Wordfence Securityの使い方と設定方法【2026年最新版】WordPress専門メディアが徹底解説

WordPressサイトを運営していると、「セキュリティ対策はどのプラグインがいいのか」と迷うことがあります。その答えのひとつがWordfence Securityです。

世界5,000万以上のサイトに導入されており、WordPress公式も推奨するセキュリティプラグインとして知られています。英語のUIに少し戸惑う方も多いですが、設定のポイントさえ押さえれば難しくありません。

この記事では、Wordfence Securityの使い方を順を追って解説します。

Wordfence Securityとは？世界5,000万サイトが選ぶ理由

Wordfence Security（ワードフェンス セキュリティ）は、Defiant Inc.が開発するWordPress専用のセキュリティプラグインです。世界中で5,000万以上のサイトに導入されており、WordPress公式ディレクトリでも長期にわたりカテゴリ首位を維持しています。

無料版だけでも、攻撃の大部分を防げる機能がそろっています。日本語のセキュリティプラグイン「SiteGuard WP+」と比較されることも多いですが、グローバルな脅威データベースを持つWordfenceは特にファイアウォールとスキャン機能で優位性があります。

無料版でも使える主な機能一覧

無料版と有料版（Premium）の違い

無料版と有料版の主な違いは、脅威情報の更新タイミングです。有料版（年間119ドル〜）では脅威定義がリアルタイム更新されますが、無料版は30日遅れで配信されます。

ただし、個人ブログや中小規模の企業サイトであれば、無料版でも十分なケースが大半です。まずは無料版を導入し、セキュリティ要件が高まったときに有料版を検討するのが現実的な進め方です。

Wordfence Securityのインストール・無料ライセンス取得

インストール自体は他のプラグインと同じ手順です。ライセンス取得の流れだけ少し独特なので、順を追って確認しましょう。

インストールと有効化の手順

WordPress管理画面から「プラグイン」→「新規追加」を開き、検索欄に「Wordfence」と入力します。「Wordfence Security – Firewall & Malware Scan」が表示されたら「今すぐインストール」をクリックし、完了後に「有効化」を押します。

有効化すると、まずメールアドレスの入力画面が表示されます。これはセキュリティアラートの送信先として使うアドレスです。普段使っているメールアドレスを入力してください。

利用規約に同意するチェックボックスを入れて「Continue」をクリックすると、プレミアム（有料版）へのアップグレード案内が表示されます。無料版で進める場合は「No Thanks」を選択してください。

無料ライセンスの取得方法

管理画面の「Wordfence」メニューをクリックするとダッシュボードが表示され、ライセンスのインストールを求める案内が出ることがあります。「Get a Free License」をクリックし、メールアドレスを入力して無料ライセンスを取得します。

取得したライセンスキーはメールで届くので、そのキーをインストール画面に貼り付けて「Install License」をクリックすれば完了です。

有効化後しばらくは「学習モード」が動作し、通常のトラフィックパターンを記録します。学習モードは1週間程度で終了させるのが推奨です。長期間そのままにしておくと、ファイアウォールが通常攻撃すら学習対象とみなす恐れがあります。

今すぐできる！WordPressで実施すべき7つのセキュリティ対策とおすすめプラグイン

ファイアウォール（WAF）の設定と最適化

Wordfenceのファイアウォールは、初期状態では「基本保護モード」で動作しています。これを「最適化モード」に切り替えることで、PHPが実行される前の段階で攻撃をブロックでき、防御力が大きく向上します。

「最適化モード」への切り替えと.htaccessの設定

管理画面の「Wordfence」→「ファイアウォール」を開き、「保護の最適化」リンクをクリックします。すると.htaccessファイルの変更確認が表示されます。

「Download .htaccess」で現在のファイルをバックアップしてから「Continue」をクリックしてください。Wordfenceが.htaccessを自動更新し、WordPressの起動よりも早いタイミングでWordfenceが動作するようになります。

エックスサーバーなど一部の共有サーバーでは、.htaccessへの追記内容が異なる場合があります。変更後にサイトが正常に表示されることを必ず確認してください。

ブルートフォース保護の設定

「ファイアウォール」→「すべてのオプション」→「ブルートフォース保護」セクションを開きます。デフォルトでもある程度の保護は有効になっていますが、以下の設定を確認しておきましょう。

ブルートフォース攻撃とは、パスワードを総当たりで試す攻撃手法です。WordPressサイトへの攻撃の多くがこの手法を使うため、ここの設定は必ず確認してください。

WordPressの攻撃事例5選【ハッキングの仕組みと攻撃されないための対策】

ログインセキュリティの強化設定

管理画面の「ログインセキュリティ」メニューでは、二要素認証とreCAPTCHAを設定できます。どちらも不正ログインの防止に効果的で、無料版でも利用可能です。

二要素認証（2FA）の有効化

「ログインセキュリティ」→「2FA」タブを開くと、QRコードが表示されます。Google AuthenticatorやAuthyなどのスマートフォンアプリでQRコードを読み取ると、ログイン時にワンタイムコードの入力が必要になります。

設定完了後はバックアップコードが表示されます。スマホを紛失した際の予備として、必ずどこかに保存しておいてください。

2FAは管理者だけでなく、編集者・寄稿者などのロールごとに適用範囲を設定できます。複数人でサイトを運営している場合は、すべての管理者ロールに適用するのが安全です。

reCAPTCHAの設置

「ログインセキュリティ」→「設定」タブを開き、「reCAPTCHA」セクションでGoogleのreCAPTCHA v3サイトキーとシークレットキーを入力します。

reCAPTCHAキーはGoogle reCAPTCHAの管理コンソール（google.com/recaptcha/admin）で取得できます。v3はユーザーの操作なしにボット判定を行うため、ログイン体験を損なわずに保護できます。

WordPressの乗っ取りを防ぐハッキング対策【被害事例も解説】

マルウェアスキャンの使い方

Wordfenceのスキャン機能は、WordPressコアファイル・テーマ・プラグインのファイルを公式リポジトリの正規バージョンと比較し、改ざんや不審なコードを検出します。

スキャンの実行手順とスケジュール設定

「Wordfence」→「スキャン」→「新しいスキャンを開始」をクリックするとスキャンが始まります。初回は完了まで数分〜十数分かかります。

定期スキャンの自動実行は「スキャンオプション」から設定できます。無料版では毎日または週1回のスケジュールが選択可能です。サーバーへの負荷を考えると、アクセスの少ない深夜帯への設定がおすすめです。

検出結果の見方と対処法

スキャン結果は「重大度」によって分類されます。主な分類は以下のとおりです。

「修復」ボタンが表示される場合はクリックするとWordfenceが自動修復を試みます。ただし修復前にサイトのバックアップを取得しておくのが鉄則です。

メール通知・アラートの設定

Wordfenceは攻撃検知・ファイル変更・新しいユーザー登録などのイベントをメールで通知できます。デフォルトでは通知が多すぎると感じる場合もあるため、必要なものだけに絞る調整がおすすめです。

「Wordfence」→「すべてのオプション」→「メールアラートの設定」を開きます。「Eメールアラートの送信先」に通知先アドレスを入力し、各イベントのチェックボックスで受け取る通知を選択します。

最低限受け取ることを推奨する通知は次の3つです。

• 管理者ユーザーアカウントが追加・変更されたとき
• 重大度「Critical」のセキュリティ問題が検出されたとき
• ブルートフォース攻撃によるIPがブロックされたとき

毎時間届くようなレポートメールは「Wordfence Weekly Security Report」で週次にまとめることも可能です。通知が多すぎると本当に重要なアラートを見落とすリスクがあるため、受け取る通知は精査してください。

ライブトラフィックで攻撃をリアルタイム確認する

Wordfenceのダッシュボードには、サイトへのアクセス状況をリアルタイムで表示する「ライブトラフィック」機能があります。WordPress導入直後でも、思った以上の頻度でボットや攻撃スキャンが来ていることを確認できます。

管理画面の「Wordfence」→「ライブトラフィック」を開くと、IPアドレス・国・アクセス先URL・Wordfenceによるアクション（許可・ブロック）がリアルタイムに流れていきます。

ダッシュボードで攻撃の規模を把握する

「Wordfence」→「ダッシュボード」では、過去30日間のブロック数・ログイン試行数・ファイアウォールがはじいた攻撃数がグラフで確認できます。実際に使ってみると、新規サイトでも数日以内に数十〜数百件のブロックが記録されることがほとんどです。

これはWordfenceが機能していることの証明でもあります。ダッシュボードの数値が増えていても慌てる必要はなく、「Wordfenceが正常に攻撃を防いでいる」と解釈してください。

ブロックログの読み方

「Wordfence」→「ブロック」から、ブロックされたIPの一覧を確認できます。同一IPからの攻撃が多い場合は手動でブロック期間を延長することも可能です。

特定の国からの攻撃が集中している場合は「国ブロック」（有料版機能）の導入も選択肢になりますが、無料版でも個別IPブロックで対応できます。

おすすめのWAF製品9選！選び方のポイント

SiteGuard WP+と何が違う？用途別の使い分け

日本では「SiteGuard WP+」も広く使われているWordPressセキュリティプラグインです。両者の主な違いを整理します。

Wordfenceを選ぶべきケース：ファイアウォールとマルウェアスキャンを重視したい場合、グローバルな脅威情報に基づく保護が必要な場合、2FAや高度なログイン保護を使いたい場合。

SiteGuard WP+を選ぶべきケース：サーバー負荷を極力抑えたい場合、日本語UIで管理したい場合、ログインURLの変更だけで十分な場合。

どちらかに迷ったら、Wordfenceを選んでおくと機能面での不満は出にくいです。サーバーが低スペックで動作が重くなる場合のみSiteGuard WP+を検討してください。

よくある質問

Q: Wordfenceは無料でも十分なセキュリティ対策になりますか？

A: 個人ブログや中小規模の企業サイトであれば、無料版で十分なケースが多いです。ファイアウォール・スキャン・ログインセキュリティの主要機能はすべて無料で使えます。有料版との違いは脅威データの更新速度（リアルタイム vs 30日遅延）が主な点です。

Q: Wordfenceを入れるとサイトが重くなりますか？

A: マルウェアスキャンの実行中はサーバー負荷が上がります。スキャンをアクセスの少ない深夜帯にスケジューリングすることで、通常のサイト表示速度への影響を最小限にできます。ファイアウォール自体は常時動作しますが、最適化モードでは影響は軽微です。

Q: 管理画面がすべて英語ですが、設定できますか？

A: Wordfenceは完全日本語化されていません。ただし、この記事で紹介した設定項目はメニュー名と手順を確認しながら進めれば問題なく設定できます。Googleの自動翻訳（Chrome）を使いながら操作するのも有効な方法です。

Q: Wordfence有料版の料金はいくらですか？

A: 2026年6月時点で、Premiumプランは1サイトあたり年間119ドル（約17,000円〜）です。Care（サポート付き）やResponse（24時間対応）などの上位プランもあります。

Q: インストールしたらすぐに保護が有効になりますか？

A: 有効化後、基本的な保護はすぐに開始されます。ただし「最適化モード」への切り替えと各種設定を行って初めて本来の防御力が発揮されます。インストール後はこの記事の手順に沿って設定を完了させてください。

まとめ

Wordfence Securityは、無料版でもWordPressサイトのセキュリティを大幅に向上させられるプラグインです。

この記事で解説した設定のポイントをまとめます。

• インストール後にライセンスを取得し、学習モードは1週間で終了させる
• ファイアウォールを「最適化モード」に切り替えて防御力を最大化する
• ブルートフォース保護で不正ログイン試行を自動ブロックする
• 二要素認証とreCAPTCHAでログインセキュリティをさらに強化する
• スキャンは深夜帯にスケジューリングしてサーバー負荷を抑える
• ダッシュボードでブロック状況を定期的に確認して攻撃の傾向を把握する

WordPressサイトへの攻撃はインストール直後から始まります。Wordfenceを導入してしばらく経つと、ダッシュボードには多数のブロック履歴が積み上がります。その数を見ると、セキュリティ対策の必要性を実感できるはずです。

まだ導入していない方は、まず無料版を入れるところから始めてみてください。

WordPressの不正アクセスを調査する方法とその対策を徹底解説

WordPress保守・運用のパートナーなら「wp.support」にお任せ！

WordPressサイトを運用していて、以下のようなお悩みはありませんか？

• 管理画面を使いやすくしたいけれど、カスタマイズする時間や技術がない…
• サイトのUI/UXを改善したいけれど、自社内では難しい…
• WordPressサイトを高速化したいけれど、ノウハウがない…
• セキュリティ対策をしたいけれど、知識のある人材がいない…
• 日々の業務に追われて、バージョンアップなどの保守業務が放置気味…
• ちょっとしたトラブルを気軽に相談できる相手が欲しい…

「wp.support」は、WordPressのプロフェッショナル集団によるWordPress保守サービスです。
「セキュリティ対策」「バージョンアップ対応」「定期バックアップ」はもちろん、「電話サポートが無制限」なのでカスタマイズの方法やトラブル発生時にも気軽にプロに相談できます。

既に導入済みのお客様からも、
「些細なことでも気軽に相談できるパートナー的な存在」
「困ったら相談していいんだ、と気持ちが楽になった」
と大変ご好評をいただいています。

WordPress保守・運用のパートナーをお探しなら、ぜひお気軽にお問合せください。

>> wp.supportに無料相談する