海外IPからの不正アクセスをWordPressで遮断する3つの方法

「アクセスログに見覚えのない海外のIPアドレスが大量に並んでいる」「ログイン試行の通知が海外からばかり来る」と悩んでいませんか？

WordPressは世界中で使われているCMSのため、日本語サイトであっても海外からの不正アクセスは日常的に発生します。放置するとサーバーに負荷がかかり、最悪の場合はサイトを乗っ取られるリスクもあります。

でも安心してください。海外IPからの不正アクセスを遮断する方法は大きく3つあり、それぞれ難易度と効果が異なります。自分のサイト環境に合った方法を選べば、今日中に対策を完了できます。

よこやま良平

ITエンジニアとして20年以上WordPressに携わってきたよこやま良平です。多数のサイトのセキュリティ強化・復旧を手がけてきたわたしが、現場で使っている3つの遮断方法をわかりやすく解説します。

3つの方法はそれぞれ「手軽さ」「確実性」「細かさ」に違いがあります。この記事を読めば、自分のサイトにどの方法が合っているかを判断できるようになります。

まずは不正アクセスの仕組みと、なぜ海外IPが多いのかを理解するところから始めましょう。

【無料プレゼント】
WordPress緊急チェック50

「自分のサイトは今、安全なのか？」
自信を持って答えられますか？

こんなお悩みはありませんか？

• ある朝、サイトを開いたら真っ白画面になっていた
• 管理画面にログインできなくなって手が止まった
• 身に覚えのない記事やページが勝手に増えていた
• プラグインを更新したらサイト全体が崩れてしまった
• 以前バックアップを取ったか自分でも覚えていない

累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。

セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。

今すぐ無料ダウンロードする →

※登録後すぐにメールで特典をお届けします

海外IPからの不正アクセスがWordPressに多い理由

海外からの不正アクセスが多い根本的な理由は、WordPressが世界シェアNo.1のCMSであることです。攻撃者は自動化ツールを使って無差別にIPをスキャンし、WordPressサイトを見つけ次第アタックを仕掛けてきます。

攻撃者が海外から狙う主な理由

攻撃が海外からが多い背景には、主に2つの理由があります。
1つは、海外では日本の法律が及ばないため追跡が難しいこと。もう1つは、ボットネット（感染したPCの集合体）を使った攻撃は物理的な場所を問わず実行できるからです。

日本語サイトは海外からの正当なアクセスがほぼない

日本語のみのサイトであれば、海外からの正規ユーザーのアクセスはほぼゼロと考えてよいです。
つまり「海外IPをブロックする＝正規ユーザーを誤ってブロックするリスクがほぼない」ということになります。

日本語サイトにとって、海外IP遮断は非常に合理的な対策です。次のセクションから3つの具体的な方法を解説します。

方法①：.htaccessで海外IPをブロックする

.htaccessを使った遮断は、サーバーが直接リクエストを拒否する最も確実な方法です。プラグインの影響を受けず、WordPressが起動する前に処理されるため、サーバー負荷も最小限に抑えられます。

特定のIPアドレスを1件ずつブロックする

不正アクセスのIPが特定できている場合は、そのIPを直接拒否するのが最もシンプルな方法です。
サイト直下の .htaccess に以下を追記してください。

.htaccess の編集前に必ずバックアップを取ってください。記述ミスでサイトへのアクセスが全停止することがあります。

# 特定IPをブロック（1件ずつ指定する場合）
<RequireAll>
  Require all granted
  Require not ip 123.45.67.89
  Require not ip 98.76.54.0/24
</RequireAll>

IPアドレスは1行に1つ記述します。サブネット（/24など）を使えばIPの範囲ごとブロックすることも可能です。
不正アクセスのIPはWordfenceやサーバーのアクセスログから確認できます。

wp-login.phpを日本IPのみ許可する

個別IPの指定よりもっと強力なのが、管理画面（wp-login.php）へのアクセスを日本のIPアドレスだけに絞る方法です。これにより、日本国外からのログイン試行をサーバーレベルで完全にシャットアウトできます。

# wp-login.php を日本IPのみ許可
<Files "wp-login.php">
  Order deny,allow
  Deny from all
  Allow from 1.0.0.0/8
  Allow from 14.0.0.0/8
  Allow from 27.0.0.0/8
  Allow from 36.0.0.0/8
  Allow from 49.0.0.0/8
  Allow from 60.0.0.0/8
  Allow from 61.0.0.0/8
  Allow from 103.0.0.0/8
  Allow from 106.0.0.0/8
  Allow from 110.0.0.0/8
  Allow from 111.0.0.0/8
  Allow from 112.0.0.0/8
  Allow from 113.0.0.0/8
  Allow from 114.0.0.0/8
  Allow from 115.0.0.0/8
  Allow from 116.0.0.0/8
  Allow from 117.0.0.0/8
  Allow from 118.0.0.0/8
  Allow from 119.0.0.0/8
  Allow from 120.0.0.0/8
  Allow from 122.0.0.0/8
  Allow from 123.0.0.0/8
  Allow from 124.0.0.0/8
  Allow from 125.0.0.0/8
  Allow from 126.0.0.0/8
  Allow from 153.0.0.0/8
  Allow from 163.0.0.0/8
  Allow from 175.0.0.0/8
  Allow from 180.0.0.0/8
  Allow from 182.0.0.0/8
  Allow from 183.0.0.0/8
  Allow from 202.0.0.0/8
  Allow from 203.0.0.0/8
  Allow from 210.0.0.0/8
  Allow from 211.0.0.0/8
  Allow from 219.0.0.0/8
  Allow from 220.0.0.0/8
  Allow from 221.0.0.0/8
  Allow from 222.0.0.0/8
  Allow from 223.0.0.0/8
</Files>

海外出張中にWordPress管理画面にアクセスする必要がある場合は、出張先のIPアドレスを「Allow from」に追加しておきましょう。

方法②：セキュリティプラグインで海外IPを自動遮断する

.htaccessの編集が不安な方や、リアルタイムで自動的にブロックしたい方にはセキュリティプラグインが最適です。不正なIPを自動検知してリストに追加してくれるため、管理の手間がほとんどかかりません。

クイックレスキュー365の不正ログインブロック機能

わたしが開発した無料プラグイン「クイックレスキュー365」は、海外からの不正ログイン対策に必要な機能を1つのプラグインにまとめています。インストール後すぐに有効化でき、設定も非常に簡単です。

ワドプロカレッジ

日本製セキュリティ対策で不正アクセスを遮断「クイックレスキュー365」無料ダウンロード Quick Rescue365の無料ダウンロードページ。WordPressの不正アクセス防止・ログイン保護・セキュリティ強化をまとめて実現できる日本製プラグインを提供しています。初心者…

Wordfenceで不正IPをリアルタイムブロック

Wordfence Securityは、不正アクセスをリアルタイムで検知・ブロックできる世界的に有名なセキュリティプラグインです。無料版でも十分な機能があり、IPブロックや国別制限にも対応しています。

Wordfenceには「Live Traffic」という機能もあり、リアルタイムでアクセスしているIPを確認しながら即座にブロックすることができます。不正アクセスのIPを見つけたらワンクリックでブロックリストに追加できるため、運用が非常に楽になります。

QuickRescue365プラグインで不正IPをWordpress到達前にブロック

IPアドレス拒否へ入力して保存するだけで、Wordpress到達前にブロックします。

方法③：サーバー設定で国別アクセスを制限する

レンタルサーバーのコントロールパネルを使えば、国単位でアクセスを制限できます。この方法はWordPress側の設定が不要で、サーバーレベルで処理されるため最も負荷が少なく確実です。

エックスサーバーのWordPressセキュリティ設定

エックスサーバーには管理画面から設定できる「WordPressセキュリティ設定」があり、
海外からのWP管理画面へのアクセスを制限できます。

エックスサーバー以外のレンタルサーバーでも、コントロールパネルに「国別アクセス制限」「海外アクセス制限」などの機能があることが多いです。ご利用のサーバーのヘルプページを確認してみましょう。

ConoHa WINGの国別IP制限

ConoHa WINGでも、コントロールパネルの「セキュリティ」メニューから国別のアクセス制限を設定できます。
国を選んでトグルをオンにするだけで設定が完了するため、サーバー知識がなくても簡単に使えます。

3つの方法を比較して自分に合ったものを選ぼう

3つの方法にはそれぞれ特徴があります。どれが自分のサイトに合っているかは、技術レベルとサーバー環境によって変わります。迷ったらプラグインから始めるのがおすすめです。

最も効果的なのは、.htaccessとプラグインの両方を組み合わせる方法です。
.htaccessでサーバーレベルの防御を固め、プラグインでリアルタイムの監視・ブロックを行う2段構えにすることで、より強固なセキュリティを実現できます。

海外IPをブロックするとGooglebotも遮断されてSEOに影響しますか？

管理画面（wp-login.php・wp-admin）のみを対象にしたブロックであればGooglebotには影響しません。フロントエンド（一般公開ページ）を海外IPからブロックすると、米国IPを使うGooglebotも遮断される可能性があります。記事ページは対象外にするのが基本です。

不正アクセスのIPをどこで確認すればいいですか？

サーバーのアクセスログ（access_log）またはWordfenceの「Live Traffic」機能で確認できます。wp-login.phpへの大量アクセスや403エラーが頻発しているIPが不正アクセスの疑いがあります。ログの見方はサーバー会社のサポートページにも記載されています。

自分のIPアドレスを誤ってブロックしてしまったら？

.htaccessの場合はFTPやサーバーのファイルマネージャーから.htaccessを直接編集して該当行を削除してください。プラグインのIPブロックの場合は、サーバーからデータベースにアクセスしてプラグインを無効化する方法があります。いずれも事前にバックアップを取っていれば迅速に復旧できます。

プラグインを使わずに不正アクセスを減らす方法はありますか？

あります。.htaccessでのIP制限に加え、ログインパスワードを長く複雑なものにする、管理者ユーザー名を「admin」以外にする、WordPressとプラグインを常に最新版に保つ——この3つだけでも不正アクセスの成功率を大幅に下げることができます。

海外IPからの不正アクセス遮断 方法まとめ

WordPressへの海外IPからの不正アクセスは、.htaccess・プラグイン・サーバー設定の3つの方法で確実に遮断できます。
どれか1つだけでも効果はありますが、組み合わせて使うことでより強力な防御になります。

不正アクセスへの対策は「完璧にしなければいけない」と思う必要はありません。まず1つ実施するだけでも、大幅にリスクを下げることができます。

万が一すでにハッキングやマルウェア感染の被害に遭っている場合は、自己対処よりも早めに専門家に相談することをおすすめします。

海外からの不正アクセスを拒否が自分で解決できない時は

ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。

こんなお悩みなら最短30分ですぐに解決します！
いまなら期間限定で3つの安心保証