WordPress運用で最低限やっておきたい設定まとめ｜管理画面・サーバー・ファイル

WordPressの運用にあたり、管理画面・サーバー・ファイル・自作テーマなど、確認・設定しておきたい項目をまとめました。

WordPressの管理画面で確認すること

管理画面では、本体・プラグインの更新、不要なプラグインやユーザー、コメントまわりの設定を確認します。

ダッシュボード＞更新

✅ WordPress本体が最新になっている

✅ プラグインが最新になっている（更新リストが出ていない）

✅ テーマが最新になっている（更新リストが出ていない）

WordPress本体の更新は、「メンテナンスリリースとセキュリティリリースのみ」または「新しいバージョンごと」のどちらかが設定されています。それぞれにメリットデメリットがあります。

	メンテナンス・セキュリティリリースのみ	新しいバージョンごと
更新方法	小規模アップデートは自動、大型アップデートは自分で更新ボタンを押す	自動で更新
更新のタイミング	バックアップ後など、自分で選べる	自動なので選べない
更新漏れ	更新を忘れると古いままになる	常に最新に保たれる

プラグイン＞インストール済み

✅ 使っていないプラグイン・配布停止になったプラグインがない（有効化されているプラグインのみが表示）

✅ ページ上部の「すべて｜使用中｜自動更新無効」の並びに、「使用必須」が出ていない（または自分で設置したものが表示されている）

※「使用必須」は、wp-content/mu-plugins/配下にPHPファイルが置かれたときに表示されます。ここに出たプラグインは自動で動き、管理画面から操作できません。身に覚えがないものが出ていないか確認します。

✅ 左メニューの「プラグイン」に「プラグインファイルエディター」のリンクがない（管理画面から編集させない）

※wp-config.phpで、DISALLOW_FILE_EDITをtrueで指定します。

ユーザー＞ユーザー一覧

✅ 知らないユーザー・使っていないユーザーが登録されていない

✅ 管理者権限が必要ないユーザーは投稿者や編集者になっている

✅ 各ユーザーのログインパスワードが強いものになっている

✅ 各ユーザーの「ニックネーム」と「ブログ上の表示名」が、ログイン名と違うものになっている

※ニックネームとブログ上の表示名は、初期状態ではユーザー名（＝ログイン名）と同じになリます。ここを変えないとログイン名が投稿者名として表示されてしまいます。

外観＞テーマ

✅ 左メニューの「外観」に「テーマファイルエディター」のリンクがない（管理画面から編集させない）

※wp-config.phpで、DISALLOW_FILE_EDITをtrueで指定します。

✅ 使っていないテーマがない（例えば使用中のテーマ＋WordPress公式テーマの2つだけになっている、など）

設定＞ディスカッション

コメント機能を使っていない場合は、以下を設定します。

チェックをはずすもの

投稿中からリンクしたすべてのブログへの通知を試みる
新しい投稿に対し他のブログからの通知（ピンバック・トラックバック）を受け付ける
新しい投稿へのコメントを許可する

チェックしておくもの（念のため）

古い投稿のコメントを自動的に閉じる（日数は「1」）
コメントの手動承認を必須にする

WordPressで使わない機能は停止して、常に最新に保ちます。

サーバーのコントロールパネルで確認すること

コントロールパネルでサーバー側の設定を確認します。

✅ PHPのバージョンがサポート中の番号になっている

※サポート中のバージョンはPHP 8.2〜8.5です（2026年10月28日時点）。このうち8.2と8.3は、セキュリティ修正だけを受ける期間に入っています。サポート期限はPHP公式のSupported Versionsで確認できます。PHP 8.2は2026年12月31日でサポートが終わります。

✅ PHPのエラーが画面に出ない設定になっている（display_errorsがオフ、php.ini設定）

✅ 国外からの管理画面へのアクセス制限がかかっている

✅ 使っていないサブドメイン・サブサイトがない

✅ 使っていないデータベースがない

✅ データベースのパスワードが強いものになっている

WordPress本体で設定できないことは、サーバーのコントロールパネルで行います。

ファイルマネージャーで確認すること

ファイルマネージャーでは、不要なファイルがないかなどを確認します。

✅ 古いファイルや使っていないフォルダがない（主に、wp-content/配下やルート直下など）

※例えば古いサイトマップやバックアップ用の_bakフォルダなど、不要なものは削除します。また、10年以上前から運営しているサイトではルート直下にwp-pass.phpがある場合があります。エラーが出ている可能性もあり、パスワード保護ページなどを使っていなければ削除します。

✅ wp-content/mu-plugins/があるか確認（中身がある場合は必要なものかどうか判断、フォルダがない場合はそのままでOK）

※wp-content/mu-plugins/配下にPHPファイルが置かれると、WordPress管理画面＞プラグイン一覧の「使用必須」に表示されます。身に覚えがないものがないか確認します。

✅ wp-content/plugins/配下のフォルダが、プラグイン一覧と一致している

✅ wp-content/uploads/配下に、PHPを実行させない.htaccessファイルを入れる

※uploads/は画像の置き場所ですが、不正なPHPファイルが紛れ込むと、そこから実行されるおそれがあります。.htaccessで、プログラムのファイルへのアクセスを拒否しておきます。ブラウザでhttps://（ドメイン）/wp-content/uploads/zz-test.phpを開き、403なら.htaccessが有効になっています（404なら有効になっていません）。

<FilesMatch "(?i)\.(php[0-9]?|phtml|phar|pl|py|cgi|sh)$">
  Require all denied
</FilesMatch>

✅ wp-config.phpで、DISALLOW_FILE_EDITをtrueで指定し、WordPress管理画面からテーマやプラグインのファイルの編集ができないようになっている

define( 'DISALLOW_FILE_EDIT', true );

ファイルの書き換えや削除は、必ずバックアップをとって慎重に行います。

テーマを自作している場合に確認すること

テーマを自作している場合は、テーマのファイルから余計な情報が出ていないかを確認します。

✅ style.cssに記載したAuthorがログイン名ではない

✅ 不要なコメントアウトが残っていない

✅ functions.phpで、ユーザーのサイトマップ/wp-sitemap-users-1.xmlを非表示にする

✅ functions.phpで、oEmbedの投稿者情報から、投稿者名・投稿者URLを削除している

※ユーザーのサイトマップやoEmbed（記事を他サイトに埋め込むための仕組み）は、初期設定のままだと投稿者ページのURLが外部から見えます。このURLにはログイン名をもとにした文字列が入っているため、ログイン名を推測されるおそれがあります。

特に、ログイン名が表示されてしまう箇所に注意します。

各プラグインの設定

プラグインは最小限にとどめ、使わないプラグインは削除するのが基本です。（無効化するだけではなく削除します）

私がよく使っているプラグインは、以下の2つです。

1）UpdraftPlus

UpdraftPlusはバックアップをとるプラグインです。

✅ UpdraftPlusが1.26.14以降になっている（2026年10月26日公開の版）

✅ バックアップが1〜2個だけ残っている（古いものは削除）

✅ 外部から操作できるUpdraftCentralのキーが0件になっている

※UpdraftPlusは、2026年10月18〜19日に、遠隔管理機能「UpdraftCentral」の接続キーが悪用され、接続していたサイトに不正なプラグインを入れられる被害が報告されました。UpdraftCentralを使っていない場合も、キーが作られていないか確認します。

※出典：Patchstack「Stolen UpdraftCentral Keys Are Backdooring WordPress Sites」（2026年10月19日）、WordPress.orgのUpdraftPlusの変更履歴。1.26.12以降では、被害の前に作られたUpdraftCentral Cloudのキーが無効化されます。

2）CloudSecure WP Security

CloudSecure WP Securityは、セキュリティ対策ができるプラグインで、エックスサーバー株式会社が配布しています。主に設定している項目は以下です。

✅ ログインエラーメッセージが統一されている（ログイン名とパスワードのどちらが違っても、同じメッセージが出る）

✅ ログインURLが変更されている（ログイン画面がwp-login.php以外のURLになっている）

✅ ログイン画面に画像認証や2段階認証が入っている

✅ XML-RPCが無効になっている（XML-RPCを使うアプリや外部サービスとは連携できなくなるので、必要に応じて）

✅ REST APIが無効になっている（ブロックエディターや一部のプラグインもREST APIを使うため、無効にする場合は投稿画面や各機能が動くかを確認する）

プラグインの種類によっては、サイトの表示や機能に不具合が出る場合もあるので、アップデート後は必ず表示や機能のテストを行います。

WordPress運用に特化したレンタルサーバーもある

WordPressのセキュリティが心配で、少しでも手間を減らしたい場合は、セキュリティ設定や更新の管理をサーバー側に任せる方法もあります。WordPress専用サーバーについてはXServer for WordPressにまとめています。

よくある質問（FAQ）

Q. レンタルサーバーのPHPの脆弱性は自分で対応する必要がある？

共用のレンタルサーバーでは、PHPはサーバー会社が管理しているため、修正もサーバー会社が行うのが一般的です。対応状況はサーバー会社のお知らせで確認できます。VPSやクラウドサーバーを使っている場合は、利用者自身がOSやPHPを管理するため、自分で修正版へ更新します。

Q. 不要ファイルの削除の仕方は？

不要ファイルやフォルダの削除について、いきなり実行するのが心配な場合は、バックアップを取る以外にも、ファイルやフォルダを一時的にリネームして無効化し、動作に支障がないか確認してから削除する、という方法もあります。リネームしてサイトが真っ白になったり不具合が出た場合でも、すぐに元に戻すことができます。