WordPressに少しでも不安を感じたら、まず確認したい5つのこと

結論から言うと、初心者が最初にやるべきことは「直すこと」ではなく「壊さずに状況を残すこと」です。WordPressの公式ドキュメントでも、セキュリティは完全にゼロリスクにするものではなく、リスクを下げる取り組みとして説明されています。

だからこそ、いきなりプラグインを大量に止めたり、知らないPHPファイルを削除したり、データベースを触ったりする必要はありません。まずは、落ち着いて次の5つを確認してください。

まず確認したい5つのこと

WordPressにログインできるか

管理画面に入れるか、ログイン画面自体が表示されるか、エラー文が出るかを確認します。何度も試すとサーバー側のログイン制限にかかることがあるため、表示された文言を控えてから止めましょう。

サイトの表示が普段と違うか

トップページ、問い合わせページ、予約ページなど、事業に影響するページを優先して見ます。知らない広告、英語の文言、別サイトへの転送、レイアウト崩れがあればスクリーンショットを残します。

警告メールやサーバー通知が届いているか

Google、サーバー会社、セキュリティプラグイン、WordPress本体からのメールは重要な手がかりです。メール本文を全部転送する前に、件名・日時・警告内容だけでもメモしてください。

知らない管理者ユーザーが増えていないか

ログインできる場合は、ユーザー一覧を見ます。覚えのない管理者、普段使っていない古いアカウント、共有されているアカウントがある場合は注意が必要です。

最近、更新や変更をしたか

プラグイン更新、テーマ編集、PHPバージョン変更、サーバー設定変更の直後に起きた不具合は、ハッキングではなく互換性問題の場合もあります。最後に触った日時と内容を控えます。

大切なのは、証拠を消さないこと

不審なファイルやユーザーを見つけると、すぐ削除したくなります。ただ、原因調査の手がかりまで消してしまうと、再発防止が難しくなります。まずはスクリーンショット、URL、日時、警告文を残してください。

自分でできる安全な確認

初心者の方が自分でやっても比較的安全なのは、「見る」「控える」「相談するために整理する」作業です。

サイトURL、症状が出るページURL、発生日時をメモする
警告画面、ログインエラー、メール件名のスクリーンショットを残す
バックアップがあるか、サーバーパネルや保守業者の管理画面で確認する
WordPress本体、テーマ、プラグインの更新通知がどれくらい溜まっているか見る
心当たりのない管理者ユーザーがいないか確認する

パスワード変更は有効な対策のひとつですが、すでに不正な管理者ユーザーや不審なファイルがある場合、それだけで解決するとは限りません。

WordPressの状態を整理して復旧方針を検討する画面 — 「直す」前に「何が起きているか」を整理すると、復旧の失敗を減らせます。

業者に任せたほうがいいこと

次の作業は、うまくいけば早い反面、失敗するとサイト全体が止まる可能性があります。自信がない場合は、無料診断や保守先に相談してから進めてください。

触る前に相談

不審なPHPファイルやテーマファイルの削除

必要なファイルを消してしまうと、画面が真っ白になったり、管理画面に入れなくなることがあります。

要バックアップ

データベース操作、ユーザー復旧、権限変更

WordPressのユーザー情報や権限はデータベースに保存されています。誤操作の影響が大きいため、戻せる状態が必要です。

再発防止まで

改ざん確認、ログ確認、バックドア調査

見える症状だけ直しても、侵入口が残っていれば再発します。ログやファイル変更の確認まで行うのが理想です。

少しでも心配なら、無料診断で切り分けます。

パスワード、FTP情報、秘密鍵は不要です。URLと分かる範囲の症状から、危険度と次にやるべきことを整理します。

無料初期診断を申し込む

よくある質問

少し表示がおかしいだけでも相談していいですか？

はい。ハッキングではなく更新やキャッシュが原因の場合もありますが、早めに切り分けることで不要な不安を減らせます。

無料診断でパスワードを送る必要はありますか？

いいえ。初期診断ではパスワード、FTP情報、秘密鍵などの送信は不要です。

自分で削除してから相談したほうがいいですか？

削除前に相談してください。原因調査の手がかりが消えることがあります。

参考資料

この記事は、WordPress公式のセキュリティ強化ガイドとアップグレード手順を参考に、初心者向けに整理しています。