WordPressでサイトを立ち上げたらまず設定しておきたいことを紹介します。
あなたのサイトが悪用されてしまわないよう、しっかり設定をしておきましょう。
セキュリティ対策
常時SSL化（プラグイン利用）
WordPressサイトの常時SSL化（サイト全体のhttps化）が済んでいない場合は、初めに設定しておきましょう。
- サイト内のhttpリンクをhttpsリンクへ置き換える
- httpへのアクセスをhttpsへリダイレクト（転送）する
Really Simple SSLプラグイン（無料）を使うことで、上記の作業を簡単に行うことができます。
WordPress管理画面にログインします。
①メニュー「プラグイン」＞新規追加
②「Really Simple SSL」と検索
③「今すぐインストール」をクリック＞ボタンが「有効化」へと変わるので、再びクリックします。
プラグインが有効化されると画面の表示に切り替わります。「SSLを有効化」をクリックします。
再度ログインが必要になる場合もありますが、SSLの有効化後はこの画面が表示されます。
これでサイトの常時SSL化は完了です。
画面では「70％」「まだ6作業あります」と表示されていますが、この作業を行わなくても設定上大きな問題はありません。以下の確認を行い、「非表示」か右端の×印を押すと進行状態が進みます。「プレミアム」と表示されているものは有料版のオプションです。
かんたんブログスタートや、ドメイン追加時にWordPressを同時インストールした場合、WordPressアドレス (URL)・サイトアドレス (URL)が「http://ドメイン名」となっているので「https://」となるよう書き換えます。
最後に忘れないように「変更を保存」をクリックします。
Search Regexという検索・置換プラグインを使って、記事の内部リンクや画像URLをhttpsへ一括変換します。
Search Regexをインストール後、管理画面メニューのツール＞「Search Regex」を選択します。
①検索に「http://サイトURL」、置換に「https://サイトURL」と入力（検索設定はデフォルトでOK）
②検索ボタンをクリック
③置換対象の文字列が”置換した場合の状態”で一覧表示されるため、問題ないか確認します
④問題なければ「すべて置換」をクリック
進行状況が100％になったら置換完了です。
最後に、httpへのアクセスをhttpsへリダイレクト（転送）するための設定を行います。
.htaccessファイルに以下の内容を記載します。記述する位置はどこでも問題ありませんが、追記したことが分かりやすくなるため、ファイルの一番下に追加しましょう。
RewriteEngine on
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
プラグインによる不正ログイン、コメントスパム対策
WordPressは世界で最も利用されているCMSの一つのため、その脆弱性を突いた不正アクセス・ハッキング攻撃被害が後を絶ちません。セキュリティ対策のため、まずは下記2つのプラグインを導入することをおすすめします。
- SiteGuard WP Plugin
- 管理ページへのアクセス制限や、ログインページの変更、画像認証など基本的なセキュリティ対策が行えます。日本語対応しているため、簡単に設定を行うことができます。
- Akismet
- サイトへのコメントをチェックし、スパムを自動排除してくれます。個人サイトの場合は無料で使えますが、商用サイトの場合は有料となりますのでご注意ください。
SiteGuard WP Plugin
WordPress管理画面にログインします。
①メニュー「プラグイン」＞新規追加をクリック
②右上の検索フォームに「SiteGuard WP Plugin」と入力
③「今すぐインストール」をクリック＞ボタンが「有効化」へと変わるので、再びクリックします。
プラグインが有効化されると、下記のようにログインページURLが変更されます。
- 有効化前（WordPress初期設定）：https://ドメイン名/wp-login.php
- 有効化後：https://ドメイン名/login_xxxx （xxxxはランダムな5桁の数字）
上記の表示から「新しいログインページURL」をクリックし、ログイン画面をブックマークしておくようにしましょう。ログインページURLは設定で変更することができます。
管理画面メニューのSiteGuardから各種設定状況を確認できます。インストール時点で基本的なセキュリティ機能が有効になっています。必要に応じて各機能のON/OFFを行ってください。
設定の詳細については公式ドキュメントをご覧ください。
Akismet Anti-Spam
コメントスパム防止プラグインのAkismetは、標準でインストールされていますが有効化されていません。WordPress管理画面メニュー「プラグイン」＞インストール済みプラグインから、「Akismet Anti-Spam」の有効化をクリックします。
プラグインの利用にはアカウント登録（個人サイトの場合は無料）が必要となります。「Akismetアカウントを設定」をクリックします。
個人サイトの場合はFor personal useの「Get Personal」を選択、商用サイトの場合はFor commercial siteから必要なプランを選択します。
①Akismetに支払う料金を選択します。0円～15000円の範囲で選択することができます。無料で使いたい場合は￥0/YEARとなるように設定しましょう。
②メールアドレス、氏名、サイトURLを入力
③個人サイトであることの確認事項にチェックを入れます。
④「CONTINUE WITH PERSONAL SUBSCRIPTION」をクリックします。
入力したメールアドレスに認証コードが送られるため、確認してコードを入力＞「Continue」をクリックします。
WordPress管理画面に戻り、管理画面メニュー「設定」＞Akismet Anti-Spamをクリックします。画面下部「手動でAPIキーを入力」を選択してください。
先ほどのメールアドレスにAPIキー（件名：Your Akismet API key）が送付されています。キーを確認し、入力＞「APIキーを使って接続する」をクリックしてください。
画面の表示になったらAkismetプラグインの有効化は完了です。必要に応じて設定を変更してください。
問合せフォームへのスパム対策
WordPressにお問合せフォーム（「ContactForm7」などのプラグイン利用含む）を設置していると、スパム攻撃※によってフィッシング詐欺メール等の踏み台にされてしまう場合があります。
※問合せフォームに対し不特定多数のメールアドレスを用いて、不審なURLを含むメッセージが大量に投稿される現象
スパム攻撃によって間接的に、お客様のサーバーから大量のスパムメールの配信処理が行われる（問合せへの自動返信メールが不特定多数に送信される）恐れがあります。これによって、以下の問題が発生いたします。
- サーバーに負荷がかかる
- メール送信が制限される可能性（1時間あたりのメール送信数上限に引っかかる）
- スパムメール送信サーバーとしてブラックリストへ登録される可能性（サーバーからのメール配信が弾かれる）
サイトにお問合せフォームを設置する場合は、以下の対策を行ってください。
問合せフォームプラグイン（「Contact Form 7」等）のバージョンを最新化する
WordPress管理画面より、プラグインのアップデートを行ってください。古いバージョンのまま利用していると、セキュリティ上の欠陥を放置してしまう可能性があります。
reCAPTCHA認証を導入する（推奨）
reCAPTCHA認証によって、ロボットによるスパム投稿を防止できます。
「Contact Form 7」プラグインの場合、以下の方法で導入可能です。
参考：reCAPTCHA (v3) | Contact Form 7
reCAPTCHA認証はGoogleのサービスのため、まずはGoogleアカウントの登録が必要です。
Googleアカウントにログインの上、以下のページにアクセスしてサイトの登録を行います。
https://www.google.com/recaptcha/admin/create
①ラベル：設定の登録名を入力します（サイトのドメイン名など、任意の内容でOK）
②reCAPTCHAタイプ：スコアベース（v3）を選択します
③ドメイン：reCAPTCHA認証を設定したいサイトのドメインを入力します
規約同意にチェックを入れて、「送信」をクリックしてください。
サイトキー、シークレットキーが表示されるので、それぞれコピーして控えておきます。
WordPress管理画面にログインし、Contact Form 7の「インテグレーション」メニューを開きます。
続いて、reCAPTCHAの「インテグレーションのセットアップ」をクリックしてください。
STEP2でコピーしたサイトキー、シークレットキーを入力して「変更を保存」をクリックします。
「設定を保存しました。」「reCAPTCHAはこのサイト上で有効化されています。」と表示されたら設定は完了です。
問合せフォーム画面にアクセスして、画面にreCAPTCHAのロゴマークが表示されていれば、認証が有効化されていることを確認できます。
- 広告ブロック等のブラウザ拡張機能を利用している場合、正常に表示されない可能性があります。
- 設定がうまくいかない場合などのご不明点については、Contact Form 7の公式サポートへお問い合わせください。
「Honeypot for Contact Form 7」プラグインを導入する
「Contact Form 7」向けのスパム対策プラグインです。reCAPTCHA導入が難しい場合はこちらもご検討ください。
ダッシュボードの設定
投稿
サンプルの不要な投稿「Hello world!」を削除します。
ダッシュボード＞投稿＞投稿一覧を選択します。
不要な記事（Hello world!）にカーソルを合わせると、「ゴミ箱へ移動」というリンクが表示され、クリックすると削除できます。
固定ページ
固定ページの不要なページを削除します。
「固定ページ」をクリックし、一覧で「Privacy Policy」「Sample Page」を確認します。
この「Privacy Policy」ページは英語のため削除し、のちほど日本語のページを生成します。
①「タイトル」にチェックを入れると全てのページが選択されます。
②一括操作欄から「ゴミ箱へ移動」を選択します。
③「適用」をクリックすると、固定ページ一覧よりページが消えます。
設定
一般設定
設定＞一般設定の項目を埋めておきましょう。
- サイトのタイトル
- キャッチフレーズ
- WordPress アドレス (URL)
- サイトアドレス (URL)
- 管理者メールアドレス
プライバシー
プライバシーポリシーページが生成できます。
ダッシュボードメニューの設定＞プライバシーをクリックします。
「新規プライバシーポリシーページを作成する」横の「生成」をクリックします。
自動的に編集画面に移るので、内容を確認します。
使用テーマやプラグインにより追記内容は変わる可能性があるため、「プライバシーポリシーガイドを表示します。」よりガイドを確認しましょう。
「公開」をクリックして公開します。
固定ページ＞固定ページ一覧より「プライバシーポリシー」が作成されているのを確認します。