WordPressセキュリティ診断のやり方とおすすめ無料ツール比較｜自社サイトの安全性をチェック

WordPressサイトを運用している企業やサイト管理者にとって、最も警戒すべきリスクの一つが「不正アクセス」「サイト改ざん」「情報漏洩」「マルウェア感染」です。

WordPressは世界中で圧倒的なシェアを誇るCMSである一方、サイバー攻撃者にとっても最大のターゲットとなっています。「自社のサイトはアクセス数も少ないし狙われないだろう」「特に不具合も起きていないから大丈夫」と考えてセキュリティ対策を後回しにしていると、ある日突然「サイトを開くと不審な海外通販サイトへ勝手に転送される」「Google検索結果で『このサイトは第三者によって改ざんされている可能性があります』と警告が表示される」といった深刻な被害に直面することになります。

こうした重大なインシデントを未然に防ぐために不可欠なのが、定期的なセキュリティ診断（脆弱性チェック）です。

本記事では、WordPressのセキュリティ診断が必要な理由と放置リスク、無料で今すぐ使えるおすすめ診断ツール5選の比較、診断でよく出る警告への実践的な対処法、そして対策の優先順位ロードマップまでを網羅して分かりやすく解説します。

なぜWordPressの定期的なセキュリティ診断が必要なのか？（被害事例とリスク）

世界シェアNo.1ゆえに狙われるWordPressの現状

WordPressは、世界中の全Webサイトの40%以上、CMSを利用しているWebサイトの約60%以上のシェアを占めています。オープンソースとして世界中のエンジニアによって開発・拡張されているため非常に便利ですが、構造やソースコードが公開されているため、攻撃者にとっても研究しやすい環境にあります。

サイバー攻撃の多くは、特定の企業を狙い撃ちにする標的型攻撃ではなく、「自動化された攻撃ボット（クローラー）が無差別にWeb上を巡回し、脆弱性のあるWordPressサイトを手当たり次第に探して攻撃する」という手口が主流です。そのため、サイトの規模や知名度に関係なく、インターネット上に公開されているすべてのWordPressサイトが日常的に攻撃の脅威に晒されています。

セキュリティ診断を怠った場合に生じる重大な被害リスク

定期的なセキュリティ診断を行わずに脆弱性や不備を放置した場合、以下のような深刻な被害が発生します。

• Webサイトの改ざんと不正リダイレクト（スパム行為）： 管理者の知らない間にサイト内のファイルやデータベースが書き換えられ、訪問者を不正な偽ショッピングサイトやフィッシングサイトへ勝手に転送（リダイレクト）させる被害が多発しています。
• 顧客情報・会員データの漏洩： お問い合わせフォームの送信履歴、会員制サイトの個人情報、決済情報などが第三者に盗み取られるリスクがあります。企業の信頼失墜や損害賠償責任に直結します。
• Googleなどの検索エンジンによるブラックリスト登録・警告表示： マルウェアや改ざんが検出されたサイトは、Googleセーフブラウジングによって危険サイトと判定され、検索結果に「このサイトはコンピュータに損害を与える可能性があります」といった警告が表示されます。検索順位が急落し、検索結果から完全に除外（インデックス削除）されるケースもあります。
• 自社サイトが加害者になるリスク（ボットネット化・スパム送信）： サーバーが乗っ取られ、他社サイトへのDDoS攻撃の中継地点や、大量の迷惑メール（スパム）の配信元として悪用される危険性があります。

特に恐ろしいのは、「見た目上は正常に動いているように見えて、裏側でバックドアが設置されていたり、特定のユーザーにのみマルウェアが配信されているステルス型の感染」です。こうした潜在的な脅威を発見するためには、客観的な診断ツールによる定期チェックが欠かせません。

無料で使えるおすすめWordPressセキュリティ診断ツール5選

WordPressのセキュリティ診断ツールには、大きく分けて「URLを入力するだけで外部からスキャンするオンラインツール」と、「WordPress内にインストールして内部ファイルを精密検査するプラグインツール」の2種類があります。

それぞれの強みを持つおすすめの無料診断ツール5選を紹介します。

1. WPScan（脆弱性データベース連携・詳細診断）

WPScanは、WordPress専門のセキュリティ診断プラットフォームです。世界最大のWordPress脆弱性データベースを運用しており、公式・非公式のプラグインやテーマ、WordPress本体に既知のセキュリティホール（CVE）が存在しないかを高精度で検出します。

• 診断タイプ： 外部スキャン / CLIツール / API連携
• 特徴： 38,000件以上の既知の脆弱性データベースと照合し、インストールされているプラグインやテーマのバージョンごとの脆弱性をピンポイントで警告。
• 向いているユーザー： プラグインやテーマの個別脆弱性を詳しく特定したいサイト管理者・開発者。

2. Sucuri SiteCheck（マルウェア・ブラックリスト即時チェック）

Sucuri SiteCheckは、セキュリティ大手Sucuriが提供する世界標準の無料Webスキャナーです。URLを入力して数秒待つだけで、サイトの外部公開面をスキャンしてくれます。

• 診断タイプ： オンライン外部スキャナー（URL入力型）
• 特徴： 悪意のあるスクリプト（マルウェア、JavaScriptインジェクション）の混入を即時検出し、GoogleやMcAfeeなどの主要セキュリティ機関によるブラックリスト登録状況を瞬時にチェック。
• 向いているユーザー： 今すぐサイトがマルウェアに感染していないか、Googleから警告されていないかを確認したい方。

3. Site-Checker / Mozilla Observatory（HTTPヘッダー・SSL診断）

Mozilla Observatoryは、Web標準を推進するMozillaが提供するセキュリティ構成診断ツールです。Webサイトとブラウザ間の通信設定やセキュリティレスポンスヘッダーの強度を詳細にスコアリング（A+〜F判定）します。

• 診断タイプ： 通信・HTTPヘッダー診断（URL入力型）
• 特徴： HSTS（常時SSL化の強制）、Content-Security-Policy（CSP）、X-Frame-Optionsなどの設定を厳格に評価し、クリックジャッキングやXSSを防ぐ設定の漏れを可視化。
• 向いているユーザー： 常時SSL化の通信安全性やブラウザ保護ヘッダーの設定状況を厳格に監査したいWeb担当者。

4. Wordfence Security プラグインスキャナー

Wordfence Securityは、世界で数百万サイトに利用されている定番のWordPressセキュリティプラグインです。内部にインストールしてスキャンを実行します。

• 診断タイプ： プラグイン（WordPress内部スキャン）
• 特徴： WordPress公式リポジトリにあるコアファイル・プラグインファイルと自社サーバー上のファイルを照合し、不正に書き換えられた行（ハッシュ値の不一致）を特定。外部スキャナーでは見えないサーバー内部のファイル構造やバックドアコードを検出。
• 向いているユーザー： サーバー内部のファイル改ざんやバックドアの有無を根本から徹底調査したい方。

5. MozCheck（安心セキュリティ診断サービス）

MozCheckは、WordPressサイトに特化した安心・総合健康診断サービスです。複雑な設定やプラグインのインストールは一切不要で、サイトのURLを入力するだけで即座に多角的な診断を実行できます。

• 診断タイプ： オンライン総合スキャナー（URL入力型）
• 完全無料・インストール不要： サイトに負荷をかけず、URLを入力するだけで数分で診断結果を表示。
• セキュリティ＋SEO＋表示速度の一括チェック： セキュリティの基本設定（HTTPS、REST API露出、バージョン保護など）だけでなく、Core Web Vitalsなどの表示速度やSEO構造も同時に診断。
• 分かりやすい日本語スコアと改善ガイド： 英語の難解な専門用語ではなく、Web担当者やサイト管理者が「どこをどのように修正すべきか」を直感的に理解できる日本語レポートを提供。
• 向いているユーザー： 専門知識に不安があるWeb担当者、サイトの安全度と表示パフォーマンスをまとめて把握したい事業者。

【比較表】おすすめ無料セキュリティ診断ツールの特徴まとめ

ツール名	診断方式	主な診断対象	インストール	特徴・強み	おすすめ対象
MozCheck	オンライン（URL入力）	セキュリティ・SSL・SEO・速度	不要	日本語対応・総合健康度スコア・改善策提示	Web担当者・中小企業・オウンドメディア
Sucuri SiteCheck	オンライン（URL入力）	マルウェア・ブラックリスト	不要	即時スキャン・外部感染の検知	緊急の感染チェック・安全確認
WPScan	外部スキャン / CLI	本体/プラグイン/テーマの脆弱性	不要（CLIは要環境）	膨大な脆弱性DB（CVE）照合	開発者・プラグイン脆弱性の詳細調査
Mozilla Observatory	オンライン（URL入力）	HTTPヘッダー・通信暗号化	不要	通信設定のA〜F評価・厳格なヘッダー診断	セキュリティ強度・通信保護の監査
Wordfence Security	WordPressプラグイン	内部ファイル改ざん・WAF	要	公式ファイル照合・内部バックドア検知	徹底的な内部スキャン・常時防御

セキュリティ診断でよく検出される警告項目とその対策

無料ツールで診断を実施した際、多くのサイトで共通して検出される「3大警告項目」があります。それぞれの警告の意味と、具体的な解決手順を解説します。

1. コア/プラグイン/テーマのバージョン放置

【警告の内容】
「WordPressのバージョンが最新ではありません」「〇〇プラグインに既知の脆弱性が見つかりました」という警告です。WordPressへの攻撃の9割以上は、既知の脆弱性が公表された後にアップデートを怠っているサイトを狙って行われます。

【対策手順】

1. バックアップの取得： 万が一更新後に表示崩れやエラーが発生した際に元に戻せるよう、必ずデータベースとファイル群のバックアップを取得します（WordPressバックアップ手順参照）。
2. マイナーバージョンの自動更新： セキュリティ修正を含むマイナーアップデートは、管理画面または wp-config.php で自動更新を有効化しておきます（wp-config.php設定完全マニュアル参照）。
3. 不要なプラグイン・テーマの完全削除： 停止中（無効化）のプラグインやテーマであっても、サーバー上にファイルが存在するだけで脆弱性を悪用されるリスクがあります。使用していないものは「無効化」だけでなく「完全削除」してください。

2. 脆弱性のある古いPHPバージョンの使用

【警告の内容】
「サーバーのPHPバージョンがサポート期限切れ（EOL）です」「安全でないPHPバージョンが検出されました」という警告です。PHPはセキュリティサポート期間（通常リリースから2〜3年）が終了すると、新たな脆弱性が発見されても公式パッチが提供されなくなります。

【対策手順】

1. 現在のPHPバージョンの確認： WordPress管理画面の「ツール」→「サイトヘルス」→「情報」タブの「サーバー」項目から、現在稼働しているPHPバージョンを確認します。
2. テーマ・プラグインの互換性チェック： PHPバージョンを一気に引き上げると、古いプラグインが原因で画面が真っ白（500エラー）になる場合があります。プラグインが推奨PHP環境に対応しているか事前に確認します。
3. サーバー管理画面からのバージョンアップ： お使いのレンタルサーバー（エックスサーバー、ConoHa WING、さくらのレンタルサーバ等）のコントロールパネルから、公式サポートが継続している安定バージョン（PHP 8.1以上、推奨はPHP 8.2〜8.3系列）に切り替えます。

3. ユーザー名「admin」の放置とREST API経由のユーザー名露出

【警告の内容】
「初期ユーザー名adminが存在します」「REST APIからログインID（ユーザー名）が取得可能です」という警告です。攻撃者はログインIDとパスワードの組み合わせを総当たりで試す「ブルートフォース攻撃」を行います。ユーザー名が外部に漏れていると、パスワードを推測するだけで侵入されてしまいます。

【対策手順】

1. 「admin」アカウントの廃止： 新規に管理者権限を持つ複雑なユーザー名を作成し、すべての投稿を新アカウントに紐付けた上で、初期の「admin」アカウントを完全に削除します。
2. 著者アーカイブ（/?author=1）のリダイレクト： ブラウザのアドレスバーに https://example.com/?author=1 と入力した際、https://example.com/author/ユーザー名/ にリダイレクトされてログインIDが露出する仕様を防ぎます。
3. REST API経由のエンドポイント制限： /wp-json/wp/v2/users にアクセスすると登録ユーザー一覧がJSON形式で出力されます。セキュリティプラグイン（SiteGuard WP PluginやWordfence）を導入するか、functions.phpで未認証ユーザーへのユーザーエンドポイントアクセスを制限します（詳しい設定方法はWordPressのユーザー名を隠す完全ガイドを参照）。

診断結果に基づくセキュリティ対策の優先順位と改善アクション

診断を実施した後は、検出されたすべての項目を一度に直そうとしてサイトを停止させてしまわないよう、「緊急度と影響度に応じた段階的なロードマップ」で対処を進めましょう。

【フェーズ1：緊急対応（即日実施）】重大な脆弱性・マルウェアの排除と認証強化

• マルウェア駆除： スキャナーで悪意のあるコードや不正リダイレクトが検出された場合は、直ちにサイトをメンテナンスモードにし、感染ファイルの特定とバックドア駆除を行います（WordPressマルウェア駆除手順参照）。
• 全管理者パスワードの変更： 16文字以上の英数記号が混在した強固なパスワードに変更します。
• 二要素認証（2FA）の導入： ログイン画面にワンタイムパスワードなどの多要素認証を設定し、パスワード漏洩時の不正ログインを遮断します。
• ユーザー名の非公開化： admin の削除とREST API/著者アーカイブ経由のID漏洩を即座にブロックします。

【フェーズ2：短期対策（1週間以内）】環境アップデートと不要アセットの削除

• バックアップを取得した上での更新： WordPress本体、全プラグイン、テーマを最新版へアップデートします。
• 放置プラグインの整理： 1年以上更新されていないプラグインや使っていないテーマを完全アンインストールします。
• PHPの推奨バージョン移行： サーバーパネルからサポート対象のPHPバージョンへ移行します。
• 適切なファイルパーミッションの設定： ディレクトリは 755、ファイルは 644、wp-config.php は 600 または 400 に設定します（推奨パーミッション設定ガイド参照）。

【フェーズ3：継続運用（月次〜四半期）】定期バックアップと継続診断体制の構築

• 3-2-1バックアップルールの徹底： データは3つのコピーを持ち、2つの異なるメディアに保存し、1つはオフサイト（クラウドストレージ等）に保管します。
• 定期診断スケジュールの策定： 最低でも月に1回、オンラインスキャナーで異常がないかを定期チェックします。

プロによる定期監視・診断なら「MozCheck」におまかせ（サービス紹介・CTA）

URLを入力するだけ！MozCheckの無料診断でサイトの健康度をチェック

「自社のWordPressサイトのセキュリティ状態が今どうなっているのか知りたい」「専門知識がないので、何を優先して直すべきか分からない」という方は、まずはMozCheckの無料診断をお試しください。

• 登録・ログイン不要： サイトのURLを入力するだけで、わずか数分で診断が完了します。
• 総合健康度スコア： セキュリティ設定の不備、SSL暗号化通信の健全性、ページの表示速度、SEOの基本構造を100点満点で分かりやすく可視化します。
• 具体的な日本語改善アドバイス： 専門用語を噛み砕き、Web担当者がすぐに行動できる具体的な改善手順を提案します。

自社サイトが攻撃者の標的になって大きな損失を被る前に、今すぐサイトの安全性をチェックしておきましょう。

継続的な保守・脆弱性監視でトラブルを未然に防止

WordPressのセキュリティは、一度診断して終わりではありません。日々新しい脆弱性が報告され、プラグインのアップデートやサーバー環境の変化が常に発生します。

「社内に専任のエンジニアがいない」「日々の更新やセキュリティ監視に手が回らない」という企業様には、プロによる定期監視・保守代行サービスの活用もおすすめです（WordPress監視・保守代行サービスの選び方も併せてご覧ください）。

自社サイトの資産と信頼を守る第一歩として、まずはMozCheckで無料診断を実施してみましょう。