WordPressの脆弱性診断を無料で行う方法【診断プラグインも】

WordPressが乗っ取られたとか、勝手に改ざんされたという話を聞くと、急に自分のサイトも不安になってきませんか。

この記事では、WordPressの脆弱性診断を無料で試せるプラグインや外部ツールを使って、脆弱性診断を無料で行う方法をお伝えいたします。

WordPressの脆弱性診断を無料で行う前に知っておきたいこと

脆弱性診断とは？何をチェックするのか

脆弱性診断は、一言でいうと「攻撃者の目線になって、このサイトのどこが狙われやすいかを洗い出す作業」です。WordPressの場合、主に次のようなポイントがチェック対象になります。

診断項目	内容
WordPress本体	古いバージョンのまま放置されていないか
プラグイン	既知の脆弱性があるバージョンを使っていないか
テーマ	不正なコードや古いテーマが残っていないか
ログイン周り	パスワードの強度やログイン試行回数制限があるか
通信の暗号化	SSL化されているか、設定に問題がないか
ファイル改ざん	怪しいファイルや改ざんの痕跡がないか

こうした項目を、セキュリティプラグインや外部の診断サービスが自動でチェックしてくれるイメージです。ただし、あくまで「ツールが確認できる範囲」での診断という点は覚えておいたほうがいいです。

無料診断と有料診断のざっくりした違い

無料で使えるWordPressの脆弱性診断と、セキュリティベンダーなどが提供している有料の診断サービスには、それぞれ得意・不得意があります。ざっくり分けると次のようなイメージです。

無料診断の主な特徴は次のとおりです。

• 過去に報告された脆弱性を中心に自動でチェックする
• ツールのルールに基づいた判定がメインで、深掘りまでは行わない
• 診断結果を元に、具体的な対応は自分で調べて行うことが多い

一方、有料診断は次のようなケースが多いです。

• セキュリティの専門家が、ツールと手作業を組み合わせて調査する
• サーバー設定やアプリ全体の設計までチェック対象に含めることがある
• 報告書や改善提案、相談対応などがセットになっていることが多い

個人ブログや小規模なコーポレートサイトなら、まず無料の診断やプラグインから始めれば十分です。ただ、会員制サイトやオンラインショップなど、情報漏えいのリスクが大きいサイトでは、有料の診断や継続的な監視も視野に入れておいたほうが安心かなと思います。

無料ツールだけに頼るリスクもある

無料の脆弱性診断ツールはとても心強い存在ですが、魔法のようなツールではありません。例えば次のような部分は、どうしても苦手です。

• 公表されたばかりの脆弱性（まだデータベースに反映されていないもの）
• 各サイトごとの独自カスタマイズ部分に潜むバグや設計上の甘さ
• ネットワーク構成やサーバー設定に起因する深いレベルの問題

そのため、どのツールでも「問題なし」と出たとしても、それだけで絶対に安全というわけではありません。感覚としては、「問題が見つかればラッキー、見つからなくても基本的な対策はできている」というくらいに捉えておくと、ちょうどいいバランスではないかなと感じています。

WordPressの脆弱性診断を無料で行う3つの方法

管理画面の「サイトヘルス」で簡易チェック

WordPressには、最初からサイトの状態を確認できる「サイトヘルス」という機能が入っています。追加のプラグインを入れなくても使えるので、最初の一歩としてとてもおすすめです。

サイトヘルスで確認できる主な内容は、次のとおりです。

• WordPress本体やプラグイン、テーマが最新かどうか
• 推奨されるPHPバージョンを使っているか
• HTTPS（SSL）が正しく設定されているか
• 不要なプラグインやテーマが残っていないか

「致命的な問題」や「おすすめの改善」という表示が出ているところは、優先的に見直したほうがいいところです。ここで指摘された箇所を地道に改善していくだけでも、WordPressの脆弱性診断の“基礎編”としてはかなり効果があります。

WordPressの脆弱性診断用プラグインを入れて自動チェック

次におすすめなのが、セキュリティ系のプラグインを導入して、自動で脆弱性診断を行う方法です。プラグインを入れることで、管理画面からワンクリックでスキャンできるようになります。

セキュリティプラグインを使うメリットは、例えば次のような点です。

• 管理画面から簡単にスキャンを実行できる
• スケジュール機能があるプラグインなら、定期的に自動診断してくれる
• ファイアウォール機能など、攻撃をブロックする仕組みを備えたものも多い

ただし、セキュリティ系のプラグインは機能が多いぶん、設定を詰め込みすぎるとサイトが重くなったり、テーマやほかのプラグインと相性問題が出たりすることもあります。後で紹介する代表的なプラグインの中から、自分のレベルやサイトの用途に合ったものを選び、少しずつ設定していくのがおすすめです。

オンラインの無料診断ツールでURLチェック

3つ目の方法は、専用サイトに自分のWordPressサイトのURLを入力して、外部から診断してもらうやり方です。いわゆるオンラインの無料診断ツールで、ブラウザから簡単に利用できます。

外部の診断ツールには、次のような特徴があります。

• URLを入れるだけで、数十項目をまとめてチェックしてくれるものもある
• WordPress本体やプラグイン、テーマに既知の脆弱性がないか確認できるタイプもある
• マルウェアの疑いがあるコードや、ブラックリスト登録の有無を調べるツールもある

内部の状態を細かく見るのはプラグインが得意ですが、「外から見たときにどう見えているか」をチェックするのは、こうしたオンライン診断が得意です。両方を組み合わせることで、抜け漏れを減らすことができます。

おすすめのWordPress脆弱性診断プラグイン5選

5つのプラグインをざっくり比較

まずは、それぞれのプラグインの雰囲気をつかみやすいように、ざっくり比較してみます。

プラグイン名	特徴	難易度の目安
Wordfence Security	診断とファイアウォールを備えた総合セキュリティ	中
All In One WP Security & Firewall	スコア表示で強化具合が分かりやすい	中
Jetpack系のセキュリティ機能	既存のJetpackと連携しやすい診断機能	低〜中
iThemes Security	細かい設定ができる上級寄りプラグイン	中〜高
SiteGuard WP Plugin	日本語対応でログイン防御に強い	低

ここからは、それぞれのプラグインの特徴をもう少しだけ掘り下げていきます。

Wordfence Security：総合力重視で選ぶなら定番

Wordfence Securityは、世界的に導入されている定番のセキュリティプラグインです。ファイルの改ざん検知やマルウェア検出、攻撃のブロックなど、幅広い機能をまとめて使えるのが魅力です。

主なメリットは次のとおりです。

• WordPressのコアファイルやテーマ、プラグインの改ざんを検知できる
• 不審なアクセス元を自動でブロックするファイアウォール機能がある
• ログイン試行回数制限など、基本的な保護機能も一通りそろっている

一方で、注意したい点もあります。

• 高機能なぶん、サーバーによっては負荷が気になることがある
• 設定画面が英語なので、最初はメニューに少し迷うかもしれない

総合的にしっかり守りたい人や、英語の画面でもある程度調べながら触れる人には、とても心強いプラグインだと思います。

All In One WP Security & Firewall：スコア表示で分かりやすい

All In One WP Security & Firewallは、セキュリティレベルをスコア化して見せてくれるのが特徴のプラグインです。どこを改善するとどれくらいスコアが上がるのかが見えるので、ゲーム感覚で強化していけます。

このプラグインの良いところは、例えば次のような点です。

• 現在のセキュリティレベルをスコアで把握できる
• ログイン防御やファイル編集禁止など、基本機能がひと通りそろっている
• 必要な機能だけを少しずつオンにしながら様子を見られる

一方で、いきなり多くの機能をオンにすると、テーマやほかのプラグインと相性が悪くて不具合が出ることもあります。そのため、特にファイアウォール関連の設定は、少しずつ増やしていくやり方がおすすめです。

「難しいことは分からないので、とりあえず分かりやすく強くしていきたい」という人とは相性がいいプラグインだと感じます。

Jetpack Protect：Jetpackユーザーなら候補に

Jetpackは、アクセス解析や画像の配信、バックアップなど、さまざまな機能をまとめた人気プラグインです。その中で、脆弱性診断やマルウェアスキャンに関わる機能が用意されているプランもあります。

Jetpack系のセキュリティ機能のポイントは次のとおりです。

• WordPress公式と連携しているサービスなので、導入のハードルが低い
• 脆弱性データベースと連携し、プラグインやテーマの既知の脆弱性をチェックできるプランがある
• すでにJetpackを使っている場合、追加のプラグインを増やさずにセキュリティを強化できる

ただ、Jetpackはプラン構成がやや複雑で、「どのプランでどこまでできるのか」が最初は分かりにくいと感じるかもしれません。すでにJetpackを導入している人は、今のプランで使える範囲を確認したうえで、足りない部分をほかのプラグインで補う、という考え方が現実的です。

iThemes Security：細かく設定したい中級者向け

iThemes Securityは、設定項目がとても多く、細かいカスタマイズができるセキュリティプラグインです。ログインURLの変更や、ユーザー権限の制御、ファイルの監視など、かなり突っ込んだところまで触れます。

主なメリットは次のような点です。

• 自分のサイトの運営ルールに合わせて、細かく設定を調整できる
• 攻撃のログを詳しく確認できるので、どんな攻撃が来ているか把握しやすい
• 「セキュリティチェック」として、推奨の設定をまとめて適用する機能もある

そのぶん、設定を間違えると自分自身がログインできなくなるなど、ちょっとやっかいなトラブルになる可能性もあります。WordPressの管理画面に慣れていて、トラブルが起きたときに自力で戻せる、という人向けのプラグインだと考えたほうがよさそうです。

SiteGuard WP Plugin：日本語で始めたい人に

SiteGuard WP Pluginは、日本のユーザーにとても人気のあるセキュリティプラグインです。ログイン画面の保護に強く、日本語の管理画面で操作できるため、初めてセキュリティ対策に取り組む人にも使いやすいです。

主なメリットは次のとおりです。

• 設定画面が日本語なので、どの項目が何を意味しているか理解しやすい
• ログイン画面のURL変更や画像認証など、ログイン攻撃への対策が充実している
• メール通知機能で、ログインの異常を早めに察知しやすい

一方で、ファイル改ざんの検知やマルウェアスキャンなど、より深いレベルの脆弱性診断は別のプラグインと組み合わせたほうがよいです。イメージとしては、「玄関の鍵を強化するのがSiteGuard、家の中全体を見るのが別のセキュリティプラグイン」という使い分けがしっくりきます。

無料のオンラインWordPress脆弱性診断ツール3選

オンライン診断ツールの特徴と選び方

オンラインの診断ツールは、外部からWordPressサイトをチェックするのが得意です。主なチェックポイントをまとめると、次のようなタイプに分けられます。

ツールのタイプ	得意なチェック内容	向いている人
マルウェアスキャン系	改ざんや不審なコードの有無	改ざんが心配な人
脆弱性データベース連携系	プラグインやテーマの既知の脆弱性	プラグインを多く入れている人
SSL・ヘッダーチェック系	通信の暗号化やセキュリティヘッダー設定	常時SSL化をしっかり確認したい人

選ぶときに気にしておきたいポイントは次の3つです。

• 診断結果が分かりやすいか（表示言語や解説の分かりやすさ）
• どこまで無料で使えるか（診断回数や項目数の制限）
• 入力したURLや診断結果の扱いが明確か（利用規約やポリシーを確認）

WordPressの脆弱性診断にオンラインツールを使うときは、「外から見て危なそうなところをざっくり把握する」のに向いている、と考えるとイメージしやすいと思います。

プラグイン診断とオンライン診断は両方使うのが理想

セキュリティプラグインによる診断と、オンラインツールによる診断は、得意分野が少し違います。それぞれの役割を整理してみます。

• プラグイン診断は、サイト内部のファイルや設定、ログイン履歴などを詳しく見られる
• オンライン診断は、攻撃者の視点に近い「外から見える情報」を広くチェックできる

この2つを併用することで、内部と外部の両方からWordPressの脆弱性診断ができるようになります。特に、何かトラブルが起きたときは、プラグイン側とオンラインツール側の両方で確認してみると、原因のヒントが見つかることが多いです。

WordPressの脆弱性診断に使う無料ツールの賢い選び方と組み合わせ方

サイト規模別のおすすめ組み合わせ

あくまで一つの目安ですが、私が現場でよく見かける構成を、ざっくり表にすると次のようなイメージになります。

サイト規模・種類	プラグイン構成の例	オンライン診断の例	有料診断の目安
個人ブログ	SiteGuard＋軽めの診断プラグイン1つ	ときどきマルウェアスキャン	基本的には不要
企業コーポレートサイト	Wordfence または All In One＋SiteGuard	半年〜一年に数回、外部診断	必要に応じてスポット診断
会員サイト・ECサイト	高機能プラグイン＋WAF＋SiteGuard	定期的に複数ツールで確認	専門家による定期診断を推奨

セキュリティ系のプラグインは、いきなり3つも4つも入れるより、「総合セキュリティプラグイン＋ログイン防御プラグイン」の2本立てにして、足りない部分をオンライン診断や運用で補うほうが、トラブルを起こしにくいと感じます。

プラグインを複数入れるときの注意点

脆弱性診断やセキュリティ関連のプラグインは、機能がかぶることがよくあります。似たような機能を持つプラグインを複数入れてしまうと、かえって表示が崩れたり、管理画面に入れなくなったりといったトラブルの原因になりかねません。

プラグインの数とメリット・デメリットを整理すると、次のような感覚になります。

プラグインの数	メリット	デメリット
1つだけ	管理が楽でトラブルも少ない	1つのプラグインでカバーできない部分が残ることがある
2つ	役割分担しやすく、バランスが良い	設定の組み合わせを考える必要がある
3つ以上	それぞれの得意分野を補い合える	サイトが重くなりやすく、競合リスクも高い

私のおすすめは、「総合セキュリティプラグイン＋ログイン防御に強いプラグイン」という組み合わせです。例えば、Wordfence Securityで全体を守りつつ、SiteGuardでログインまわりを固める、といったイメージです。そのうえで、外部の無料診断ツールをときどき使って、外側からの見え方もチェックするのが現実的だと思います。

診断結果をどう解釈して、どう動くか

どのツールを使うにしても、最終的に大事なのは「結果を見てどう動くか」です。WordPressの脆弱性診断をしたあとに取るべき基本ステップを、簡単にまとめておきます。

• 必ずバックアップを取る
  何をするにしても、まずはデータベースとファイル一式のバックアップを作っておきましょう。
• 重要度の高いものから対応する
  診断結果で「高リスク」「重大」とされている項目から優先的に手を付けます。WordPress本体やプラグインの更新は特に重要です。
• 使っていないものを減らす
  使っていないプラグインやテーマは思い切って削除します。入口が減るだけでも、リスクはかなり下げられます。
• よく分からない設定には触りすぎない
  意味が分からない設定をいじってサイトが落ちてしまうと、本末転倒です。不安なときは制作会社やセキュリティの専門家に相談するのも大切な選択肢です。

よくある質問：WordPressの脆弱性診断に使う無料ツールとプラグイン

Q1. 無料ツールだけで本当に大丈夫ですか？

A. サイトの内容や重要度によりますが、個人ブログや小規模な情報サイトであれば、無料で使える診断ツールとセキュリティプラグインを組み合わせることで、かなりの部分をカバーできます。WordPress本体とプラグイン、テーマをこまめに更新し、ログイン周りをしっかり守っておけば、多くの一般的な攻撃に対しては一定の防御ができます。

ただ、会員情報や決済情報などを扱うサイトは話が別です。その場合は、無料の診断で現状をざっくり把握しつつ、有料の脆弱性診断やWAFサービスの導入なども積極的に検討したほうが安心です。

Q2. セキュリティプラグインは何個まで入れてもいいですか？

A. 目安としては、メインのセキュリティプラグインを1つと、ログイン防御やバックアップなど役割の違うプラグインを1つ追加する、合計2つくらいがバランスが良いと思います。セキュリティプラグインを3つも4つも入れると、機能がぶつかり合ってサイトが重くなったり、エラーの原因になったりしやすくなります。

どうしても複数入れたい場合は、同じようなファイアウォール機能を重ねないようにしたり、新しい機能をオンにするときは一つ一つ挙動を確認したりすることが大切です。不要になったプラグインは「停止」ではなく「削除」まで行うと、より安全です。

Q3. オンラインの無料診断ツールにURLを入れても、安全ですか？

A. 一般的に公開されているサービスであれば、URLを入力しただけで何かされるということは通常ありません。ただし、WordPressの脆弱性診断に使うオンラインツールが、診断結果やアクセスログをどのように扱うのかは、必ず利用規約やプライバシーポリシーを確認したほうが安心です。

心配な場合は、信頼できそうな企業や団体が運営しているツールを選んだり、事前にサービス名で検索して評判をチェックしたりするとよいと思います。それでも不安が残るなら、まずはセキュリティプラグインで内部をしっかり固め、そのうえで専門家に相談するという順番もありです。

まとめ：今日からできるWordPress脆弱性診断の一歩

ここまでの内容を簡単にまとめます。

今日から取れる最初の一歩として、私がおすすめしたいのは次の3ステップです。

• ステップ1：WordPress管理画面の「サイトヘルス」をチェックし、表示されている問題を一つずつ解決する
• ステップ2：セキュリティプラグインを1つ導入し、バックアップを取ったうえでスキャンと更新を行う
• ステップ3：オンラインの無料診断ツールでURLをチェックし、外側からも危険なところがないか確認する

これだけでも、何もしていなかった頃と比べて、WordPressサイトの守りは大きく変わります。一気に完璧を目指す必要はないので、「できるところから少しずつ」進めていきましょう。あなたのサイトを守るための一歩を、今日から一緒に踏み出していけたらうれしいです。