WordPressへの海外からの攻撃をブロックする設定方法【2026年版】

「アクセスログを見たら知らない海外のIPアドレスばかり……これって攻撃されてるの？」と不安になっていませんか？

WordPressサイトは世界中からアクセスできる反面、海外からの不正ログイン試行・スパム投稿・DDoS攻撃のターゲットになりやすい宿命があります。
特に日本語のみで運営しているサイトなら、海外からの正当なアクセスはほぼゼロのはず。それにもかかわらず、ログには世界各地のIPが並んでいる——そんな状況は珍しくありません。

でも安心してください。海外からの攻撃は、正しい設定を施せば大幅に遮断できます。サーバーへの負荷も減り、セキュリティリスクも一気に下がります。

よこやま良平

ITエンジニアとして20年以上WordPressに携わってきたよこやま良平です。多数のサイト復旧・セキュリティ強化を手がけてきたわたしが、現場で実際に使っている海外攻撃対策を順番に解説します。

海外攻撃対策は「難しい」と思われがちですが、設定のポイントさえ押さえれば初心者でも確実に実施できます。
この記事の手順どおりに進めれば、今日中にブロック設定を完了できます。

まずは「なぜ海外から攻撃されるのか」の仕組みを理解するところから始めましょう。

【無料プレゼント】
WordPress緊急チェック50

「自分のサイトは今、安全なのか？」
自信を持って答えられますか？

こんなお悩みはありませんか？

• ある朝、サイトを開いたら真っ白画面になっていた
• 管理画面にログインできなくなって手が止まった
• 身に覚えのない記事やページが勝手に増えていた
• プラグインを更新したらサイト全体が崩れてしまった
• 以前バックアップを取ったか自分でも覚えていない

累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。

セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。

今すぐ無料ダウンロードする →

※登録後すぐにメールで特典をお届けします

WordPressが海外から攻撃される理由と主な手口

WordPressが海外から狙われやすい最大の理由は、世界シェアNo.1のCMSだからです。攻撃者はWordPressの脆弱性を利用した自動化ツールを使い、IPアドレスを片っ端からスキャンして標的を探しています。

海外からの主な攻撃パターン3種

現場でよく見かける海外からの攻撃パターンは、大きく3つに分類できます。それぞれの特徴を理解しておくと、対策の優先順位が立てやすくなります。

日本語サイトは海外アクセスがほぼ不要

日本語コンテンツのみのサイトであれば、正規ユーザーが海外からアクセスする可能性は極めて低いです。
つまり「海外IPからのアクセスを原則ブロックする」という方針は、ほとんどのケースで問題なく採用できます。

ただし、海外在住の日本人ユーザーや、自分自身が海外出張中にアクセスするケースは例外です。そのような場合は「管理画面のみ国内限定」にするなど、部分的な制限にとどめる判断も有効です。

WordPressへの海外攻撃を.htaccessでブロックする方法

.htaccessを使った海外IP制限は、サーバーレベルで処理されるため非常に効果的です。プラグインが無効化されていても機能し続けるため、最初に設定しておくべき対策のひとつです。

wp-login.phpへのアクセスを日本のみ許可する

最も効果的なのは、ログインページ（wp-login.php）への海外アクセスをサーバーレベルで遮断することです。
以下の設定をサイト直下の .htaccess に追記します。

編集前に必ず .htaccess のバックアップを取ってください。設定ミスでサイトにアクセスできなくなる場合があります。

# wp-login.php への海外アクセスをブロック
<Files "wp-login.php">
  Order deny,allow
  Deny from all
  Allow from 1.0.0.0/8
  Allow from 14.0.0.0/8
  Allow from 27.0.0.0/8
  Allow from 36.0.0.0/8
  Allow from 49.0.0.0/8
  Allow from 60.0.0.0/8
  Allow from 61.0.0.0/8
  Allow from 103.0.0.0/8
  Allow from 106.0.0.0/8
  Allow from 110.0.0.0/8
  Allow from 111.0.0.0/8
  Allow from 112.0.0.0/8
  Allow from 113.0.0.0/8
  Allow from 114.0.0.0/8
  Allow from 115.0.0.0/8
  Allow from 116.0.0.0/8
  Allow from 117.0.0.0/8
  Allow from 118.0.0.0/8
  Allow from 119.0.0.0/8
  Allow from 120.0.0.0/8
  Allow from 122.0.0.0/8
  Allow from 123.0.0.0/8
  Allow from 124.0.0.0/8
  Allow from 125.0.0.0/8
  Allow from 126.0.0.0/8
  Allow from 153.0.0.0/8
  Allow from 163.0.0.0/8
  Allow from 175.0.0.0/8
  Allow from 180.0.0.0/8
  Allow from 182.0.0.0/8
  Allow from 183.0.0.0/8
  Allow from 202.0.0.0/8
  Allow from 203.0.0.0/8
  Allow from 210.0.0.0/8
  Allow from 211.0.0.0/8
  Allow from 219.0.0.0/8
  Allow from 220.0.0.0/8
  Allow from 221.0.0.0/8
  Allow from 222.0.0.0/8
  Allow from 223.0.0.0/8
</Files>

この設定により、上記以外のIPアドレスからwp-login.phpへのアクセスは403エラーで拒否されます。
自分のIPが日本のISPから割り当てられているかどうかは「自分のIPアドレス確認」サービスで確認できます。

xmlrpc.phpを完全にブロックする

xmlrpc.phpはWordPressの遠隔操作機能ですが、現在では悪用されるケースがほとんどです。Jetpackなど一部のプラグインが使用しますが、それ以外の用途がなければ完全にブロックして問題ありません。

# xmlrpc.php を完全ブロック
<Files "xmlrpc.php">
  Order deny,allow
  Deny from all
</Files>

Jetpack・WooCommerceなど一部プラグインはXMLRPCを利用します。完全ブロック後に問題が出た場合はプラグインの代替認証方式を利用してください。

海外からの攻撃をプラグインで遮断する方法

.htaccessでの対策に加え、プラグインを使うことでより細かい制御が可能になります。特に国別ブロックや特定IPのリアルタイム拒否は、プラグインが得意とする領域です。

クイックレスキュー365で不正アクセスを防ぐ

わたしが開発した無料セキュリティプラグイン「クイックレスキュー365」は、海外からの不正ログイン対策に必要な機能を8つまとめて提供しています。

ワドプロカレッジ

日本製セキュリティ対策で不正アクセスを遮断「クイックレスキュー365」無料ダウンロード Quick Rescue365の無料ダウンロードページ。WordPressの不正アクセス防止・ログイン保護・セキュリティ強化をまとめて実現できる日本製プラグインを提供しています。初心者…

Wordfenceで国別アクセス制限を設定する

より細かな国単位のブロックが必要な場合は、Wordfence Securityが有効です。無料版でもIPアドレスや特定の国からのアクセスをブロックする機能が使えます。

Wordfenceの国別ブロックは無料版でも利用できますが、一部の高度な機能はPremium版が必要です。まずは無料版で試してみましょう。

ログインURLを変更して海外攻撃のターゲットから外れる

攻撃者はWordPressのデフォルトのログインURL（/wp-login.php）を自動的に狙います。このURLを変更するだけで、攻撃の大半を受け流すことができます。これは最もコストが低く効果の高い対策のひとつです。

クイックレスキュー365でログインURLを変更する

クイックレスキュー365の「ログインURL変更」機能を使えば、簡単な操作でログインページのURLを任意の文字列に変更できます。

SiteGuardプラグインでも変更可能

SiteGuard WP Pluginも同様のログインURL変更機能を持っています。日本語に対応した国産プラグインで、管理画面も使いやすいのが特徴です。
どちらのプラグインを使うかは好みで選んで問題ありませんが、2つを同時に有効化すると競合する場合があるため、どちらか一方を選びましょう。

海外からの攻撃対策をさらに強化する追加設定

ここまでの対策で大部分の攻撃は防げますが、さらに強固にしたい場合に追加できる設定があります。手間はかかりますが、セキュリティレベルを一段階引き上げることができます。

ユーザー名の漏えいを防ぐ

WordPressはデフォルトで、投稿者のユーザー名がURL（/?author=1）から確認できてしまいます。
ユーザー名がわかると、あとはパスワードだけ総当たりすればいいので攻撃者にとって非常に有利です。

クイックレスキュー365の「ユーザー名漏えい防御」機能を有効にすれば、この穴を簡単に塞ぐことができます。

二段階認証でログインを強化する

万が一ログインURLや認証情報が漏れた場合の最後の砦として、二段階認証（2FA）の導入が有効です。
Google Authenticatorなどのアプリと連携することで、パスワードだけでは突破できないログイン画面を実現できます。

海外IPをすべてブロックすると、Googleのクローラーも弾いてしまいませんか？

Googleのクローラー（Googlebot）はアメリカのIPアドレスを使っているため、管理画面（wp-admin・wp-login.php）のみを国内限定にする設定であれば問題ありません。フロントエンド（一般公開ページ）を海外ブロックすると検索エンジンの巡回も妨げる可能性があるため、ブロック対象はあくまで管理系ページに限定しましょう。

.htaccessを編集してサイトにアクセスできなくなった場合は？

FTPやサーバーのファイルマネージャーから .htaccess を直接編集してください。事前にバックアップを取っておけば、元のファイルに戻すだけで復旧できます。変更前のバックアップは必須です。

攻撃が来ているかどうかはどうやって確認しますか？

サーバーのアクセスログや、Wordfenceなどのセキュリティプラグインのログ機能で確認できます。wp-login.phpへの大量アクセスや、存在しないURLへのアクセスが大量に記録されている場合は攻撃を受けている可能性があります。

攻撃を受け続けてサイトが重くなっています。急いで対処するには？

まず .htaccess でwp-login.phpとxmlrpc.phpをブロックし、クイックレスキュー365をインストールして不正ログインブロックを有効にしてください。これだけでも大半の攻撃トラフィックを遮断できます。改善しない場合はサーバー会社にDDoS対策の相談をすることをおすすめします。

WordPressへの海外からの攻撃ブロック設定まとめ

WordPressへの海外からの攻撃は、正しい設定を組み合わせることで大幅に防ぐことができます。
難しく考えすぎず、今日できることから1つずつ実施していくことが大切です。

これらの設定はすべて無料で実施でき、専門的な知識がなくても対応可能です。
まだ何も対策していない方は、まず.htaccessのログイン制限とクイックレスキュー365のインストールから始めてみてください。

万が一すでにハッキング被害を受けてしまった場合や、設定しても攻撃が止まらない場合は、専門家への相談をためらわないでください。

ホームページの乗っ取りが自分で解決できない時は

ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。

こんなお悩みなら最短30分ですぐに解決します！
いまなら期間限定で3つの安心保証