WordPressでおすすめのセキュリティプラグインを紹介

WordPressでおすすめのセキュリティプラグインを紹介します。

※この記事は2026年10月30日時点のものです

プラグインを入れる目的

WordPressは通常ログインとパスワードを入れてログインします。より安全にするために以下の対策をします。

• 二段階認証
• REST API 無効化
• XML-RPC 無効化

二段階認証を入れて不正ログインを防ぐ

設定後はログイン中のブラウザは開いたまま別のブラウザ（またはシークレットウィンドウ）でログインできるか確認すると安心です。あわせて復旧手段（バックアップコードなど）を控えておきましょう。

REST API無効化でログインIDを見えにくく

REST API無効化でログインIDを見えにくくできます。対策をしていない場合「（ブログのアドレス）/wp-json/wp/v2/users」でブログにアクセスするとログインIDが表示されます。お問い合わせフォームなどに影響がでる場合があるので導入には注意が必要。

ゲゲ

ログインやブロックエディタに影響が出る場合があるので導入する際は慎重に検討して下さい。環境によっては導入によって大きな問題が起る場合があります

XML-RPC経由の総当たり攻撃を防ぐ

Jetpackやスマホアプリから投稿している場合は影響が出ることがあるので導入には注意が必要。

ゲゲ

XML-RPC対策をしない場合は定期的に不正ログイン（侵入まではされない）があります

プラグインを紹介

• Two Factor
• SiteGuard WP Plugin

二段階認証にTwo Factor、REST API・XML-RPCの対策にSiteGuard WP Pluginを使います。SiteGuard WP Pluginでログイン履歴を確認できるので実際に不正アクセスがあるのか目視で確認できます。

設定するプラグイン内訳

二段階認証

• Two Factor

REST API無効化、XML-RPC 無効化

• SiteGuard WP Plugin
  • XML-RPC 防御→XML-RPC 無効化にチェック→有効
  • ユーザー名漏えい防御→REST API 無効化にチェック→有効

REST API無効化を有効にすると「（ブログのアドレス）/wp-json/wp/v2/users」 からログインIDが見えなくなります。設定後はログアウト状態で確認してみてください。反映されない場合はキャッシュを削除してください。

最後に

今回紹介した以外にも「CloudSecure WP Security」というものがあります。こちらは1つのプラグインで今回紹介した機能があります。ただ私は使ってないため未検証になります。

WordPress本体や他のプラグインを最新に保つことも重要なので常に気を付けておきましょう。

ゲゲ

二段階認証だけは必ず導入しましょう。他の2つに関しては環境によっては合わないのでご自身で判断してください