この記事で解決できる悩み
こんな悩みを解決する記事を用意しました！
この記事を書いた人
みち しるべ
- 33歳からプログラミングを独学
- 士業のWebマーケティング会社勤務
- Web全般の困りごとを解決し、Webに関する情報を初心者の方に向けてわかりやすく発信しています
セキュリティ対策っていまいち何をやっているのかわかりませんよね？
ボクも最初の頃は、訳も分からずセキュリティプラグインの設定をしていました。
本記事は、「どんなリスクに対して」「そのリスクに対して、どんな対策を行うのか」をわかりやすく解説しながら、実際の設定手順を紹介していきます。
そこで、記事の前半で「All-In-One Security（AIOS）を推奨する理由」を。
後半では、「All-In-One Security（AIOS）の設定方法」を解説します。
最後まで読むことで、これまでなんとなく設定していた状態から、意味を理解して設定できるようになりますよ！
セキュリティ対策とは？
セキュリティ対策とは、Webサイトやシステムといった情報資産を悪意のある攻撃から守り、安全に運用し続けるための取り組み全般を指します。
インターネット上には、IDやパスワードをランダムに試して不正侵入を狙うプログラムや、システムの隙（脆弱性）を探して壊そうとする危険が常に潜んでいます。
WordPressには、あなたのサイトをそんな脅威から守るためにセキュリティ対策として作られたプラグインがいくつも存在します。
初心者の方はどのプラグインを使ったら良いのか迷ってしまいますよね？
そんな方のために、「All-In-One Security（AIOS）」というプラグインを紹介させてもらいます。
All-In-One Security（AIOS）とは？
All-In-One Security（AIOS）は、2026年8月時点で100万以上のインストール数があり、ユーザー評価は5段階中4.7と利用者から高い評価を得ているセキュリティプラグインです。
メリット
- 無料版でも機能が充実している
- ダッシュボードからセキュリティの強度（スコア）が確認できる
- 利用者が多く、設定方法などの疑問を解消しやすい
デメリット
- 設定項目が多く、適切な設定判断が必要
- 一部の機能は有料版限定
- 必要以上の機能を有効化しすぎてしまう
みち しるべ多機能な分、必要以上に機能を有効化してしまうんですね。
セキュリティ対策は重要ですが、強化しすぎると日々の運用に支障が出る場合があります。
バランスが大切ということです。
All-In-One Security（AIOS）のインストール
管理画面から「プラグイン」>「プラグインを追加」。
プラグインの検索に「All-In-One Security 」と入力。
「今すぐインストール」をクリック。
「有効化」をクリック。
すると上記の画面が表示されるので「セットアップを終了」をクリック。
詳しい設定はこれから説明していくので一旦終了で問題ありません。
All-In-One Security（AIOS）のダッシュボード
サイドメニュー一覧に「AIOS」が追加されるので「ダッシュボード」をクリック。
ダッシュボードには6つのコンテンツがあります。
- ダッシュボード
- ロックアウトしたIPアドレス
- 永久ブロックリスト
- 監査ログ
- デバッグ
- プレミアムバージョンへのアップグレード（説明を割愛）
① ダッシュボード
設定内容を一覧で確認することができます。
ブロックを自由に配置することができ、最大3列に対応しています。
- セキュリティ強度メーター
-
現在のセキュリティ強度を視覚的に確認することができます。
- 重要な機能のステータス
-
最低限のセキュリティレベルまで達成するのに有効化が必要な7つの重要項目のステータスを確認できます。
緑：対策済み、赤：未対策
- セキュリティポイントの内訳
-
カテゴリ別のセキュリティ対策スコアを確認できます。
② ロックアウトしたIPアドレス
一時的にロックアウトされているすべてのIPアドレスのリストが表示されます。
ログイン画面でパスワードを何度も間違えたときに、そのアカウントや通信を一時的にロックすること。
パソコンやスマホ、Wi-Fiルーターなどの機器1台ごとに割り当てられている識別番号のこと（例：192.168.1.1など）
③ 永久ブロックリスト
永久にブロックしたすべてのIPアドレスのリストが表示されます。
④ 監査ログ
「誰が・いつ・どこから・何をしたか」というサイト上の操作履歴を確認することができます。
⑤ デバッグ
サイトでエラーが発生したときに、その原因がどこなのかを確認することができます。
プログラム内のバグを見つけて直し、正常に動くように修正する作業のこと。
All-In-One Security（AIOS）の設定方法
ここからは、ボクなりのセキュリティと運用のバランスを考えた設定方法を解説していきます。
解説していない項目は変更不要（デフォルトのまま）で問題ありません。
設定項目
① 設定
一般設定
プラグイン全体に関わる基本動作や、セキュリティ設定の保存・復元を行うための項目です。
また「デバッグ設定」は、プラグインでエラーが発生したときに何が起きているかをファイルに記録して原因を特定・調査するために使います。
原因の調査をするときは「デバッグを有効化」を有効化して、完了したら無効化しておきましょう。
.htaccessファイル
.htaccessファイルのバックアップと復元を行うための項目です。
Webサーバー（Apacheなど）の動作を制御するための重要な設定ファイルです。
wp-config.phpファイル
wp-config.phpファイルのバックアップと復元を行うための設定項目です。
WordPressの「心臓部」にあたる最重要ファイルです。
サイトを表示・動作させるための根本的な情報が記載されています。
データベースのパスワードなどが含まれているので、ダウンロードしたバックアップファイルは他人に渡したり、公開された場所に保存しないよう厳重に管理してください。
プラグインの設定を削除
All-In-One Security（AIOS）を削除したときに、過去のデータや設定を消去するかを選択するための項目です。
ようするに、All-In-One Security（AIOS）を再インストールしたときに過去の設定を引き継ぎたい場合は、設定を無効化する必要があります。
WPバージョン情報
WordPressの「バージョン情報」を外部から見えないように隠すための項目です。
この設定が無効化（デフォルトのまま）の状態だとWordPressのバージョン情報を自動的に「head」タグ内にメタ情報として表示されます。
例：<meta name="generator" content="WordPress 3.5.1" />セキュリティ上見せたくない情報なので「WP Generator メタ情報の削除」の項目は有効化しておきましょう。
有効化したら「設定を保存」をクリック。
インポート／エクスポート
All-In-One Security（AIOS）の設定内容を、ファイルとしてエクスポートしたり別サイトや復元用にインポートするための項目です。
高度な設定
サイトにアクセスしてきた人のIPアドレスを正しく読み取るための項目です。
変更不要（デフォルトのまま）です。
2要素認証
ログイン時のセキュリティを大幅に高めるための項目です。
変更不要（デフォルトのまま）です。
- 2要素認証を利用可能にする
-
どのユーザー権限に2要素認証の使用を許可するかを選びます。
- XMLRPC リクエスト
-
スマホのWordPress公式アプリなどから外部投稿する際の認証ルールです。
- 端末で生成されるコードのデフォルトアルゴリズム
-
認証アプリで使うコードの仕組みです。
- データベース内のキーを暗号化
-
2要素認証に必要な秘密鍵をデータベース内で暗号化して保護します。
② ユーザーセキュリティ
ユーザーアカウント
- 管理者ユーザー名の変更
-
「admin」以外を設定してください。
ユーザー名はログイン情報となるので予想されやすい名前はNGです。
- ログイン名と表示名が同じアカウント修正
-
デフォルトの設定では「ユーザー名」と「ブログ上の表示名」が同じになっているのでブログ上の表示名を変更しましょう。
ブログ上の表示名は管理画面の「ユーザー」から変更できます。
「ニックネーム（必須）」を変更して「ブログ上の表示名」のプルダウンから変更したニックネームを選択します。
- ユーザー番号無効化
-
URLからWordPressの「ログインID」を特定できないようにします。
ユーザー列挙を無効化：有効化
- 強力なパスワードを強制
-
ユーザーや管理者がアカウントを作成・パスワード変更する際、推測されやすい弱いパスワードの設定を禁止する機能です。
強力なパスワードを強制：変更不要（デフォルトのまま）
設定が完了したら「設定を保存」をクリック。
みち しるべちなみに、ユーザー名は後から変更しようと思ってもできない仕様になっていますよ。
あなたじゃあ、どうやってユーザー名を変更するの？
ユーザー名の変更方法
管理画面の「ユーザー」>「新規追加」をクリック。
「ユーザー名」「メールアドレス」「パスワード」を入力して権限グループを必ず「管理者」に設定して追加。
一旦ログアウトして新たに作成したアカウントでログイン。
「ユーザー」>「ユーザー一覧」からユーザー名を変更したいユーザーの「削除」をクリック。
削除画面で「すべてのコンテンツを別のユーザーに割り当てます。」を選び、割り当てるユーザーをプルダウンから選択してください（ここの選択を間違うと既存の記事が消えるため注意してください）。
ログイン ロックアウト
- ログインのロックダウンの設定
-
ログインパスワードを何度も間違えたIPアドレスを一時的にブロックする機能です。
- ログインロックダウン機能を有効化：有効化
- メールで通知：有効化（ログインの失敗回数上限に達したときに通知を受け取るメールアドレスを設定できます）
設定が完了したら「設定を保存」をクリック。
- Login Lockdown IP ホワイトリスト設定
-
ログインロックダウン機能の例外を指定する設定です。
Login Lockdown IP ホワイトリストを有効化：変更不要（デフォルトのまま）
強制ログアウト
指定した時間が経過するとログイン中のユーザーを自動的にログアウトさせ、再ログインを求める機能です。
- 強制ユーザーログアウトオプション
-
ユーザーの強制ログアウトを有効化：変更不要（デフォルトのまま）
手動承認
新規ユーザー登録しても、管理者が承認しない限りログインできないようにする機能です。
- 新規登録の手動承認
-
新規登録の手動承認を有効にする：変更不要（デフォルトのまま）
ソルト
万が一データベースが漏洩しても、保存されている暗号化パスワードをハッカーに解読されないよう、ランダムな文字列（ソルト）を付加して防護を強化する機能です。
- ソルト接頭辞を追加
-
ソルト接尾辞を有効化：変更不要（デフォルトのまま）
HTTP認証
サイトや管理画面にアクセスした際、Webブラウザのポップアップ画面でIDとパスワードを要求する機能です。
- WordPressダッシュボードとフロントエンドのHTTP認証
-
- WordPressダッシュボードで有効化：変更不要（デフォルトのまま）
- フロントエンドで有効化：変更不要（デフォルトのまま）
HIBP
世界中で過去に情報漏洩したことがある危険なパスワードをユーザーが設定しようとした際、それを検知して使用をブロックする機能です。
- HIBPパスワード設定
-
- プロフィールの更新時に強制する：変更不要（デフォルトのまま）
- パスワードのリセット時に強制する：変更不要（デフォルトのまま）
追加設定
「アプリケーションパスワードを無効化」は、外部アプリや外部システムからWordPressを操作・連携するための認証パスワード機能を完全に停止する機能です。
- 追加設定
-
アプリケーションパスワードを無効化：変更不要（デフォルトのまま）
③ データベースセキュリティ
データベースの接頭辞
データベース内のテーブル名の頭文字（デフォルトの wp_）をランダムな別の文字列に変更して、SQLインジェクション等のデータベース攻撃からサイトを守る機能です。
- データベースの接頭辞設定
-
変更不要（デフォルトのまま）です。
④ ファイルのセキュリティ
ファイル権限
WordPressをインストールすると、多くのファイルやフォルダがサーバー上に設置されます。
ファイルやフォルダにはアクセス権限設定があり、ユーザーやプログラムごとに、読み取り・書き込み・実行などの操作範囲を制限できます。
- WPディレクトリとファイルパーミッションのスキャン結果
-
すべての「推奨パーミッションを設定」をクリックしてください。
ファイル保護
- デフォルトのWPファイルを削除
-
WordPressをインストールすると自動作成される「不要な説明ファイル」を消去してセキュリティを高める機能です。
readme.html、license.txt、wp-config-sample.php を削除：有効化
有効化したら「設定を保存」をクリック。
- 直リンクの防止
-
他の人があなたのWebサイトにある画像データを勝手に自分のサイトに貼り付けて表示するのを防ぐ設定です。
画像の直リンクを防止する：有効化
有効化したら「設定を保存」をクリック。
- PHPファイル編集を無効化
-
管理画面からPHPファイルを編集できなくする設定です。
PHPファイル編集機能を無効化：変更不要（デフォルトのまま）
⑤ ファイアウォール
PHPルール
PHPベースのファイアウォールは「今すぐ設定」をクリックして有効化してください。
- セキュリティ強化
-
WordPressではリモートで記事を投稿する外部アプリを使うことがありますが、そこで発生する通信を悪用されることを防止する機能です。
ピンバックとは、記事の中にリンクを設置したときに「あなたの記事をリンク（紹介）しましたよ」と通知を送る仕組みです。
- XML-RPCのピンバック機能を無効化：外部アプリを利用している場合「XML-RPCのピンバック機能を無効化」のみ有効化
- XML-RPCへのアクセスを完全にブロック：外部アプリを使っていなければ有効化
有効化するのはどちらか一つだけです。
- フィード制御
-
ブログの更新情報を自動配信する仕組みを停止する機能です。
RSSとATOMフィードを無効化：変更不要（デフォルトのまま）
- コメント保護
-
IPアドレスを隠して送信してくるスパムコメントをブロックする機能です。
プロキシ経由のコメント投稿を禁止：有効化
有効化したら「基本ファイアウォール設定を保存」をクリック。
- URLセキュリティ
-
URLの後ろに悪質なプログラムコードを混ぜ込んで攻撃してくるサイバー攻撃を未然に防ぐ機能です。
不正なクエリー文字列を拒否：変更不要（デフォルトのまま）
- 文字列フィルタリング
-
サイトに送信されるデータ（検索フォームやコメント欄など）に含まれる、XSS攻撃に特有の怪しいパターンを検知して遮断する強化フィルターです。
高度な文字列フィルターを有効化：変更不要（デフォルトのまま）
- nG ファイアウォールルール
-
世界中で実績のある「悪質な攻撃リスト」を使って、サイトへの不正アクセスを自動でブロックする機能です。
6G ファイアウォール保護を有効化：有効化
有効化したら「基本ファイアウォール設定を保存」をクリック。
- WP REST API
-
ログインしていない外部からのREST APIアクセスをブロックし、ユーザー情報やサイトデータの不正取得を防ぐ機能です。
- 未認証のRESTリクエストを禁止：変更不要（デフォルトのまま）
- ログイン時にアクセスを許可する権限グループ：変更不要（デフォルトのまま）
- オンラインのボットの設定
-
Googleのフリをした偽物の自動プログラムや、身元を隠した怪しい自動送信をブロックする機能です。
- 偽のGooglebotsをブロック：変更不要（デフォルトのまま）
- 空白のuser-agentとrefererを持つPOSTリクエストの禁止：変更不要（デフォルトのまま）
WordPress本体が動く前にPHPでアクセスを検査し、不正な通信や攻撃を遮断する仕組みです。
WordPressのデータ（記事、ユーザー情報、カテゴリーなど）を、外部のプログラムやアプリとやり取りするための標準機能です。
ブロック&許可リスト
特定のアクセス元を個別に「アクセス拒否（ブラックリスト）」または「許可（ホワイトリスト）」指定する機能です。
変更不要（デフォルトのまま）です。
高度な設定
不正アクセスを防ぐファイアウォールと、WordPressから外部への通信を安全にするための設定。
変更不要（デフォルトのまま）です。
⑥ 総当たり攻撃防止
ログインページの名称を変更
WordPressのログイン画面のURLを好きな文字列に変更して、不正アクセスを防ぐ機能です。
- ログインページの名前変更機能を有効化：有効化
- ログインページURL：推測されにくい好きな英数字を入力
有効化したら「設定を保存」をクリック。
Cookieベースの総当たり攻撃の防止
合言葉付きの特別なURLにアクセスした人だけに「ログイン許可のCookie（合言葉付きの鍵）」をブラウザに保存させ、それ以外のアクセスを別サイトへ追い払う機能です。
変更不要（デフォルトのまま）です。
CAPTCHA設定
ログイン画面やお問い合わせフォームに人間か自動プログラムかを判別するテストを追加する機能です。
変更不要（デフォルトのまま）です。
ログインのホワイトリスト
指定した特定のIPアドレスからしかログイン画面を開けないようにする制限機能です。
変更不要（デフォルトのまま）です。
404検出
存在しないURLへ連続してアクセスを試みる「怪しい動き」を検知し、サイトの弱点を探ろうとする攻撃者を特定してブロックする機能です。
変更不要（デフォルトのまま）です。
ハニーポット
人間には見えないトラップの入力欄を設置し、そこに引っかかった自動プログラムを弾く機能です。
- ログインページのハニーポットを有効化：有効化
- ユーザー登録ページのハニーポット機能を有効化する：有効化
有効化したら「設定を保存」をクリック。
⑦ スパム防止
コメントスパム
自動プログラム（スパムボット）によって送信される大量の迷惑コメントを検知し、自動で処理・ブロックする機能です。
この設定項目は、コメント欄を閉鎖している場合は関係のない設定項目です。
- コメントを投稿するスパムボットを検出：有効化
- コメントスパム検出に Cookie を使用：変更不要（デフォルトのまま）
- 検出されたスパムコメントは：「スパムとしてマーク」
- スパムコメントをゴミ箱に移動：有効化
有効化したら「設定を保存」をクリック。
検出されたスパムコメントは「スパムとしてマーク」を選択していますが、これは誤検知のリスクがあるためです。
少し様子をみて誤検知がなければ「破棄」に変更して問題ありません。
コメントスパムのIPモニタリング
しつこくスパムコメントを送ってくる悪質なIPアドレスを自動的にブロックする機能です。
- スパムコメントの IP を自動ブロック：有効化
- スパムコメントの最小回数：3〜5（「何回スパムを送ってきたらブロックするか」の閾値を設定）
有効化したら「設定を保存」をクリック。
⑧ スキャナー
ファイル変更検出
WordPress内の重要なファイルが勝手に書き換えられたり、マルウェアなどの悪質なファイルが追加されていないかを定期点検する機能です。
- 自動ファイル変更検知スキャンを有効化する：有効化
- 変更を検知したらメールする：有効化（受け取るメールアドレスを設定できる）
有効化したら「設定を保存」をクリック。
⑨ ツール
パスワードツール
自分が設定しようとしているパスワードがハッカーに解読されるまでにどれくらいの時間がかかるかをテストできます。
WHOIS検索
怪しいアクセスをしてきたIPアドレスやドメインの「所有者・運営者」を調べることができます。
訪問者ロックアウト
サイト全体を「メンテナンス中画面」に変更し、管理者以外のアクセスを一時的に遮断する機能です。
⑩ 2要素認証
ログイン時に「パスワード」だけでなく「スマホの認証アプリに表示されるワンタイムパスワード（6桁の数字）」の入力を必須にする機能です。
設定前後のセキュリティ強度メーターの比較
ここまでがAll-In-One Security（AIOS）の設定方法でした。
設定前後の「セキュリティ強度メーター」を比較してみましょう。
ボクの場合は「サイトの強度」が185となっていますが、この数字はユーザーによって変化するのでこだわる必要はありません。
あくまで目安として捉えてください。
【Q&A】All-In-One Security（AIOS）に関する「よくある質問」
【まとめ】All-In-One Security（AIOS）を利用してあなたの大切なサイトを守ろう
All-In-One Security（AIOS）の設定方法について解説しました。
まとめ
- セキュリティ対策でおすすめのプラグインはAll-In-One Security（AIOS）
- All-In-One Security（AIOS）の設定は10項目
- 日々の運用とセキュリティのバランスが大切
- セキュリティプラグインの併用はしない
これまで紹介してきた設定内容は、あくまでボクがおすすめする一例です。
本記事の設定が正解というわけではありません。
実際に使いながら、あなたの運用スタイルや目的に合わせてカスタマイズしてみてください！