CloudSecure WP Securityの設定方法｜会社のホームページ向けの推奨設定と注意点

「セキュリティのプラグインを入れたほうがいいと聞いたけれど、何をどう設定すればいいのかわからない」 「入れたまま、初期設定のままになっている」

このような会社は少なくありません。

WordPressのログイン画面は、URLが決まった形になっているため、誰でも見つけることができます。
攻撃するロボットは、このログイン画面にパスワードを何万回も自動で試し、入り込もうとします。

この記事では、無料のセキュリティプラグイン「CloudSecure WP Security」を使って、ログイン画面を守る設定方法を解説します。オービックがお客さまのホームページで実際に使っている推奨設定を一覧にしていますので、そのまま設定の参考にしてください。

※この記事は、セキュリティ対策の全体像をまとめた「ホームページのセキュリティ対策、今すぐ確認したいこと」のうち、「ログインを守る」部分の詳しい手順です。

この記事でわかること

• CloudSecure WP Securityでできること
• インストールの前に確認すること
• オービックの推奨設定（一覧表）
• ログインできなくなったときの対処法

CloudSecure WP Securityとは

CloudSecure WP Securityは、レンタルサーバー大手のエックスサーバー株式会社が提供している、WordPress用のセキュリティプラグインです。

特長	内容
料金	無料
言語	管理画面もサポートも日本語
提供元	エックスサーバー株式会社（国内の企業が開発・保守）
使えるサーバー	エックスサーバー以外（ロリポップ、さくらのレンタルサーバなど）でも利用可能
主な機能	ログイン画面の保護、2段階認証、簡易的なWAF（攻撃の検知・遮断）、ログイン通知など

個人が開発しているプラグインは、更新が止まってしまうこともあります。提供元がはっきりしていて、継続的に更新されていることは、セキュリティのプラグインを選ぶうえで大切なポイントです。

インストールの前に確認すること

1. バックアップを取る：設定を誤ってログインできなくなったときに、元に戻せるようにしておきます
2. ほかのセキュリティプラグインと併用しない：SiteGuard WP Pluginなど、同じような機能のプラグインが入っている場合は、どちらか一方にします。両方入れると機能がぶつかり、ログインできなくなることがあります
3. WordPressの管理者のメールアドレスを確認する：ログインURLの変更や2段階認証の通知が、このアドレスに届きます。退職者のアドレスになっていないか確認してください（「設定」→「一般」→「管理者メールアドレス」）
4. 作業する時間を確保する：設定は30分ほどですが、ログインできなくなった場合に備えて、時間に余裕のあるときに行いましょう

インストールの手順

1. WordPressの管理画面にログインする
2. 左メニューの「プラグイン」→「新規追加」を開く
3. 右上の検索欄に「CloudSecure WP Security」と入力する
4. 表示されたプラグインの「今すぐインストール」をクリックする
5. インストールが終わったら「有効化」をクリックする

有効化すると、左メニューに「CloudSecure WP Security」の項目が追加されます。

エックスサーバーで「WordPressクイックスタート」や「WordPress簡単インストール」を使った場合は、最初からインストールされていることがあります。プラグインの一覧で確認してください。

オービックの推奨設定一覧

CloudSecure WP Securityには12の機能があります。半分ほどは最初からONになっているため、自分で変える必要があるのは「ログインURL変更」「2段階認証」「画像認証追加」「シンプルWAF」の4つです。

機能	初期状態	推奨	ポイント
ログインURL変更	OFF	ONにする	ログイン画面の場所を隠す。変更後のURLは必ず保管
2段階認証	OFF	ONにする	管理者・編集者は必須。リカバリーコードを保管
画像認証追加	OFF	ONにする	ログイン・パスワードリセットに適用
シンプルWAF	OFF	ONにする	基本的な攻撃を検知・遮断し、メールで通知
ログイン無効化	ON	そのまま	失敗が続くと一時的にログインをブロック
ログインエラーメッセージ統一	ON	そのまま	どの入力を間違えたか分からないようにする
ユーザー名漏えい防止	ON	そのまま	URLからユーザー名を調べられないようにする
XML-RPC無効化	ON	そのまま	スマホアプリなどで投稿していなければONのまま
設定ファイルアクセス防止	ON	そのまま	重要なファイルを外から見られないようにする
通知（ログイン・更新・エラー）	ON	そのまま	心当たりのないログイン通知が来たらすぐ相談
REST API無効化	OFF	OFFのまま	ONにするとブロックエディタや一部のプラグインが動かなくなる
管理画面アクセス制限	OFF	状況に応じて	固定IPがない会社は、ログインの手間が増える

※2026年10月時点の画面をもとにしています。設定を変更したら、各画面の「変更を保存」を必ずクリックしてください。

特に大事な3つの設定

1. ログインURL変更

WordPressのログイン画面は、通常「https://会社のドメイン/wp-login.php」という決まったURLです。ここを変更すると、攻撃するロボットがログイン画面を見つけにくくなります。

設定方法

1. 「CloudSecure WP Security」→「ログインURL変更」を開く
2. 「有効」にチェックを入れる
3. 表示されている文字列を確認する（そのままでOK）
4. 「管理者ページからログインページにリダイレクトしない」にチェックを入れる
5. 「変更を保存」をクリックする

変更後のURLは、最初に表示される文字列のままでOK

• 初期状態で、推測されにくいランダムな文字列が自動で表示されます。自分で考えるより安全なので、そのまま使うのがおすすめです。自分で変える場合は、半角英小文字・半角数字・ハイフン・アンダースコアを使い、4〜12文字で設定します
• 自分で変える場合も、「login」「admin」や会社名など、推測されやすい文字は避けます

必ずやること

• 変更したら、すぐにブラウザのブックマークに登録する
• 社内の管理情報（パスワードなどを記録している場所）にも記録する
• ホームページの担当者が複数いる場合は、全員に新しいURLを伝える

4番の「リダイレクトしない」にチェックを入れないと、「/wp-admin/」と入力しただけで新しいログイン画面に転送されてしまい、URLを変えた意味が薄れます。

2. 2段階認証

パスワードに加えて、スマートフォンのアプリやメールに届く6桁の数字を入力しないとログインできないようにする設定です。パスワードが漏れても、それだけではログインされません。

設定方法（全体の設定）

1. 「CloudSecure WP Security」→「2段階認証」を開く
2. 「有効」にチェックを入れる
3. 対象にする権限（管理者・編集者など）を選ぶ
4. 「変更を保存」をクリックする

設定方法（ユーザーごとの設定）

全体の設定のあと、ログインする人がそれぞれ自分のアカウントで次の設定をします。

1. 左メニューの「2段階認証の設定」を開き、「設定」をクリックする
2. 認証方法を選ぶ（スマートフォンの認証アプリ「Google Authenticator」、またはメール）
3. 表示された手順に沿って6桁の認証コードを入力し、「設定を完了」をクリックする
4. 「リカバリーコードを生成」をクリックし、表示されたコードをダウンロードして保管する

リカバリーコードは必ず保管してください。 スマートフォンを紛失したり機種変更したりしたときに、このコードがないとログインできなくなります。

認証方法は、スマートフォンのアプリのほうが安全です。メールでの認証は手軽ですが、メールアカウントが乗っ取られると意味がなくなるため、メールにも2段階認証を設定しておきましょう。

3. シンプルWAF

WAF（ワフ）は、ホームページの弱点をねらった攻撃を見つけて、遮断する仕組みです。CloudSecure WP Securityの「シンプルWAF」をONにすると、お問い合わせフォームなどを悪用した基本的な攻撃を検知し、管理者にメールで知らせます。

設定方法

1. 「CloudSecure WP Security」→「シンプルWAF」を開く
2. 「有効」にチェックを入れる
3. 「変更を保存」をクリックする

ONにしたあと、お問い合わせフォームからテスト送信し、正しく送れるか確認してください。

あわせて見直したいWordPressの設定

プラグインの設定とあわせて、次のWordPressの設定も確認しておきましょう。

• パスワードを13桁以上にする：英字の大文字・小文字、数字、記号を組み合わせます（「ユーザー」→「プロフィール」）
• ブログ上の表示名をニックネームにする：ログインに使うユーザー名が、記事の投稿者名として表示されないようにします（「ユーザー」→「プロフィール」→「ブログ上の表示名」）
• 使っていないユーザーを削除する：退職者や、以前の制作会社のアカウントが残っていないか確認します
• コメント機能とユーザー登録をOFFにする：会社のホームページで使っていなければ、入り口を減らすためにOFFにします（「設定」→「ディスカッション」、「設定」→「一般」）

ログインできなくなったときの対処法

困りごと	原因	対処法
変更後のログインURLを忘れた	ブックマークや記録をしていなかった	URLを変更したときに管理者宛てに届いたメールを確認する。エックスサーバーの場合は、サーバーパネルの「WordPress簡単インストール」→「詳細」でも確認できる
自分は失敗していないのにブロックされた	同じ社内ネットワークの誰かがログインに失敗した	しばらく待ってから再度ログインする。頻繁に起きる場合は「ログイン無効化」の回数を調整する
2段階認証のコードが届かない・スマホをなくした	機種変更、メールアドレスの変更など	保管しておいたリカバリーコードでログインする
プラグインの一部が動かなくなった	XML-RPCやREST APIを使うプラグインと設定がぶつかっている	「XML-RPC無効化」や「REST API無効化」の設定を見直す
どの方法でもログインできない	—	無理に操作を続けず、ご相談ください。サーバー側からプラグインを停止して復旧できます

ログインできない状態で、FTPやサーバーの管理画面からファイルを削除するのは危険です。操作に慣れていない場合は、専門家に任せてください。

エックスサーバーの「WordPressセキュリティ設定」との関係

エックスサーバーには、サーバーの機能として「WordPressセキュリティ設定」（ログイン試行回数制限、国外からのアクセス制限など）があります。CloudSecure WP Securityと併用して問題ありません。どちらも有効にしておくと、より守りが固くなります。

ただし、両方でログインの回数制限が働くため、ログインに何度か失敗すると、思ったより早くブロックされることがあります。

なお、エックスサーバーのサーバーパネル自体にも2段階認証を設定しておきましょう。WordPressをどれだけ守っても、サーバーの管理画面に入られると、ホームページ全体を書き換えられてしまいます。

設定を任せたい方へ｜オービックのセキュリティ強化作業

「設定画面を見ても不安」「ログインできなくなるのが怖い」という方は、オービックにお任せください。

PHPのバージョンアップ作業（WordPress更新作業含む）では、次のセキュリティ強化作業もあわせて行っています。

• ログインパスワードの強化
• 2段階認証の導入
• セキュリティ強化のプラグイン導入（CloudSecure WP Securityの推奨設定）
• FTP接続の不正アクセス対策
• サーバー・ドメイン管理画面の不正アクセス対策

料金：66,000円（税込）　作業期間：1〜2日程度

詳しくは「WordPressのPHPバージョン確認方法と8.3以上への更新手順」のサービス案内をご覧ください。

よくある質問

まとめ

• CloudSecure WP Securityは、国内企業が提供する無料・日本語のセキュリティプラグイン
• 自分で変えるのは「ログインURL変更」「2段階認証」「画像認証追加」「シンプルWAF」の4つ
• 変更後のログインURLとリカバリーコードは、必ず記録・保管する
• パスワードは13桁以上にし、使っていないユーザーは削除する
• 設定に不安がある場合や、ログインできなくなった場合は、無理をせず専門家に相談する