はじめに
大事なお話なので前振り長めです。あらかじめご了承ください。
2026年になってからSNS（というかスレッズ？）で、
- WEBサイト作れます！
- WordPress使えます！
- デザイン得意です！
といった投稿を見かける機会が増えました。
AI生成によるWEB制作だと思いますが、「作れる」と「運用できる」には大きなカベが存在します。
例えるなら、無免許整体士と柔整・あはき師くらいのカベといったところでしょうか。
世界をおびやかす有名企業の情報漏洩・不正アクセス被害
情報漏洩が発生した企業・サービスの一例
- ネットフリックス
- ソースネクスト
- バーガーキング（ビーケー・ジャパン）
- 焼肉きんぐ（物語コーポレーション）
- タイムズカー
- 有名企業だから狙われるんでしょ？
- うちみたいな小さな治療院には関係ないでしょ？
と思った方は、現実を甘く見すぎているかもしれません。
実際に起きていること
大量のBOTが相手を問わずに四六時中攻撃を仕掛けている
↓
企業のWEBサイト・WEBサービスに脆弱性がみつかる
↓
不正アクセス・情報漏洩へ
AIが発達したせいで、悪意のあるハッカーが大量にBOTを作って、手当たり次第に攻撃できるようになりました。
IT界隈のインフルエンサーもWordPressの侵入被害に
攻撃を防ぐ方法は……？
残念ながら存在しません。
そもそも、WEBの世界においては、攻撃する側が圧倒的有利なので。
とはいえ、ここで話を終わらせても仕方がないので、多くの治療院HPで利用されているWordPressに関するセキュリティについて簡潔にまとめてみます。
当記事の内容
- WordPressセキュリティ対策でつかう3つのプラグイン
- ご契約のサーバーで設定するセキュリティ対策
- その他、情報漏洩の原因と対策（後日追記）
詳細に書くと膨大な量（たぶん20000文字越え）になるため、プラグインや設定方法をまとめたリンク集としてご利用いただければ幸いです🙏
WordPressセキュリティ対策で使う3つのプラグイン
- CloudSecure WP Securityの設定
- Easy Updates Manager
- IP2Location Country Blocker
1）CloudSecure WP Security：セキュリティ全般の設定
プラグインのURL：https://ja.wordpress.org/plugins/cloudsecure-wp-security/
絶対に確認したい項目3つ
- ログイン試行回数の制限
- ログインURLの変更
- 2段階認証
上記3つなら5～10分で設定できるので、絶対に設定しておきましょう。
設定時のイメージ↓
2段階認証について：個人的にはメール推奨
2段階認証は、メール or スマホアプリの2つから選択できますが、個人的にはメールを推奨しています。
✅理由
スマホを紛失しても、PCのメールでパスコードを確認すればログインできるため。
ただし、ご契約のサーバー・SMTP設定（メール送信設定）によっては、メール通知が送信されないケースも……
メールが送信されない場合は、Googleの認証アプリをご利用のスマホにインストールして、2段階認証を設定してください。
設定方法は、エックスサーバーの”CloudSecure WP Securityのメリットや設定方法を解説”をご確認ください。
2）Easy Updates Manager：プラグイン・テーマの更新に
プラグインのURL：https://ja.wordpress.org/plugins/stops-core-theme-and-plugin-updates/
WordPress・プラグイン・テーマを自動でアップデートしてくれるプラグインです。
オススメの設定
- WordPressのマイナーアップデート自動化
- プラグインアップデート自動化
- テーマのアップデート自動化
設定時のイメージ↓
プラグインの自動更新は、WordPressのデフォルト機能でもOKですが、
- WordPressのマイナーアップデート自動化
- テーマのアップデート自動化
までは、WordPress単体で設定できません（できたらスイマセン）
WordPressのコア（本体）アップデートまで自動化すると思わぬトラブルに？
WordPressのコア（本体）アップデートまで自動化してしまうと、以下のトラブルが発生する場合があります。
- レイアウト崩れや表示画面にバグが出やすい（テーマやプラグインが対応できていない）
- WordPressのエディター画面が変わってしまい使いにくい
WordPressの脆弱性に対するアップデートでなければ、コアアップデートは「通知を確認してから2～3週間後」くらいで問題ないかと。
設定方法はWordPress セキュリティ対策｜Easy Updates Manager 導入ガイド：アップデートを自動管理！をご確認ください。
3）IP2Location Country Blocker：海外からのアクセス遮断
プラグインのURL：https://ja.wordpress.org/plugins/ip2location-country-blocker/
海外からのアクセスをブロックできるプラグインです。
「意味あるの？」
と思うかもしれないので、治療院HPの制作をご依頼いただいたクライアントの事例を紹介します。
都内のクライアント提供・2026年4月のデータ
アナリティクスをみると、シンガポールから1か月で268人の不自然なアクセスを計測。
滞在時間0秒のため、BOT（不正なプログラム）によるアクセスの可能性が高い。
1日で数百件ものアクセスがあると、アナリティクスのデータ分析時に悪影響が出ます（正確な数字が使えない）
不正アクセスの大半は海外で作られたボット（プログラム）
WordPressのセキュリティを優先するなら、海外からのアクセスは遮断しておきましょう。
例えるなら「国際空港で不法移民を入国させない」といったところでしょうか。
地域密着の治療院なら、海外からアクセスを集める理由はすくないはずなので……！
※インバウンド受け入れを目的の治療院は、自己判断でお願いいたします。
設定方法はWordPressで国別アクセス制限！IP2Location Country Blockerの導入手順をご確認ください。
とはいえ、海外からの不正なアクセスがなければ、設定しなくていいかも……？（小声）
サーバーで設定するWordPressのセキュリティ対策2つ
- サーバーで管理画面へのアクセス遮断
- PHPを推奨バージョンへ更新
1）サーバーで管理画面へのアクセス遮断
ご契約のサーバーによっては、海外からWordPress管理画面のアクセスを遮断できます。
設定方法は以下のURLをご確認ください。
その他のサーバーをご契約いただいている場合は、
「サーバー名 海外 WordPress 遮断」
などで検索すると、該当ページが見つかると思います。
2）PHPを推奨バージョンへ更新
サーバー側で設定するPHPが古いバージョンのまま放置していると、WordPressに不具合が起きるため、6ヵ月に1回くらいはチェック推奨します。
緊急のお知らせ：PHPに緊急性の高い脆弱性が見つかりました
10月21日（水）深夜に修正版が公開されるようなので、ご契約のサーバーをチェックしてみてください。
乗っ取り被害から攻撃側へ、最悪の場合は損害賠償に発展するおそれもあるため、深夜に公開されるPHPへの変更を推奨いたします。
PHPの更新方法は、以下をご確認お願いいたします。
セキュリティではないけど知っておきたい豆知識（Q＆A）
- セキュリティプラグインを複数入れれば安心？
-
オススメしません。
プラグインが競合してバグが起きる可能性大です。
- WordPressはとりあえず自動でアップデートすればいいよね？
-
マイナーアップデートは自動化を推奨しますが、コア（本体）アップデートはサブドメインなどのテスト環境でチェックしてからアップデートを推奨します。
WordPressコア（本体）アップデートの基本的な流れ
バックアップを取得（PCに保存）
↓
プラグイン・テーマを最新版にアップデート
↓
WordPressをアップデート
↓
PHPのバージョンを推奨バージョンに設定 or チェック
面倒な人は省略していただいてもかまいませんが、画面が真っ白になっても自己責任でお願いいたします。
WordPress以外の情報漏洩ポイント3つ（次回執筆）
※後日、追記します🙏
さいごに：「うちは個人の小さな院だから狙われない」は通用しない
攻撃者が狙うのはサイトの知名度ではなく「迷惑メールの大量送信」や「詐欺サイトへの中継」に使える無防備なホームページ（WordPress）です。
WordPressが乗っ取られたら、知らないうちにアダルトサイトになっているかもしれません。
治療院界隈にも「WEBくわしいです！」といいつつ、セキュリティについては「・・・」な人もいるかもしれないため、この記事を参考に自己防衛して頂ければ幸いです。
ここまで読んでいただきありがとうございました🙏
治療院HP制作・WordPress設定・編集の
ご相談受付中です。
