12個のお勧めの WordPress セキュリティプラグインの比較 (2021年版レビュー)

ブログでも、中小企業のサイトあるいはeコマースストアでも、セキュリティは何よりも重要です。セキュリティ対策を講じたにもかかわらずサイトがハッキングされた場合、評判の悪化、ファイルとデータベースの喪失、SEO の検索順位の低下といった被害が出るだけでなく、個人顧客や訪問者のデータがハッカーの手に渡ることになってしまいます。

人生における多くの物事と同様、問題が発生してから対処するのではなく、問題の発生自体を防止することが大切です。WordPress ならサイトのセキュリティを簡単に強化してハッキングを防止できます。

今回のブログでは、WordPress のセキュリティプラグインの中でも特にお勧めの12個を詳しくご紹介します。また、皆さんが運営している特定サイトに最適なプラグインを選べるよう、さまざまな分野で各プラグインを比較していきます。さらに、WordPress のセキュリティに関してよく寄せられる質問への回答も用意しています。

WordPress にはセキュリティ上の問題がありますか ?

WordPress は全体の40% を超える Web サイトで採用されている、最も人気の高いコンテンツ管理システム (CMS) です。その人気ゆえにハッカーに狙われがちですが、ソフトウェア自体にはセキュリティ上の問題はありません。

ハッカーが WordPress の脆弱性を利用してサイトに侵入することはほとんどありません。古くなったプラグインやテーマ、安全とはいえないパスワード、質の低いホスティング環境など、本来であれば防げるセキュリティ上の問題が原因でハッキングの被害を受けることがほとんどです。

100% 安全なコンテンツ管理システムは存在しませんが、WordPress を支える開発者たちはアップデートのたびに安全性を最大限に高められるよう日々全力を尽くしています。皆さまは、いくつかのシンプルなベストプラクティスに従うだけでセキュリティ上の懸念を解消できます。

WordPress のセキュリティを強化するにはどうすればよいですか ?

質の高いホスティングサービスを選ぶ。セキュリティはホスティングサービスにより異なるため、評判の良いサービスを選んでください。自動バックアップや SSL 証明書、サーバーレベルのファイアウォール、マルウェア対策などの機能を提供しているホスティングサービスを探しましょう。プランを購入する前に、よくあるセキュリティの問題に関する口コミをチェックするようにしてください。Jetpack がお勧めする WordPress ホスティングサービスをご覧ください。
WordPress、テーマ、プラグインを定期的に更新する。新しいリリースには、多くの場合、追加機能と新機能とともにセキュリティ上の脆弱性を修正するパッチが含まれています。できるだけすべてを更新するようにしましょう。
信頼性の高いテーマとプラグインを選ぶ。 信頼でき、口コミの評判が良い提供元のプラグインとテーマだけをインストールしてください。プレミアムテーマやプラグインの無料バージョン (「海賊版」とも呼ばれます) は、決して購入しないでください。こうしたバージョンには、マルウェアや脆弱性が数多く含まれている場合がよくあります。
安全なユーザー名とパスワードを設定する。 長さが20文字以上で、大文字、小文字、数字、記号を組み合わせた独自のパスワードを WordPress サイトで使用しましょう。こうすることで、ハッカーやボットにユーザー名とパスワードを推測されにくくなります。
適切なユーザー権限を設定する。サイト上で各アカウントが実行できる操作を定義するのが WordPress のユーザー権限グループです。業務の遂行に必要な権限グループだけをユーザーに付与し、使用されていないアカウントは削除してください。
自動バックアップをとり、オフサイトに保存する。 最低でも24時間ごとに実行される自動バックアップを設定しましょう。サーバーに問題が発生してもバックアップには影響が及ばないように、ホストとは完全に分離された場所にバックアップを保存してください。
総当たり攻撃に対する保護を設定する。 総当たり攻撃とは、ボットが毎分数千ものユーザー名やパスワードの組み合わせを推測して、サイトに侵入する攻撃のことです。ただし、優れたツールなら攻撃を受ける前に疑わしい IP アドレスをブロックできます。
マルウェアのスキャンを実施する。 サイトにマルウェアがないか、人間が常時監視することは物理的に不可能であるため、24 時間年中無休で監視できるツールやプラグインを選択しましょう。疑わしい挙動を数秒で検出することで、問題を解決して攻撃が拡大するのを防ぐことができます。
二段階認証を設定する。 二段階認証では、サイトにログインするためにパスワードと物理デバイスの両方が必要です。二段階認証では通常、ログイン時に入力が求められる一意のコードがスマートフォンに送信されます。この仕組みにより、ユーザー名とパスワードでハッカーがサイトに侵入することがほぼ不可能となります。
スパムコメントを排除する。スパムコメントは迷惑なだけでなく、有害なフィッシングサイトへのリンクが含まれている場合もあるため、サイト訪問者にも被害が及びます。スパムコメントを手動で排除することも、プラグインをインストールしてコメントを自動的にフィルタリングし削除することもできます。

WordPress セキュリティプラグインは必須ですか ?

安全なサイトを運営するうえで WordPress セキュリティプラグインは必須ではありません。定期的な更新や安全なパスワードなど、セキュリティプラグインの代わりとなるベストプラクティスが数多くあります。とはいえ、優れた WordPress セキュリティプラグインなら、新たなセキュリティレイヤーを追加し、開発者のサポートなしに高度な保護機能を簡単に追加できるようになるため、セキュリティをさらに高いレベルに押し上げることができます。

セキュリティは手を抜けない領域でもあります。運営しているサイトの種類に関係なく、訪問者や顧客、クライアントが抱くブランドイメージにハッキングは重大な被害を与えかねません。さらに、検索エンジンでの検索順位ランクが下がり (Google では安全ではないサイトの検索順位が低くなる)、売上とリードが減少するだけでなく、クレジットカードデータなどの情報がリスクにさらされることになります。

WordPress セキュリティプラグインは必須ではありませんが、すべてのサイトで使用が推奨されます。

お勧めの WordPress セキュリティプラグイン

価格と機能の詳細が表示されている Jetpack セキュリティのランディングページ

ここからは、お勧めの WordPress セキュリティプラグインを紹介していきます。

Jetpack セキュリティ
Wordfence
iThemes Security
Sucuri
All in One WP Security and Firewall
Defender Pro
Bulletproof Security
Security Ninja
SecuPress
Astra Security
WPScan
Shield Security

このリストを使用し、特定のプラグインまで素早くスクロールして、各プラグインの詳細、最も重要な機能、価格プランだけでなく、プラグインがサイトの保護にどのように役立つかを確認できます。

1. Jetpack セキュリティ

他の多くのプラグインとは異なり、Jetpack セキュリティはさまざまなタスクに対応しています。無料機能と有料機能には総当たり攻撃からの保護やダウンタイムのモニター、バックアップ、マルウェアのスキャン、スパム対策など、必要なものがすべて揃っています。こうした機能を組み合わせることで、初心者でも使いやすいうえに、大規模なサイトにも十分対応できる、包括的な WordPress セキュリティプラグインを作成できます。さらに、スキャンが Jetpack サーバー側で実行されるため、サイトが遅延することもありません。

しかも、Jetpack は WordPress.com を支える人たちによって、WordPress 専用に開発、サポートされています。Jetpack チームは WordPress の隅々まで把握しており、WordPress のサイト所有者が日々直面している問題についても理解しています。Jetpack は入手可能な最も優れたセキュリティプラグインなのもそのためです。

Jetpack セキュリティの主な機能:

毎日およびリアルタイムの自動バックアップ
毎日およびリアルタイムのマルウェアスキャン
自動化されたスパム対策
サイトにおけるすべての操作が記録された詳細なアクティビティログ
ダウンタイムのモニター
総当たり攻撃からの保護
二段階認証
アラート機能があり、バックアップ、スキャン結果、アクティビティログにアクセスできるモバイルアプリ

ここからは、これらの一部をさらに詳しく見ていきましょう。

総当たり攻撃からの保護

総当たり攻撃とは、正しいものが見つかるまで、ハッカーがボットを使ってユーザー名とパスワードの組み合わせを推測する攻撃のことです。ハッカーは大規模なコンピューターネットワークを使用するため、毎秒数千ものパスワードを試すことができます。

Jetpack の総当たり攻撃からの保護機能では、サイトに到達する前に、疑わしい IP からの不正ログイン攻撃をブロックします。

ダウンタイムのモニター

Jetpack のダウンタイムのモニターでは、世界中のさまざまな場所からサイトにアクセスし、サイトがダウンした場合には即座にアラートを送信します。これがなぜ役立つのでしょうか ? 問題の発生を知らなければ、そもそも修正することはできません。サイトが長時間ダウンした場合、トラフィックや売上を逸失するだけでなく、検索エンジンの検索順位が下がる場合さえあります。ダウンタイムを監視することにより、問題を即座に把握してスピーディに解決できます。

二段階認証

二段階認証では、ユーザー名とパスワード以外の要素も必須とすることで、ログインページのセキュリティレベルを追加します。サイトにログインする際、入力する必要があるコードが Jetpack からスマートフォンに送信されます。つまり、サイトに侵入しようとしているハッカーは、ユーザー名とパスワードを特定するだけでなく、皆さんがお持ちのモバイルデバイスを手元に用意する必要があります。これは実質的には不可能です。

利用可能なバックアップも含め、サイトのあらゆる操作が記録されている Jetpack のアクティビティログ

自動バックアップ

何らかの理由でサイトが破壊された場合に欠かせないのがフルバックアップです。これまでの苦労や投資してきた資金がすべて水の泡となり、顧客や訪問者のデータがすべて失われた場面を想像してみてください。WordPress のバックアップなら、このような問題が発生しても心配は無用です。

ただし、すべてのバックアップソリューションが同じように作られているわけではありません。Jetpack のバックアップには、次のような特長があります。

自動バックアップ: バックアップを手動で作成する必要はありません。
強力なセキュリティ: バックアップは保護されており、いつでも利用できます。
簡単な設定: プログラミングやサーバー管理にあまり詳しくない場合に特に便利です。
スピーディな復元: 短時間でサイトの運営を再開できます。
2つの方法でバックアップ可能: 1日1回、およびリアルタイムでバックアップを作成できます。

日次バックアップは1日に1回自動的に実行されるため、レストランやブログ、更新頻度が24時間以上のサイトに最適なソリューションです。

リアルタイムバックアップは作業中に自動的に実行されるため、サイトの最新状態がバックアップされ、行ったすべての変更が保存されます。オンラインストア、会員制サイト、フォーラム、定期的に更新されるサイトにリアルタイムバックアップは最適です。

どちらのバックアップオプションを選択した場合でも、サイトは確実にバックアップされ、万が一必要になった場合は数回のクリックで復元できます。

自動マルウェアスキャン

ハッカーがサイトへのアクセス権を手に入れると、「バックドア」というマルウェアの一種を設置できるようになります。バックドアからは、データを盗み出したい時やマルウェアやウイルスを挿入したい場合に、サイト所有者に気付かれることなくいつでもサイトにアクセスできます。マルウェアは評判に傷をつけ、皆さんの情報と顧客のデータをリスクにさらします。

そこで威力を発揮するのが Jetpack スキャンです。Jetpack スキャンでは、サイトのコードにマルウェアがないか毎日自動的にスキャンし、疑わしい挙動をチェックします。脅威が検出された場合、感染したファイルに関する詳細な情報を記載したメール通知が即座に送信されます。

さらに、Jetpack は既知の脅威の大半を自動的に修復します。そのため、問題を即座に把握できるだけでなく、問題を修正するために操作を行う必要すらありません。

自動スパムフィルター

スパムは通常、評判の悪いサイトへのリンクを含む、無関係なコメントの形で侵入します。適切なソフトウェアがあれば、スパマーは数百万件ものコメントを残すことができます。こうなると、短期間で制御不能になります。

Jetpack アンチスパムは既知のスパムのコメント、トラックバック、問い合わせフォームの送信を自動的にフィルタリングするため、時間を大幅に節約できます。問題のないコメントがスパムとしてマークされないか心配な場合は、コメントを確認して必要なものを復元できます。または、Jetpack を設定し、最も悪質なコメントを一切見なくて済むように、取り除くこともできます。

Jetpack モバイルアプリ

コンピューターから離れてもハッカーの攻撃が止まることはありません。Jetpack モバイルアプリを使用すれば、どこにいてもサイトアクティビティの確認、バックアップの復元、マルウェアスキャン結果の表示を行うことができます。

さらに、サイトがダウンした場合やマルウェアが検知された場合に、アラートが即座に送信されるため非常に安心です。問題が見つかった場合には、アプリから簡単な操作で既知の脅威の大半を解決できます。

操作性:

技術スキルのレベルに関係なく、どんなサイト所有者でも使用できるように Jetpack はデザインされています。すべての機能はほんの数回のクリックでオンにできます。コーディングの知識や開発者のサポートも不要です。

サポートとドキュメント:

サイト所有者、サイト、ビジネスのことを心から気にかけている、サポートスタッフと呼ばれる WordPress エキスパートによって Jetpack は維持管理、サポートされています。無料プランでは質の高いメールサポートを利用できます。有料プランでは迅速なサポートを優先的に受けられるため、必要な時に必要な支援が提供されます。

さらに、設定とトラブルシューティングについて詳しく説明したドキュメントも豊富に用意されています。

価格とプランのオプション:

Jetpack Free では、ダウンタイムのモニター、総当たり攻撃からの保護、最新の20件のイベントが記録されたアクティビティログを無料で利用できます。
Jetpack Security Daily ではすべての機能に加え、日次バックアップ、日次セキュリティスキャン、30日分のアクティビティログを月額11.97ドルから利用できます。
Jetpack Security Real-time ではすべての機能に加え、リアルタイムバックアップ、リアルタイムセキュリティスキャン、1年分のアクティビティログを月額33.57ドルから利用できます。
Jetpack バックアップ、Jetpack スキャン、Jetpack アンチスパムなど、一部の機能を月額4.77ドルから個別に利用することもできます。

お勧めのユースケース:

あらゆる規模のブログ、eコマースストア、サイト。Jetpack セキュリティは、ほぼすべてのシナリオに対応する最も包括的な優れた WordPress のセキュリティプラグインです。

WordPress ディレクトリに掲載されている Wordfence プラグイン

2. Wordfence

Wordfence は、マルウェアスキャンなど、いくつかの追加機能も備えた Web アプリケーションのファイアウォールです。このファイアウォールは、エンドポイントのファイアウォールであり、WordPress と緊密に統合されているため、バイパスされることがなく、データが漏洩することもありません。そのため、クラウドの代替よりも遥かにセキュリティが高くなっています。

Wordfence を設定すると、古くなったプラグインや悪意のあるコード、ウイルスなどの懸念が検出されるとメール通知が届きます。

ただし、Wordfence にはサイトの遅延を引き起こすという評判があります。これは、大量の大規模データベーステーブルが追加され、マルウェアのスキャン中にサーバーに負荷がかかることが原因です。

Wordfence の主な機能:

Web アプリケーションファイアウォール
セキュリティスキャナー
漏洩したパスワードの保護
二段階認証
手動によるブロッキングとカントリーブロッキング
自動ファイル修復

これらの機能の一部を詳しく見ていきましょう。

Web アプリケーションのファイアウォール

ファイアウォールが Wordfence の最も強力な機能であることに疑いの余地はありません。Wordfence は、保護対象となっている400万以上のサイトから集めたデータを活用することで、ハッカーの攻撃方法、攻撃の内容、攻撃元を把握しています。ファイアウォールルール、および悪意のある IP アドレスのリストを定期的に更新することでブロックを行い、常時保護を実現します。

セキュリティスキャナー

セキュリティスキャナーはマルウェア、悪質な URL、スパム、悪意のある転送、コードインジェクションがサイトにないかどうかをチェックします。また、コアの WordPress ファイルに加えられた変更、既知のセキュリティの脆弱性、古くなったプラグインをレポートします。

手動によるブロッキングとカントリーブロッキング

プレミアムプランではこれらの機能を利用できます。基本的に、これはファイアウォールにさらに機能を加えるだけです。手動によるブロッキングでは、悪意のあるネットワーク全体をブロックすることも、人間またはロボットによるアクティビティを選択してブロックすることもできます。カントリーブロッキングでは、指定した国からのすべてのトラフィックをブロックできます。これは、攻撃を受けている最中に特に威力を発揮します。SEO の観点から考えると、カントリーブロッキングを長期にわたって行うことは推奨されません。

自動ファイル修復

不適切な方法で WordPress のコアファイルが変更されたことを Wordfence が検知した場合、ワンクリックでファイルを元の状態に戻すことができます。ただし、これはマルウェアを削除したり、ハッキングされたサイトを修復したりするのとは違います。そのためには Wordfence に追加で490ドルの費用がかかります。

操作性:

Wordfence は技術的な知識がなくても利用できるものの、設定パネルは項目が多く複雑です。すべての機能が1つの画面に表示されるため、サイトに必要な機能を理解するのは困難です。また、デフォルトで Wordfence から大量のアラートメールが送信されます。そのほとんどはサイト所有者の対応が不要なアラートメールです。それぞれのアラートに対して何をすればよいかを初心者が理解するのは簡単ではありません。