WordPressでWebサイトを作ったら、それで終わりではありません。
公開したあともWordPress本体やプラグインの更新は続いていきますし、インターネット上に公開されている以上、サイバー攻撃を受ける可能性もあります。
車を購入したあとに、車検やオイル交換などのメンテナンスが必要になるように、WordPressも安全に使い続けるためには定期的な「保守」が必要になります。
とはいえ、「WordPressの保守って具体的に何をすればいいの？」という方も多いと思いますので、WordPressサイトを公開したあとにどのような管理をしていけばいいのか、基本的なところを紹介していきます。
WordPressは作って終わりではない
WordPressは、一度作ったら同じ状態のままずっと使い続けられるものではありません。WordPress本体をはじめ、インストールしているプラグインやテーマなども定期的にアップデートされています。
アップデートには新しい機能の追加だけではなく、不具合の修正やセキュリティ上の問題を修正する目的もあります。そのため、「今ちゃんと表示されているから、そのままで大丈夫」というわけではないんですね。
また、WordPressはインターネット上に公開されています。
自分たちしか管理画面を使わないとしても、ログイン画面にはインターネット上からアクセスできますし、WordPressやプラグインに弱点が見つかれば、その弱点を狙った攻撃を受ける可能性もあります。
WordPressを長く安全に使っていくためには、公開後も継続して管理していくことが大切です。
WordPressを放置するとどうなる？
「保守が必要」と言われても、実際に何が起こるのかイメージしづらいかもしれません。
WordPressサイトが悪意ある人の攻撃にあうと、
- サイトを書き換えられる
- 重要な情報を盗まれる
- 他者への攻撃の踏み台として利用される
といった被害につながる可能性があります。
もちろん、WordPressを使っているだけでこのような被害にあうわけではありません。適切に管理していればリスクを減らすことができます。
逆に言えば、公開したあと何年も更新せず、異常がないか確認することもなく放置している状態は、それだけリスクを抱えた状態になっていくということです。
WordPressが攻撃を受けた場合にどのような被害が起こる可能性があるのかについては、以下の記事で詳しく紹介しています。
放置しておくと怖い…。WordPressサイトがサイバー攻撃を受けると具体的にどういった被害が出る？
WordPressの保守でやっておきたいこと
では、具体的に何を管理すればいいのでしょうか。
まず押さえておきたいのは、
- ログイン画面を守る
- WordPressを更新する
- 異常がないか確認する
- バックアップを取る
- 問題が起きたときに対応する
といったところです。それぞれ確認していきましょう。
ログイン画面を守る
まずは、WordPressの管理画面へ不正にログインされないようにしましょう。
特に管理者権限のアカウントを第三者に利用されてしまうと、記事を書き換えるだけでなく、プラグインを追加するなどWordPress内のさまざまな操作ができてしまいます。
基本となるのがパスワードです。「password」「123456」のような簡単なパスワードを設定せず、長くてランダムなパスワードを設定します。また、他のサービスと同じパスワードを使い回さないことも重要です。
さらに二要素認証やログイン試行制限などを組み合わせることで、ログイン画面をより強くすることができます。
WordPressのパスワードの決め方については、以下の記事で詳しく紹介しています。「自分で覚えられる範囲でパスワードを決めている」という方はぜひ参考にしてください。
WordPressの管理画面のパスワードはどう決める？突破されにくいパスワードの決め方
WordPressを更新する
WordPressを使っていると、管理画面に更新の通知が表示されます。代表的なものが、以下の3つです。
- WordPress本体（コアとも呼ばれます）
- プラグイン
- テーマ
更新には機能追加だけでなく、不具合や脆弱性を修正するものもあります。つまり、更新せずに放置するということは、見つかった「攻撃の穴」を残したまま使い続けることにもつながるということですね。
更新した方が良さそうに思っても、「更新したらサイトが壊れそうで怖い……」という方もいると思います。
WordPressの更新に不安がある方は、以下の記事で安全な更新方法について紹介しているのでぜひ参考にしてください。
放置したWordPressサイトを壊さずに最新にする更新手順
異常がないか定期的に確認する
ログイン画面の強化やWordPressの更新が大事という話をしてきましたが、更新していれば絶対に安全というわけでもありません。
WordPressに限らずインターネット上に公開されたサイトは常に攻撃の隙（すき）がないか、悪意ある攻撃者が探っているような状況です。
自分では安全と思っていても攻撃者がその対策を上回る可能性もあります。なので、対策したから大丈夫という考え方ではなく、サイトに異常が起きていないか定期的に確認することが大切です。
主な確認する項目としては、
- 不正なユーザーがログインしていないか
- 悪意のあるファイルが設置されていないか
- ファイルが不正に書き換えられていないか
- 古いプラグインに弱点が見つかっていないか
など、見ておくと安心できるかと思います。
これら全てを人間の目で見るのは大変なので、機械的に確認することが多いです。WordPressの場合はプラグインを使ってチェックすることもできますので、まずは自分のサイトの状況を知りたいという方は、以下の記事を参考に確認してみてください。
Wordfenceで見張りを立てよう！WordPressサイトのセキュリティの問題を検知する方法
バックアップを取る
ここまで紹介した対策を行っていても、問題が起こる可能性を完全にゼロにすることはできません。
そこで重要になるのがバックアップです。
WordPressサイトを復元するために必要なデータ一式を定期的にバックアップしておけば、
- 更新によってサイトに不具合が起きた
- 誤ってファイルを削除してしまった
- サイバー攻撃によってサイトを書き換えられた
といった場合に、正常だった状態へ戻せる可能性が高まります。
バックアップは、何か問題が起きてから取ることはできませんので、何も起きていない正常な状態のうちから、定期的に取得しておくことが大切です。
今までバックアップを取ったことがないという方は、バックアップの取得方法や保存場所の考え方を以下の記事で紹介しているので試してみてください。
万が一に備えてWordPressサイトのバックアップを取得しよう
WordPress保守は「予防・監視・復旧」で考えると分かりやすい
ここまでいろいろ紹介してきましたが、WordPressの保守を難しく考える必要はありません。
大きく分けると、以下の3つに分類できます。
- 予防する：パスワードを強くしたり、WordPressを更新したりして、問題が起きる可能性を減らす。
- 監視する：Wordfenceなどを使って、サイトに異常が起きていないか定期的に確認する。
- 復旧に備える：万が一問題が起きても戻せるように、バックアップを取っておく。
「絶対に攻撃されないWordPressを作る」というよりも、「問題が起きにくい状態を維持し、異常が起きたら早く気づき、万が一のときには戻せるようにしておく。」という状態を作っておくことが、WordPressを保守していくうえで大切な考え方かなと思います。
WordPressは公開してからの管理も大切です
WordPressは、Webサイトを公開したら終わりではありません。WordPress本体やプラグインは更新され続けますし、インターネット上に公開している以上、サイバー攻撃を受ける可能性もあります。
だからこそ、
- ログイン画面を守る
- WordPressを更新する
- 異常がないか確認する
- バックアップを取る
といった日頃の管理が大切です。
すべてを毎日確認する必要はありません。自動更新や自動バックアップ、セキュリティプラグインによる定期スキャンなどを活用すれば、自動化できるところもたくさんあります。
大切なのは、作ったまま放置しないことです。Webサイトは会社やサービスの情報を発信する大切な資産です。WordPressを長く安心して使っていくためにも、公開後の保守まで含めてWebサイトを管理していきましょう。
