WordPressのセキュリティプラグインの選び方｜SiteGuard・Wordfence

WordPressのセキュリティプラグインは、ログイン対策が中心ならSiteGuard WP Plugin、WAFやマルウェア検査まで1つで済ませたいならWordfenceなど、目的で選びます。どれを入れても、サーバーのPHP本体の脆弱性（10月のPHP2Shellなど）は直せないので、PHPの更新とは別に考えます。

悩見有造

PHP2Shellのニュースを見て、セキュリティプラグインを入れようと思いました。種類が多くて、どれを選べばいいか分かりません。

編集長

まずは「何を守りたいか」で選ぶと迷いません。WordPress.orgの公式ページで確認できた機能と数字で、主な4つを比べてみますね。

セキュリティプラグインで守れること・守れないこと

編集長

最初に、プラグインでできることの範囲をはっきりさせておきます。ここを取り違えると、入れただけで安心してしまいます。

守れるのは「WordPressに届く攻撃」

セキュリティプラグインが守るのは、ログイン画面・管理画面・WordPressのファイルへの攻撃です。パスワードの総当たり、管理画面への不正なアクセス、怪しいリクエストなどを、WordPressの中で見分けて止めます。

WordPressの公式ドキュメント「Hardening WordPress」も、ファイアウォールとして働くプラグインやサービスがあると紹介し、WordfenceやAll in One WP Securityの名前を挙げています。WordPressの入口を固めるのが、プラグインの役割です。

PHP本体の脆弱性はプラグインでは直せない

PHP2Shellのような脆弱性は、WordPressではなく、サーバーで動くPHP本体にあります。プラグインはPHPの上で動くプログラムなので、土台のPHPそのものを直すことはできません。

Cloudflareの公式ブログも、脆弱性はPHPの実行環境にあるため、サイトのプログラムやプラグインを更新するだけでは直らないと書いています。PHP公式は、修正版（8.5.12・8.4.27・8.3.36・8.2.35）への更新だけが完全な対策としています。

レンタルサーバーとVPSで、PHPの更新役が違う

エックスサーバー・ConoHa WINGなどのレンタルサーバーは、PHP2Shellへの対応完了を各社が発表しています。利用者は、サポート中のPHPバージョンへの切り替えを確認すれば足ります。

VPSの場合は、エックスサーバーが「XServer VPSでは修正パッチを当てていない」と案内しています。VPSの人は、プラグインとは別にPHPを自分で更新します。

VPSでの手順はVPSのPHPは自分で更新が必要｜PHP2Shell後にやること（OS別の手順）にまとめています。

主なセキュリティプラグイン4つを比較

編集長

ここでは、WordPress.orgで配布されている主な4つを比べます。数字はWordPress.orgのプラグインページの表示です。

4つの基本情報（2026年11月7日時点）

WordPress.orgの表示では、有効インストール数はWordfenceが500万以上、AIOSが100万以上、SiteGuard WP Pluginが60万以上、CloudSecure WP Securityが10万以上。どれもWordPress.orgから無料で入れられ、最近も更新が続いています。

出典：各プラグインのWordPress.orgのページ、Wordfence公式の料金ページ（2026年11月7日確認）。料金は変わることがあるので、最新は公式でご確認ください。

SiteGuard WP Plugin｜ログイン対策が中心

SiteGuard WP Pluginは、ログインページの変更・画像認証・ログインロック・ログインアラート・XML-RPC防御・更新通知の機能をまとめたプラグインです。ログインページのURLを変える機能では、初期値が「login_」と5桁の数字の組み合わせになります。

「フェールワンス」は、正しいIDとパスワードでも1回目はわざと失敗させる機能で、機械的な総当たりを防ぎます。ログイン周りを固めたい人には、設定が少なく使い始めやすい構成です。

Wordfence｜ファイアウォールとマルウェア検査まで

Wordfenceの無料版には、WordPress上で動くファイアウォールと、本体・テーマ・プラグインのファイルを調べるマルウェアスキャナーが入っています。ログインの二段階認証やCAPTCHA、アクセスの様子をその場で見られる「Live Traffic」もあります。

無料版と有料版の大きな違いは、防御ルールとマルウェアの定義の更新の速さです。無料版は、有料版より30日遅れて新しいルールが届くと公式に書かれています。

AIOS（All-In-One Security）｜機能を1つにまとめたい人向け

AIOSの無料版には、ログインロック・二段階認証・ファイアウォール・ファイル変更の検知・ログインページの変更が入っています。CAPTCHAにはCloudflare Turnstileも選べます。

有料版（AIOS Premium）では、国ごとのブロックやマルウェア検査などが加わります。有料版の料金は、WordPress.orgのFAQでは年70ドルからとされています。

CloudSecure WP Security｜エックスサーバーが配布

CloudSecure WP Securityは、エックスサーバー株式会社がWordPress.orgで配布しているプラグインです。エックスサーバーの「WordPress簡単インストール」でも、必要に応じて入れられる拡張機能として表示されます。

ログイン無効化・ログインURLの変更・二段階認証・画像認証・シンプルWAFなどがそろっています。ただしApache環境で動作確認されたもので、マルチサイトには対応していないと書かれています。

選び方｜目的別にどれを選ぶか

編集長

どれが一番いいかではなく、「何を守りたいか」と「どこまで自分で管理できるか」で選びます。

ログインを守りたいだけならSiteGuardかCloudSecure

ログイン画面への総当たりを防ぎたいなら、ログイン対策が中心のSiteGuard WP PluginかCloudSecure WP Securityで足ります。どちらも国内の会社が配布していて、機能もログイン周りに絞られています。

エックスサーバーを使っていて、簡単インストールの画面でCloudSecure WP Securityを入れた人は、それをそのまま使えば十分です。ほかのサーバーなら、利用者の多いSiteGuard WP Pluginが選びやすいです。

ファイルの改ざんまで見張りたいならWordfenceかAIOS

ファイルが書き換えられていないかまで確かめたいなら、マルウェアスキャナーのあるWordfenceか、ファイル変更の検知があるAIOSが向いています。どちらも無料版で、ファイアウォールとファイルの検査が使えます。

どちらも設定の項目が多く、ログイン対策だけのプラグインより覚えることが増えます。使いこなせる自信がなければ、まずはログイン対策のプラグインから入れるほうが確実です。

ログイン対策のプラグインを2つ重ねない

SiteGuardとWordfenceのように、ログインURLの変更やログインロックが重なる組み合わせは、片方の機能を切っておきます。どちらでブロックされたのか分かりにくくなり、自分が締め出されたときに直すのに時間がかかります。

WordPressの公式ドキュメントは、使っていないプラグインは削除するよう勧めています。セキュリティプラグインも、選んだ1つに絞って、試しに入れたものは消しておきます。

サーバーのWAFとプラグインの関係

編集長

サーバーのWAFとプラグインは役割が違うので、両方使えます。違いを整理しておきます。

サーバーのWAFは、WordPressに届く前で止める

エックスサーバーのWAF設定では、XSS・SQLインジェクション・ファイルへの不正アクセス・メールの不正送信・コマンド実行・PHP関数の脆弱性の6つの対策を選べます。サーバーの段階で怪しい通信を止めるので、WordPressに届く前に防げます。

エックスサーバーは、WAFは最低限の予防策で、不正アクセスを100%防ぐことを保証するものではないと書いています。アプリケーションを最新にするといった根本的な対策も必要だとしています。

SiteGuard WP PluginにはWAFとつなぐ機能がある

SiteGuard WP Pluginの「WAFチューニングサポート」は、サーバー側のWAF「SiteGuard Server Edition」の除外ルールを作る機能です。正しいアクセスまで止めてしまう誤検知を防ぎます。

WordPress.orgのページでは、この機能はApache上のSiteGuard Server Editionが必要と書かれています。サーバーにSiteGuardのWAFが入っていない場合は、この機能は使わなくてかまいません。

もう一段手前で止めるならCloudflare

サーバーよりさらに手前で通信を止めたいなら、Cloudflareの無料プランでもWAFとDDoS対策が使えます。PHP2Shell向けの防御ルールも、無料プランに自動で入りました。

ただ、Cloudflare自身も、WAFはPHPの修正の代わりにはならないと書いています。Cloudflare・サーバーのWAF・プラグインは、どれもPHPの更新とあわせて使うものです。

Cloudflareの無料プランでできることはCloudflareの無料プランでWordPressを守れる？できること・できないことで詳しく説明しています。

プラグインを入れたあとにやること

編集長

入れて終わりではありません。最初の設定と、そのあとの更新まで済ませておきましょう。

変えたログインURLを控えておく

ログインURLを変える機能を使ったら、新しいURLをブラウザのお気に入りと、紙かメモ帳の両方に控えておきます。忘れると、自分も管理画面に入れなくなります。

入れなくなったときは、FTPかサーバーのファイルマネージャーで「wp-content」の中の「plugins」フォルダの名前を変えると、すべてのプラグインが止まります（WordPress公式のFAQの手順）。ログインできたらフォルダ名を元に戻し、プラグインを1つずつ有効にし直します。

二段階認証と、更新の通知をオンにする

Wordfence・AIOS・CloudSecure WP Securityには、二段階認証の機能があります。パスワードが漏れても、スマホの認証アプリがなければログインできなくなります。

SiteGuard WP PluginやCloudSecure WP Securityの更新通知をオンにすると、WordPress本体やプラグインの更新をメールで知らせてくれます。WordPressの公式ドキュメントも、本体とプラグインを常に最新に保つよう書いています。

PHPのバージョンもあわせて確認する

プラグインを入れたら、WordPressの「ツール」→「サイトヘルス」で、PHPのバージョンも確認しておきます。サイトヘルスの「情報」タブ→「サーバー」で今のバージョンが分かります。

PHP 8.2のセキュリティサポートは2026年12月31日までです。8.2以下なら、サーバーの管理画面で8.3以上に切り替えておきます。

切り替えの手順は【サーバー別】PHPバージョンの確認・変更方法｜エックスサーバー・ConoHa WING・ロリポップ・さくら・mixhostにまとめています。