「CloudSecure WP Securityを入れたものの、設定項目が多くて何を有効にすればよいかわからない」と困っていませんか？
ログインURL変更や2段階認証は有効ですが、REST APIやXML-RPCを確認せず停止すると、連携機能が動かなくなることがあります。
CloudSecure WP Securityの設定は、すべてを一度に有効化するのではなく、ログイン防御から1項目ずつ進めるのが安全です。
変更するたびに別ブラウザでログインできることを確認すれば、自分まで管理画面へ入れなくなる事故を防げます。
よこやま良平ITエンジニアとして20年以上WordPressに携わってきたよこやま良平です。わたしの現場経験をもとに、CloudSecure WP Securityの初期設定と、ログインできなくなった時の戻し方を解説します。
- CloudSecure WP Securityで優先したい初期設定7つ
- ログインURL変更と2段階認証の安全な設定方法
- XML-RPC・REST API・WAFを有効にする際の注意点
- 設定後に自分がログインできるか確認する手順
- ログインURLを忘れた時や機能が停止した時の対処法
結論から言うと、最初はログイン無効化・ログインURL変更・2段階認証・画像認証を優先し、外部連携に影響する設定は後から確認するのが正解です。
この記事の順番で進め、設定変更のたびに動作を確かめてください。
こんなお悩みはありませんか？
- ある朝、サイトを開いたら真っ白画面になっていた
- 管理画面にログインできなくなって手が止まった
- 身に覚えのない記事やページが勝手に増えていた
- プラグインを更新したらサイト全体が崩れてしまった
- 以前バックアップを取ったか自分でも覚えていない
累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。
セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。
CloudSecure WP Securityとは？現在の主な機能
CloudSecure WP Securityは、WordPressのログイン画面と管理画面を中心に守る、国産・日本語対応のセキュリティプラグインです。
不正ログイン対策だけでなく、シンプルWAFや更新通知、サーバーエラー通知まで備えています。
2026年5月21日更新の公式マニュアルでは、バージョン1.4.10の機能として、Google Authenticatorとメール認証に対応した2段階認証、リカバリーコード、Cloudflare Turnstile対応などが案内されています。
- ログイン無効化、ログインURL変更、エラーメッセージ統一
- Google Authenticatorまたはメールによる2段階認証
- 画像認証、ユーザー名漏えい防止、XML-RPC無効化
- REST API無効化、管理画面アクセス制限
- 設定ファイルアクセス防止、シンプルWAF
- ログイン・アップデート・500エラーの通知と履歴確認
一方で、CloudSecure WP Securityはマルウェアを探して削除するスキャンプラグインではありません。
すでに改ざんや不正転送が起きている場合は、ログイン対策だけで「駆除できた」と判断しないでください。
CloudSecure WP Securityの動作環境を先に確認する
導入前には、サーバーとWordPressの動作環境を確認してください。
公式マニュアルでは、WordPress 5.3.15以降、PHP 7.1以降、MySQL 5.6以降が案内され、WordPressのマルチサイトには対応していません。
- WebサーバーはApache 2.xで動作確認されている
- ログインURL変更にはApacheのmod_rewriteが必要
- 画像認証にはPHPのGD拡張ライブラリが必要
- WordPressマルチサイトには対応していない
CloudSecure WP Securityのインストールと準備
CloudSecure WP Securityを有効化する前に、バックアップと管理者メールの受信確認を済ませてください。
設定を誤った場合でも、ファイルとデータベースを戻せる状態にしておくことが重要です。
- WordPress管理画面の「プラグイン」から「新規プラグインを追加」を開く
- 検索欄へ「CloudSecure WP Security」と入力する
- 提供元を確認して「今すぐインストール」を選ぶ
- インストール後に「有効化」を選ぶ
- 左メニューの「CloudSecure」からダッシュボードを開く
有効化後はダッシュボードで保護状態を見る
有効化すると、CloudSecureのダッシュボードで機能ごとの有効・無効を確認できます。
最初から一括で変更せず、現在の状態をスクリーンショットで残してから設定を始めてください。
CloudSecure WP Securityの初期設定7選
CloudSecure WP Securityの初期設定では、ログインを守る機能から優先し、サイトの外部連携に影響する制限機能は後から試してください。
次の7項目を上から順番に設定すると、原因を切り分けやすくなります。
- ログイン無効化
- ログインURL変更
- ログインエラーメッセージ統一とユーザー名漏えい防止
- 2段階認証とリカバリーコード
- 画像認証追加
- XML-RPC・REST API・管理画面アクセス制限
- 設定ファイル保護・シンプルWAF・通知機能
設定1：ログイン無効化で総当たり攻撃を止める
最初に設定したいのは、一定期間にログインを繰り返し失敗した接続元を一時的にブロックする「ログイン無効化」です。
ブルートフォース攻撃やパスワードリスト攻撃の回数を減らせます。
失敗回数を厳しくしすぎると、自分の入力ミスでもログインできなくなります。
企業や学校など同じプロキシを使う環境では、複数人が同じ接続元IPとして判定される点にも注意してください。
設定2：ログインURL変更後に必ず保存する
ログインURL変更は、公開されているwp-login.phpを推測されにくいURLへ変える機能です。
設定できる文字は半角英小文字・数字・ハイフン・アンダースコアで、4文字以上12文字以下です。
変更後のURLはブックマークし、管理者メールに届く通知も保管してください。
/wp-admin/から変更後URLへのリダイレクトを止めたい場合は、専用設定または管理画面アクセス制限を併用します。
- 推測しやすいlogin、admin、会社名だけの文字列を避ける
- 設定保存後に別ブラウザで新しいURLを開く
- 正常にログインできるまで元の管理画面を閉じない
- メール通知とブックマークの両方にURLを残す
設定3：ログインエラー統一とユーザー名漏えい防止を有効にする
ログインエラーメッセージ統一は、ユーザー名・パスワード・画像認証のどれを間違えても同じエラーを表示します。
攻撃者へ「このユーザー名は存在する」といったヒントを与えにくくできます。
ユーザー名漏えい防止は、?author=数字のアクセスなどからログインIDを推測されるリスクを下げる機能です。
通常のブログやコーポレートサイトでは、どちらも優先して有効化できます。
設定4：2段階認証とリカバリーコードを設定する
2段階認証は、パスワードが漏えいした場合にも第三者のログインを防ぐため、管理者アカウントで特に優先したい設定です。
CloudSecure WP Securityでは、Google Authenticatorまたはメール認証を選べます。
機能を有効にするだけでは完了ではありません。
適用する権限グループを選んだ後、各ユーザーが「2段階認証の設定」から認証方法を登録し、表示されたリカバリーコードを安全な場所へ保管します。
- 管理者など適用する権限グループを選択した
- 各ユーザーが認証アプリまたはメール認証を設定した
- 6桁の認証コードでログインできることを確認した
- リカバリーコードをWordPress外へ安全に保管した
設定5：画像認証を必要なフォームへ追加する
画像認証は、自動化されたボットによるログイン試行やコメントスパムを減らす機能です。
ログインフォーム、コメント、パスワードリセット、ユーザー登録フォームへ設定できます。
まずログインとパスワードリセットで確認し、コメントや会員登録を使っている場合は対象を広げてください。
画像認証にはPHPのGD拡張が必要なため、画像が出ない時はサーバー環境を確認します。
設定6：XML-RPC・REST API・管理画面アクセス制限は動作確認しながら使う
XML-RPC無効化、REST API無効化、管理画面アクセス制限は防御効果がありますが、利用中の機能へ影響しやすい設定です。
「安全そうだから」と一括で有効にせず、サイトの連携状況を確認してください。
- WordPressスマホアプリやXML-RPCを使う外部投稿ツール
- JetpackなどXML-RPCへ依存するプラグイン
- ブロックエディター、問い合わせ、会員・EC機能のREST API通信
- wp-admin配下へアクセスする決済・予約・管理系プラグイン
設定後に投稿編集やフォーム送信が失敗した場合は、直前に有効化した制限をいったん戻して原因を切り分けます。
管理画面アクセス制限には除外パスを設定できるため、必要なURLがわかる場合は例外登録を検討してください。
設定7：設定ファイル保護・シンプルWAF・通知を有効にする
最後に、設定ファイルアクセス防止、シンプルWAF、ログイン通知、アップデート通知、サーバーエラー通知を確認します。
攻撃を減らす設定と、異常に早く気づく設定を組み合わせることが大切です。
シンプルWAFは、SQLインジェクションやクロスサイトスクリプティングなど一般的な攻撃を遮断する基本機能です。
すでにサーバー側WAFや別のセキュリティプラグインを使っている場合は、誤検知や重複を確認しながら有効化してください。
CloudSecure WP Security設定後の動作確認
CloudSecure WP Securityの設定は、スイッチが「有効」になっただけでは完了ではありません。
公開ページ、ログイン、投稿編集、フォーム、外部連携が正常に動くことまで確認して完了です。
- 新しいログインURLをシークレットウィンドウで開ける
- 管理者が2段階認証でログインできる
- ログイン通知メールが届く
- 投稿の編集・保存・公開ができる
- 問い合わせ・会員登録・購入など主要フォームが動く
- スマホアプリやJetpackなど必要な外部連携が動く
- CloudSecureダッシュボードに意図した保護状態が表示される
問題が起きた場合は、一度に複数の設定を戻さず、最後に変更した機能から1つずつ無効化します。
この順番なら、どの機能が影響したのかを特定できます。
CloudSecure WP Securityでログインできない時の対処法
CloudSecure WP Securityの設定後にログインできない場合は、すぐにプラグインを削除せず、変更後URL・アクセス制限・2段階認証を順番に確認してください。
公式FAQには、ログインURLを確認する方法と最終手段が案内されています。
変更後のログインURLをメールと.htaccessで確認する
まず、管理者メールに届いた「ログインURL変更」の通知を探します。
サイトにログインリンクが表示されている場合は、そのリンクから変更後URLへ移動できることもあります。
それでも不明な場合は、WordPress設置ディレクトリの.htaccessにあるCloudSecureの記述を確認します。
次のxxxxxx部分が、変更後のログインページ名です。
RewriteRule ^xxxxxx(.*)$ wp-login.php$1 [L]管理画面アクセス制限と2段階認証を確認する
管理画面アクセス制限が有効な状態では、未ログインの接続元から/wp-admin/へアクセスすると404になることがあります。
正しい変更後ログインURLを直接開き、2段階認証コードまたは保管したリカバリーコードを使ってください。
メール認証コードが届かない時は、迷惑メールフォルダを確認し、再送信を試します。
認証アプリを使える別の管理者や、リカバリーコードがある場合は、そちらでログインして設定を見直してください。
最終手段では.htaccessとcloudsecureフォルダを扱う
プラグインが原因で完全にログインできない場合、公式FAQでは.htaccessのCloudSecure設定部分を削除し、/wp-content/plugins/cloudsecureディレクトリを削除する方法が案内されています。
- .htaccessとcloudsecureフォルダを必ずバックアップする
- # BEGIN CloudSecure WP Security Settingsから# ENDまでの範囲だけを確認する
- 別プラグインやWordPress本体の記述を削除しない
- 作業に自信がない場合はサーバー会社または専門家へ相談する
フォルダ名や手順はバージョンで変わる可能性があるため、実行前に必ず最新の公式FAQを確認してください。
バックアップなしで.htaccess全体を削除すると、サイト表示まで壊れる危険があります。
CloudSecure WP Securityと他のプラグインの使い分け
CloudSecure WP Securityはログイン・管理画面の防御に強い一方、マルウェアスキャンや感染ファイルの駆除を行うものではありません。
必要な役割を分けて、機能が重複しすぎない構成にしてください。
マルウェア検査が必要ならWordfenceなどを使う
不審なファイルをスキャンしたい場合は、Wordfenceなど検査機能を持つプラグインが必要です。
ただし、スキャン結果は候補であり、検出されたファイルを確認せず削除してはいけません。
SiteGuardなど同種プラグインとの併用を避ける
SiteGuardなど、ログインURL変更・アクセス制限・画像認証が重複するプラグインを同時に有効化すると、ログイン経路がわかりにくくなります。
同じ役割のプラグインは原則として1つに絞り、移行時は片方ずつ動作を確認してください。
脆弱性対策は更新と不要プラグイン整理も必要
ログイン防御を強化しても、古いWordPress本体・テーマ・プラグインに脆弱性が残れば安全とは言えません。
アップデート通知を活用し、不要なプラグインは停止だけでなく削除してください。
CloudSecure WP Securityのよくある質問
CloudSecure WP Securityの初期設定で迷いやすい点を、よくある質問として整理します。
設定画面や仕様が変わった場合は、公式マニュアルの最新版も確認してください。
CloudSecure WP Securityの初期設定まとめ
CloudSecure WP Securityは、ログイン無効化、ログインURL変更、2段階認証、画像認証などを日本語で設定できるセキュリティプラグインです。
最初はログイン防御から始め、制限機能はサイトの連携を確認しながら追加してください。
- 導入前にバックアップ・管理者メール・動作環境を確認する
- ログイン無効化とログインURL変更から設定する
- 2段階認証は各ユーザーが設定し、リカバリーコードを保管する
- XML-RPC・REST API・WAFは1つずつ動作確認する
- 設定後は別ブラウザでログインと主要機能を確認する
- マルウェア感染はCloudSecureだけで駆除できない
セキュリティ設定は、有効化した数ではなく「必要な機能が正常に動き、異常へ早く気づける状態」を作ることが目的です。
設定変更の記録とバックアップを残し、定期的にダッシュボードと通知を確認しましょう。
CloudSecure WP Security設定後も不正アクセスが続く時は
CloudSecure WP Securityを設定しても、不審な管理者・改ざんファイル・バックドアが残っていると被害は続きます。
ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、クイックレスキューへご相談ください。
- セキュリティプラグインを入れても不正ログインが続いている
- ログインURL変更後に管理画面へ入れなくなった
- サイトが改ざんされ、知らないページや管理者が増えている
- マルウェアを完全に駆除できたか判断できない
- 自分で設定を戻すとサイトが壊れそうで不安
- 万一復旧できない場合やマルウェア駆除できない場合は全額返金保証で安心
- 90日間再感染保証・動作保証で安心
- 初期費用・調査費用0円で安心
