Wordfence Securityの設定方法と使い方【完全版】

今回はこのようなお悩みにお答えします。

Wordfence Securityは、WordPressが推奨するセキュリティプラグインです。

ただし設定項目が多く、英語表記のため設定方法や使い方がわかりづらいです。

そこで今回はWordfence Securityの設定方法と使い方を日本語訳付きで解説します。

また画像50枚以上使い解説しているので、真似するだけでOKです。

この記事を読んで、大事なブログを徹底的に守りましょう。

Wordfence Securityのインストール方法

ダッシュボードからプラグイン検索画面に進みます。

検索窓に「Wordfence Security」と入力すると、上図のように盾の画像が描かれたプラグインが表示されます。

インストールボタンをクリックすれば完了です。

さっそく有効化しましょう。

Wordfence Securityの無料ライセンスを取得する

有効化したら、Wordfence Securityの無料ライセンスを取得します。

【GET YOUR WORDFENCE LISENSE】をクリックします。

【Get a Free Lisense】をクリックしましょう。

「Are you sure you want delayed protection?」と聞かれますが【I’m OK waiting 30 days for protection from new threats.】をクリックします。

「Get Wordfence Free」の項目では、以下のように設定します。

項目	設定方法
Email	無料ライセンスを受け取るメールアドレスを入力
Wordfenceからのレポートを受け取る	チェックを入れる
利用規約に同意する	チェックを入れる

設定が完了したら【Register】をクリックしましょう。

「You’re almost done!」と表示されたら、登録したメールアドレスを確認します。

Wordfence Securityからメールが届いています。

【Install My License Automatically】をクリックしましょう。

WordPressの管理画面へ移動します。

【ライセンスインストール】をクリックしましょう。

【無償ライセンスインストール済み】と表示されたら、無料ライセンスの取得は完了です。

Wordfenceのインストールが不完全と表示された場合

無料ライセンスを取得しましょう。

まずは【GET YOUR WORDFENCE LISENSE】をクリックします。

あとはWordfence Securityの無料ライセンスを取得するに従い、設定を進めてください。

Wordfence Securityの設定方法

Wordfence Securityを使いこなす前に、初期設定を済ませましょう。

Wordfence Securityの設定は以下の3点です。

Wordfence Securityの自動更新設定

Wordfence Securityには自動更新機能があります。

ダッシュボードから【Wordfence】⇒【Dashbord】に進みます。

上図のように【Yes,enable auto-update】をクリックすれば自動更新設定は完了です。

Wordfenceファイアウォールの初期設定

WordPressは世界中で使われる人気のCMSですが、セキュリティの弱さが最大の弱点です。

ファイアウォールには、外部ネットワークからの攻撃やハッカーによる不正なアクセスから、自分たちのネットワークやコンピュータを防御する機能があります。

WordfenceファイアウォールをLearning Modeにする

ダッシュボードから【Wordfence】⇒【Dashbord】に進みます。

上図のように【Manage Firewall】をクリックすると、ファイアウォール管理画面に進みます。

【Web Application Firewall Status】の項目が以下の設定になっていることを確認しましょう。

ファイアウォールは1週間サイトを学習することで「安全にサイトを保護する方法や、読者さんと悪質なクローラーを見分ける方法」を理解します。

ファイアウォールが学習する前にサイト情報をダウンロードする

ファイアウォールがLearning Modeに入る前に、サイト情報をダウンロードします。

万が一ファイアウォールが誤って学習した場合、読者さんとの通信を勝手に遮断してしまう可能性があるからです。

バックアップデータを取得しておけば、万が一の時でも復旧は可能です。

【OPTIMIZE THE WORDFENCE FIREWALL】をクリックします。

クリックするとOptimize Wordfence Firewall(ファイアウォールの最適化)という画面が表示されます。

ファイアウォールが事前に学習するサーバーを指定してくれています。

【DOWNLOAD .HTACCESS】と【DOWNLOAD .USER.IN】をクリックすれば、サーバー情報をダウンロードできます。

ダウンロードが完了したら【CONTINUE】をクリックしてください。

Installation Successfulという画面表示されたら、ファイアーウォールがLearning Modeに入ります。

Learning Modeの進捗は【Basic Firewall Options】の円グラフで確認できます。

書き換えるファイルは「.htaccess」と「.user.ini」です。

2つのファイルはレンタルサーバーのFTPサーバー内にあります。

ドメイン直下にあるので確認してみましょう。

Wordfence Securityのメール通知設定

ブログのPV数が増えるとハッカーによる攻撃が増えるため、Wordfence Securityから送られてくる警告メールが増えてしまいます。

そこでメール設定画面でWordfence Securityからのメール通知量を最小限に設定します。

【Wordfence】⇒【All Options】⇒【Email Alert Preferences】へとページを進めます。

以下を参考に【Email Alert Preferences】の項目にチェックを入れてください。

Wordfence Securityの不正ログイン機能は鉄壁なので、万が一突破された場合や設定が無効になった場合にのみメール通知するように設定しています。

問題があった場合は上図のようなメールが送られてきます。

Wordfence Securityからメールがあった場合は、内容をチェックするようにしましょう。

Wordfence Securityの使い方

Wordfence Securityには、以下の3つセキュリティ機能があります。

ハッカーがWordPressに不正ログインすると、以下のような被害を受けることになります。

今回紹介する3つの設定で、ハッカーからの不正ログインを防ぎましょう。

1)Wordfence Securityでブルーフォースアタック対策を実施する

ブルーフォースアタックとは、ハッカーがクローラーを使いログイン画面で手あたり次第にアカウント名やパスワードを入力してログインを試みることです。

サイトにセキュリティ対策が実施されておらずパスワードも短いと、簡単にログインされてしまいます。

Wordfence Securityでのブルーフォースアタック対策を解説します。

【Wordfence】⇒【All Options】の画面に進み、下にスクロールしていくと【Brute Force Protection】という項目があるのでクリックします。

ここではクローラーがブルーフォースアタックしてきた時に、ログイン画面からロックアウト(締め出す)させる条件を設定します。

項目(わかりやすく日本語訳)	設定方法
Enable brute force protection(ブルートフォース保護)	ON
Lock out after how many login failures(ログインの失敗回数)	7
Lock out after how many forgot password attempts(パスワードを変更しようとした回数)	5
Count failures over what time period(ログイン失敗回数をリセットする時間)	12hours
Amount of time a user is locked out(ログインページからロックアウトさせる時間)	6hours

項目(わかりやすく日本語訳)	設定方法
Immediately lock out invalid usernames(無効なユーザー名を即ロックアウト)	チェックを入れる
Immediately block the IP of users who try to sign in as these usernames(即ロックするユーザー名)	admin
Prevent the use of passwords leaked in data breaches(どこかから漏洩したパスワードの使用を禁止する)	For admins only(パスワードリストの管理者のみ)

項目(わかりやすく日本語訳)	設定方法
Enforce strong passwords(強いパスワードを強制する)	For all members to use strong password(全員)
Don’t let WordPress reveal valid users in login errors(ログインエラー時にWordPressにユーザー名が正解だったとハッカーに知らせない)	チェックを入れる
Prevent users registering ‘admin’ username if it doesn’t exist （ユーザー名をadminで登録させない）	チェックを入れる
Prevent discovery of usernames through ‘/?author=N’ scans, the oEmbed API, the WordPress REST API, and WordPress XML Sitemaps(ユーザー名の検出を防止する)	チェックを入れる
Disable WordPress application passwords(WordPressが提供するアプリケーションパスワードを無効にする)	チェックを入れる
Block IPs who send POST requests with blank User-Agent and Referer	デフォルトのまま空欄

項目(わかりやすく日本語訳)	設定方法
Custom text shown on block pages(ブロックページ後に表示する文章)	デフォルトのまま空欄
Check password strength on profile update (プロフィール更新時にパスワード強度を確認する)	チェックを入れる
Participate in the Real-Time Wordfence Security Network(ハッキング情報をWordfenceと共有する)	チェックを入れる

ユーザー名の検出を防止できているのか検証

項目の【ユーザー名の検出を防止する】が機能しているのか検証しました。

WordPressの初期設定ではURL入力欄に「(ドメイン名)/?author=1」と入力すると「(ドメイン名)/author/(ユーザー名)」と表示されてしまいます。

しかし「ユーザー名の検出を防止する」を有効にした後、URL欄に「(ドメイン名)/?author=1」と入力しても、ユーザー名は表示されませんでした。

2)Wordfence SecurityでreCAPTCHAを設置する

reCAPTCHAとは、お問い合わせページやログイン画面から侵入しようとする悪質なクローラーからサイトを守る無料サービスです。

reCAPTCHAには悪質なクローラーと人間を区別する機能があります。

今回は最新版のreCAPTCHA V3をWordfence Securityと連携させて、ログイン画面に設置する方法を解説します。

3)Wordfence Securityで2段階認証機能を設置する

2段階認証機能とは、Wordpressにログインさせるために2回セキュリティコードを入力させる機能です。

実はこの機能は有料プランでしたが、最近になって無料で使用できるようになりました。

これが2段階認証機能です。

2FAコードはあなたの携帯電話に表示され、30秒ごとに変更されます。

Wordfence Securityを使い、2段階認証機能を設置する方法

2段階認証機能が稼働するか確認する方法

2段階認証できずWordPressにログインできない場合の対処方法

リカバリーコードは12桁の英数字で、全部で5回使用できます。

ダウンロードしたリカバリーコードを1行分貼り付ければ、ログインできます。

Wordfence Securityでスパムコメントをブロックする

ブログにコメント欄を設置すると、PV数の増加と共にスパムコメントが書き込まれるようになります。

スパムコメントとは、記事内容とは関係ない広告リンクのついたコメントのことです。

Wordfence Securityを使い、スパムコメントをブロックする方法を解説します。

【Wordfence】⇒【Tools】⇒【Live Traffic】へとページを進めます。

画面を下にスクロールしていくと、ログインしようとしたユーザーとクローラーが一覧で表示されます。

上図のように「アドレス/wp-comments-post.php」が記載されたクローラーがスパムボットです。

【RUN WHOIS】をクリックし、管理者情報を確認します。

スパムボットの管理者情報が表示されたら、画面一番下の【BLOCK THIS NETWORK】をクリックし、スパムボットを配信するネットワークを遮断します。

選択肢は下に進むほど、遮断するネットワークのIPアドレスの幅が広がります。

【BLOCK THIS NETWORK】をクリックすると、上図の画面が表示されます。

ブロックした理由の記載が必要なるので【Block Reason】に「spam」と書き込み【BLOCK VISITOR MATCHING THIS PATTERN】をクリックすれば、スパムボットのブロックは完了です。

ブロックしたネットワーク情報の一覧は【Wordfence】⇒【Firewall】⇒【Blocking】のページで確認できます。

スパムメール対策にはWordfence Securityに加えて、専用のスパムメール対策プラグインの導入が有効です。

私はThrows SPAM Awayを推しています。

プラグイン	無料使用	相性が悪いテーマ	スパムコメントの除去方法
Throws SPAM Away	可能	なし	自動
Akismet Anti-Spam	不可能	なし	手動
Invisible reCaptcha for WordPress	可能	あり(Swell)	自動

表の通りThrows SPAM Awayは他のスパムコメント対策プラグインより優秀です。

詳しくはThrows SPAM Awayの設定方法【Akismetの代替プラグイン】で解説しています。

Wordfence Securityのスキャン機能でサイト内を点検する

ハッカーはサイト内に悪質なファイルを埋め込むことにより、不正アクセスし遠隔操作でサイト内容を改ざんします。

Wordfence Securityのスキャン機能を使うことで、WordPress内に悪質なファイルやURLが埋め込まれていないか点検することができます。

【Wordfence Security】⇒【Scan】へとページを進めます。

上図の画面が表示されたら【START NEW SCAN】をクリックします。

スキャンが始まると、Wordfence Securityはサイト内の全てのファイルをスキャンします。

スキャン完了後、すべての項目にチェックマークがついていたらサイトに問題はありません。

チェック項目にアラートマークは表示されたら、サイトに問題があります。

Wordfence Securityが危険なファイルを特定してくれます。

上図では問題を2点特定してくれました。

悪質なファイルがあった場合は【DELETE FILE】をクリックすると削除できます。

なおスキャンの精度のレベルを変更することができます。

【Wordfence Security】⇒【All Options】⇒【Basic Scan Type Options】へとページを進めます。

デフォルトで設定されている「Standard Scan」でOKです。

ただし明らかにサイトに異常を感じたときは「High Sensitivity」を選択し、スキャンの精度を上げてサイト内を診断しましょう。

Wordfence Securityはサイトを自動でスキャンしてくれる

実は【START NEW SCAN】を押さなくても、自動で定期的にサイト内をスキャンしてくれます。

スキャンの実施日時は、スキャン結果のすぐ下に表示されています。

ただし無料プランだとスキャンのスケジュールは、Wordfence Securityに委ねることになります。

有料プランにすると自分でスキャンのスケジュールを組めますが、個人ブロガーなら必要はないです。

Wordfence Securityを導入した後は

ブログ収益化ツールを導入しましょう。

ブログツールを導入すると、より確実に稼げます。

以下の記事では、開設14ヶ月で「月間28,000PV、月間収益5万円」を実現させた神ツールを紹介しています。

ぜひチェックしてみてください。

＞＞ブログアフィリエイト収益化を加速させるおすすめツール20選

まとめ

今回はWordfence Securityの設定方法と使い方を解説しました。

Wordfence Securityの使い方をマスターし、ブログを安全に運営しましょう。

Wordfence Securityの質問集

この項目ではWordfence Securityを使用するにあたり、よくある質問について解説します。

Wordfence Security を導入したらサイトが重くなる？

Wordfence Securityは多機能なプラグインのため、サイトによっては動きが重くなる場合があります。

サイトが重くなった場合の対処方法を2つ紹介します。

自動スキャン機能を無効にする

Wordfence Securityにより、サイトが重くなる1番の要因はスキャン機能です。

サイトが重い場合は自動スキャン機能を無効化するだけで、軽くできます。

ダッシュボードから【Wordfence】⇒【All Options】とページを進めます。

ページを下にスクロールし【Scan Scheduling】の項目を確認します。

【Schedule Wordfence Scans】の設定を【DISABLED】にしましょう。

【SAVE CHANGES】をクリックすれば作業完了です。

なお自動スキャン機能はなくなります。

定期的に手動でスキャンして、サイト内の安全性をチェックしましょう。

不要なセキュリティプラグインを削除する

Wordfence Securityは総合的なセキュリティプラグインのため、基本的にこれ1つで十分です。(コメント欄を使用しない場合)

以下のセキュリティプラグインとは機能が被るため、削除すればサイトが軽くなります。

サイトが重いと感じた場合は、この機会にプラグインを断捨離しましょう。

Wordfence Securityを削除したのにサイトが重いのはなぜ？

Wordfence Securityを削除してもレンタルサーバーに、Wordfence Securityのデータが一部残されてしまいます。

これではせっかくプラグインを削除してもブログ動作が軽くなりません。

Wordfence Securityを削除した後、プラグイン「Plugins Garbage Collector」を使い、どれぐらいテーブルデータが残されているのか確認しました。

Plugins Garbage Collectorの使い方は簡単です。

有効化した後、【データベースのスキャン】をクリックするだけです。

なんとWordfence Securityのテーブルデータが21個も残されていました。

残されたWordfence Securityのテーブルデータを削除する方法

方法は2つあります。

これでWordfence Securityのデータを残さずに、プラグインを削除できます。

Wordfence Securityの有料プランは必要？

個人ブロガーなら、Wordfence Securityの有料プランは不要です。

Wordfence Securityの2段階認証機能を利用すれば、ほぼ100％ハッキングされることはないからです。

万が一1段階目のログイン画面を突破されても、2段階目のログインパスワードは30秒ごとに変化します。

これではどんなハッカーが挑んでも突破は不可能です。

個人ブロガーなら、無料プランで十分です。

2段階認証機能を使いこなしましょう。

ちなみにWordfence Securityを有料プランにすると、得られる機能は以下の通りです。

追加機能	機能の解説
リアルタイムIPブロックリストの適応	Wordfence Securityが保有している最新のハッカー情報をもとに、事前にIPブロックしてくれる
スキャン機能の拡張	スキャンスケジュールを自分で管理できる 高い精度でサイト内をスキャンできる
国ごとアクセスをブロック	ログイン画面でのハッキング機能を解析し、国レベルでの関与が疑われる場合は国ごとIPアドレスをブロックする

Wordfence Securityの有料プランの申し込み方法

各機能の有料プランの申し込みは、以下のページから申し込めます。

「リアルタイムIPブロックリストの適応」はダッシュボードの【Wordfence】⇒【Firewall】⇒【All Firewall Options】から申し込みます。

内容を確認し問題がなければ【UPGRADE TO PREMIUM】をクリックしましょう。

「スキャン機能の拡張」はダッシュボードの【Wordfence】⇒【Scan】から申し込みます。

内容を確認し問題がなければ【UPGRADE TO PREMIUM】をクリックしましょう。

「国ごとアクセスをブロック」はダッシュボードの【Wordfence】⇒【All Options】から申し込みます。

内容を確認し問題がなければ【UPGRADE TO PREMIUM】をクリックして申し込みましょう。