトが壊れた」という事故を防ぐため、必ず次の手順を守ってください。
- 【最優先】必ずバックアップを取る。アップデートの直前に、必ず手動でバックアップを実行します。何かあっても、比較的すばやくアップデート前の状態に戻せます。
- 一つずつ更新する。一度にすべてを更新すると、どれが原因で不具合が起きたのか分かりにくくなります。一つ更新したらサイトの表示を確認する、という手順を繰り返します。
- プラグインの更新が終わったら、テーマ、WordPress本体を更新します。（アップデートの際は、対応しているWordPressのバージョンも確認しておいてください）
【慣れてきたら】サイトを快適に保つためのメンテナンス
2つの作業に慣れてきたら、サイトをさらに快適に保つためのメンテナンスにも取り組んでみてください。こちらは月に1回程度で十分です。
- セキュリティチェック：攻撃の「入口」を隠し、守りを固める
SiteGuard WP Plugin
国産で人気の高い総合セキュリティプラグインです。多くの機能がありますが、特に「ログインページ変更」機能は、導入したら必ず設定してください。
ログイン画面のURLを変えることが、なぜそれほど重要なのか
WordPressのログイン画面のURL（wp-login.php）は、全世界で共通です。これは、いわば「すべての家の玄関が、同じ住所にある」ような状態です。 そのため、攻撃者はこの決まったURLに対して、プログラム（ボット）を使い、考えられるユーザー名とパスワードの組み合わせを何万回と試す「ブルートフォース攻撃（総当たり攻撃）」を常に仕掛けています。
ログイン画面のURLを変更することは、この「家の玄関を、自分しか知らない秘密の裏口に変えてしまう」ようなものです。ボットは攻撃の入口そのものを見つけられなくなるので、機械的なブルートフォース攻撃を避けられます。手間に対して効果の高い防御策です。
実際に、セキュリティプラグイン「Wordfence Security」の脅威レポートでは、脆弱性を悪用する攻撃と並んで、認証情報（パスワードなど）を窃取しようとする攻撃が常に大多数を占めることが報告されています。 まずは、攻撃者に侵入の「入口」を知られないようにすること。これが基本的な防御の第一歩です。- WPS Hide Login
こちらは管理画面のURLを変更するだけのプラグインです。後述のWordfence Securityと併用するなら、こちらでも構いません。 - Wordfence Security
より包括的で強力な防御機能を備えています。
サイトへの不正なアクセスを検知・ブロックするファイアウォール（WAF）機能や、サイト内にマルウェア（ウイルス）が置かれていないかをスキャンする機能など、多くの機能があります。
2段階認証も設定できます。別のプラグインでも設定できますが、プラグインの数を増やしすぎるのは避けたいので、ここで設定してしまうのがよいと考えています。
利用するには、スマートフォンにAuthenticatorなどのアプリをインストールする必要があります。
設定方法は、あらためて解説する予定です。
- データベースの最適化 / コメントスパムの削除
記事のリビジョン（編集履歴）や不要なデータが溜まると、サイトの動作が重くなります。WP-Optimizeなどのプラグインで定期的に整理してください。
余談ですが、Wordfence Security を入れておくと、下の図のように、どんな攻撃が来て、何をブロックしたのかも通知されます。当社が保守しているサイトには、毎日必ずといってよいほど攻撃が来ています。通知が届くたびに、念のため対象のサイトを確認しています。
ここ最近は、とくに数が増えています。
自分でやるか、専門業者に任せるか。後悔しないための判断基準
ここまで読んで、「自分にもできそうだ」と思った方も、「やはり大変そうだ」と感じた方もいると思います。最後に、どちらを選ぶかの判断基準を挙げておきます。
【自分で保守することを検討できる方】
- 個人のブログや、小規模なビジネスサイトを運営している。
- 保守にかけられるコストを、とにかく抑えたい。
- サイトの仕組みを理解することに興味がある。
- トラブルが起きても、自分で調べて解決する時間と意欲がある。
【専門業者への依頼を検討したい方】
- ECサイトなど、サイトが1時間でも停止すると大きな売上損失が出る。
- 顧客の個人情報など、絶対に漏洩してはならない情報を取り扱っている。
- 本業が忙しく、保守に時間を割くことが難しい。
- PCやWebの専門的な作業に強い苦手意識がある。
保守を外部に依頼する場合でも、ここまでの内容は知っておいて損はありません。依頼先が何をしているのかが分かり、やり取りもしやすくなります。
最後に
当社は、日々多くのWordPressサイトの保守・管理に携わっています。その立場から、一つだけ確実にお伝えしたいことがあります。
それは、「WordPressは便利なWebサイト制作ツールであると同時に、常にインターネット上の脅威にさらされている『システム』である」という事実です。
* WordPressに限った話ではありません。システムが動いているサイトは、すべて同じ状態にあります。
手軽に使えるので忘れがちですが、皆さまが運用しているのは、セキュリティ対策が欠かせない「システム」です。だからこそ当社のような専門サービスがあるのですが、ご自身で管理する場合でも、「セキュリティをおろそかにしてよい」という選択肢は、決してありません。この点だけは、ぜひ心に留めておいてください。
最初の一歩は「バックアップ」から
WordPressの保守は、難しく考えすぎる必要はありません。
まずは今日にでも、All-in-One WP Migrationなどのバックアッププラグインを設定するところから始めてみてください。
その小さな一歩が、大切なサイトをこれからの脅威から守る、堅実な手段の一つになります。
保守に関するご相談・お問い合わせ
- 「もっと具体的な運用方法を知りたい」
- 「自社サイトに最適なアップデート管理を提案してほしい」
- 「保守管理の一部だけ外注したい」
保守プランのご提案、お見積り、ご質問など、下記フォームより承っております。
お問い合わせ・ご相談
やりたいことを、まずはお気軽にお送りください。内容を確認して、改めて連絡させていただきます。
