All In One WP Securityの設定方法【初心者でも今日からできる対策】

「All In One WP Securityをインストールしたけど、設定項目が多すぎてどこから手をつければいいかわからない」「セキュリティスコアって何？どうすれば上がるの？」と感じていませんか？

All In One WP Security & Firewall（以下、AIOS）は、セキュリティスコアでサイトの安全度を「見える化」してくれる総合型WordPressセキュリティプラグインです。無料で使える機能が豊富で、世界中で100万以上のサイトに導入されています。

この記事では、AIOSのインストールから重要な設定まで、スクリーンショットをまじえて順番にわかりやすく解説します。

All In One WP Securityとは？特徴と主な機能

All In One WP Security & Firewall（AIOS）は、WordPressのセキュリティ対策を総合的に管理できる無料プラグインです。設定の難しさに応じて「基本」「中級」「上級」に分類されており、初心者でも段階的に設定できるよう設計されています。

最大の特徴は「セキュリティスコア」機能です。設定を有効にするごとにスコアが上がり、サイトの安全度が視覚的にわかります。何をどれだけ設定すればいいかがひと目でわかるため、初心者でも安心して使えます。

All In One WP Securityのインストール手順

AIOSはWordPress公式ディレクトリで配布されているため、管理画面から直接インストールできます。

AIOSの設定画面の見方

有効化が完了すると、管理画面の左メニューに「WP Security」という項目が追加されます。

セキュリティスコアの見方と目標値

AIOSのダッシュボードには「セキュリティスコア」が大きく表示されます。現在の設定状況に応じて0～500点でスコアが表示され、各設定を有効にするごとに点数が加算されます。

この記事の設定をすべて完了することで、300点以上を達成できます。まずは300点超えを目標に設定を進めましょう。

ユーザーアカウントの設定

管理画面の「WP Security」→「ユーザーアカウント」から設定します。WordPressの管理者ユーザー名に関するセキュリティを強化します。

管理者ユーザー名の確認

WordPressインストール時にユーザー名を「admin」にしてしまっている場合、攻撃者にとって最も狙われやすい状態です。AIOSはユーザー名が「admin」かどうかを自動でチェックし、変更を推奨してくれます。

表示名の設定

WordPressは記事の投稿者名や著者ページでユーザー名が表示されることがあります。ユーザー名と表示名が同じだと、ユーザー名が外部に漏れてしまいます。表示名をニックネームなどに変更しておきましょう。

ユーザーログインの設定

「WP Security」→「ユーザーログイン」から設定します。ログインに関するセキュリティ強化を行います。

ログインロックダウンの設定

一定回数以上ログインに失敗したIPアドレスを自動的にブロックする機能です。ブルートフォース攻撃（総当たり攻撃）を防ぐ最重要設定のひとつです。

ログインページURLの変更

WordPressのデフォルトのログインURLは「サイトURL/wp-admin/」または「サイトURL/wp-login.php」です。これを別のURLに変更することで、攻撃者がログインページを見つけにくくなります。

CAPTCHA（画像認証）の設定

ログインページにCAPTCHAを追加することで、自動ツール（ボット）によるログイン攻撃を大幅に減らせます。

データベースセキュリティの設定

「WP Security」→「データベースセキュリティ」から設定します。WordPressのデータベーステーブル名のプレフィックス（接頭辞）を変更することで、SQLインジェクション攻撃を防ことができます。

WordPressのデフォルトのプレフィックスは「wp_」です。攻撃者はこのデフォルト値を知っているため、変更することでセキュリティが向上します。

ファイルシステムセキュリティの設定

「WP Security」→「ファイルシステムセキュリティ」から設定します。WordPressの重要ファイルのパーミッション（アクセス権限）を確認・修正します。

パーミッションが適切でないと、不正なアクセスでファイルが改ざんされるリスクがあります。AIOSは各ファイルのパーミッションが推奨値かどうかを自動チェックしてくれます。

PHPファイル編集の無効化

WordPressの管理画面から直接PHPファイルを編集できる機能を無効化します。攻撃者が管理画面に侵入した際に、この機能を使ってマルウェアを仕込まれるリスクを防います。

「ファイルシステムセキュリティ」→「WordPressファイル編集」タブで「WordPressダッシュボードからPHPファイルの編集を無効化」にチェックを入れて保存します。

ファイアウォールの設定

「WP Security」→「ファイアウォール」から設定します。AIOSのファイアウォールは.htaccessファイルを書き換えることで動作する基本的なファイアウォールです。

基本ファイアウォールルールの有効化

JetpackプラグインはXMLRPCを使用しているため、Jetpackを使っている場合は「XMLRPC機能を完全にブロック」ではなく「XMLRPC経由のWordPress Pingbackを無効化」を選択してください。

追加ファイアウォールルールの設定

「ファイアウォール」→「追加ファイアウォールルール」タブでは、より細かいセキュリティルールを設定できます。以下の項目を有効にすることをおすすめします。

スパム対策の設定

コメントを許可しているサイトは、スパムボットによる大量のコメント投稿に悩まされることがあります。AIOSのスパム対策機能でこれを防ぎましょう。

設定後のセキュリティスコア確認

この記事で紹介した設定をすべて完了したら、AIOSのダッシュボードでセキュリティスコアを確認しましょう。スコアが300点以上になっていれば、基本的なセキュリティ対策が完了しています。

AIOSと他のプラグインの組み合わせ

AIOSは総合型プラグインですが、無料版にはマルウェアスキャン機能がありません。より完全なセキュリティ対策のために以下の組み合わせをおすすめします。

AIOSのファイアウォールを有効にしたらサイトが表示されなくなりました

ファイアウォールの設定が既存のプラグインやテーマと競合した可能性があります。FTPで wp-content/plugins/ フォルダにある「all-in-one-wp-security-and-firewall」フォルダをリネームしてプラグインを無効化してください。サイトが表示されるようになったら、ファイアウォールの各設定を一つずつ有効にして原因を特定してください。

セキュリティスコアが上がりません

設定を保存したあと、ページを更新（リロード）してください。スコアはページを再読み込みしないと更新されない場合があります。また、各設定の「設定を保存」ボタンをクリックしてから確認してください。

ログインURLを変更したらログインできなくなりました

FTPで wp-content/plugins/ フォルダにある「all-in-one-wp-security-and-firewall」フォルダを「all-in-one-wp-security-and-firewall_old」にリネームしてプラグインを無効化してください。元のURL（/wp-login.php）が復活します。ログイン後にフォルダ名を戻し、新しいURLをブックマークし直しましょう。

SiteGuardとAIOSを両方使っても大丈夫ですか？

どちらもログインURL変更機能を持つため、両方を同時に有効にするURLが二重に変更されて混乱する可能性があります。機能が重複するため、どちらか一方を選ぶことをおすすめします。総合的な設定の可視化を重視するならAIOS、シンプルなログイン保護ならSiteGuardが向いています。

All In One WP Securityの使い方まとめ

All In One WP Securityは、セキュリティスコアでサイトの安全度を見える化しながら、段階的に設定を強化できる初心者にやさしいプラグインです。

マルウェアのスキャンが必要な場合はWordfenceと組み合わせ、定期バックアップにはUpdraftPlusを活用することで、万全のセキュリティ体制を整えられます。

ホームページの乗っ取りが自分で解決できない時は

ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。

こんなお悩みなら最短30分ですぐに解決します！
いまなら期間限定で3つの安心保証