WordPress納品後のセキュリティ設定｜クライアント自身で守れる基本チェックリスト

こんにちは！
今日は「WordPress納品後のセキュリティ設定｜クライアント自身で守れる基本チェックリスト」について解説します。

納品後に多発するセキュリティトラブル｜僕の失敗談から学ぶ

僕も最初の頃、WebサイトのセキュリティってDeveloperが責任持つもんやと思ってました。
ほんまにそれが失敗のもとでして。

納品してから3ヶ月後、ある飲食店のクライアントから「サイトが真っ白になった」って連絡来たんですよ。
調査したら、スパムプラグインが自動更新で上手くいかずに、サイト全体がクラッシュしていたんです。
その方は更新の概念もほぼなかったし、どうしたらいいか全く分からんかった。

その時点で気づきました。
「セキュリティって、技術者と利用者が一緒に守るもんなんや」って。

だから今は、納品する際に「クライアント側で最低限やっておくべきセキュリティ対策」と「その方法」をめっちゃ丁寧に説明するようにしています。
今回はそのノウハウを共有しますね。

クライアント自身で実行できるセキュリティ対策5つ

ここからは、技術知識がそこまでない方でも実行できる対策をご紹介します。
納品チェックリストに組み込むといいですよ。

1. 管理画面のURLを変更する

WordPressのデフォルト管理画面は/wp-adminです。
これ、ほぼ世界中が知ってるので、ブルートフォース攻撃の格好の的になります。

対策は超シンプル。
プラグイン「WPS Hide Login」や「All In One WP Security & Firewall」を使って、URLを/mysite-adminみたいなオリジナルパスに変更するだけです。
設定は30秒で終わります。

僕が納品する時は、このプラグインの導入と設定まで済ませて、クライアントには「このURLでログインしてね」ってお伝えする形にしています。

2. デフォルトユーザー「admin」を削除する

WordPressをインストールすると、デフォルトで「admin」というユーザーが作成されます。
これもめっちゃ有名で、攻撃者は「admin」+「パスワード総当たり」で狙ってきます。

対策としては：

• 新しい管理者ユーザーを作成する
• 元の「admin」ユーザーを削除する
• 削除時に、その記事やコンテンツを新しいユーザーに割り当てる

これもダッシュボードの「ユーザー」メニューから5分で完了です。
クライアントには「このユーザーを使ってログインしてね」って説明すればOK。

3. ログイン試行回数を制限する

ブルートフォース攻撃を防ぐために、失敗したログイン試行の回数を制限します。
例えば「5回失敗したら30分ロック」みたいなルール。

プラグイン「Limit Login Attempts Reloaded」を入れると、自動で対応してくれます。
このプラグインはめっちゃ有名で、多くのセキュリティ専門家も推奨しています。

設定画面に入って、失敗回数と制限時間を設定するだけ。
デフォルト設定でもいけますが、カスタマイズもできます。

4. 定期的なバックアップ設定

セキュリティ攻撃に遭った時、バックアップがあれば復旧できます。
これはほんまに大事。

プラグイン「UpdraftPlus」を使うと、自動バックアップが設定できます。
週1回や月1回の自動バックアップを設定しておくと、万が一の時に安心ですよ。

ただし、バックアップデータを安全に保管することも重要。
クラウドストレージ（Google DriveやDropboxなど）に自動送信する設定にするといいです。

5. SSL証明書が有効化されているか確認する

これは納品時にチェックすべき項目です。
ブラウザのアドレスバーに鍵マークが表示されているか確認しましょう。

https://で始まる場合は有効。
http://だと問題あり。

今はほぼ全てのレンタルサーバーで無料SSL（Let’s Encryptなど）が提供されてます。
納品時に必ず有効化されてることを確認して、クライアントにも「この鍵マークが重要」って説明するといいですよ。

納品時に渡すべき操作マニュアル作成のコツ

セキュリティ対策は、クライアントが理解して初めて機能します。
だから、マニュアル作成めっちゃ大事。

マニュアルに含めるべき項目

• ログイン方法 ｜ 変更したURLと、ユーザー名を明記
• プラグイン更新の手順 ｜ 「ダッシュボード」→「更新」から実行するイメージ図付き
• バックアップの確認方法 ｜ 自動バックアップが実行されてるか確認する手順
• 緊急時の連絡先 ｜ サイトが落ちた時、誰に連絡するのか
• 定期メンテナンスの重要性 ｜ なぜ更新が大事か、分かりやすく説明

僕の場合は、スクリーンショット付きのPDFマニュアルを作って、Googleドライブで共有してます。
ポイントは「図が多い」ことですね。
テキストだけだと、100%読まれません。

納品時に「セキュリティ勉強会」をやる

可能なら、納品時に30分程度のZoomミーティングで、セキュリティについて説明するといいですよ。
口頭で説明すると、クライアントの理解度がめっちゃ上がります。

「これらの対策は、あなたのサイトを守るためのものです」って前置きすると、クライアントも「大事なんだ」って認識してくれます。

実際、説明会をやったクライアントは、その後の更新対応もきちんとしてくれるケースが多いです。

まとめ

WordPress納品後のセキュリティは、技術者だけの責任じゃありません。
クライアント自身が「ちょっとした対策」を継続することが、めっちゃ重要です。

今回紹介した5つの対策