「WordPressのセキュリティ対策、何から始めればいい？」「All-In-One Security（AIOS）を入れたけど、項目が多すぎて分からない」。ブログを運営していると、セキュリティは後回しにしがちです。
私は以前、自分のサーバーがマルウェアに感染したことがあります。そのときに専門業者から「このプラグインを入れておくとよい」とすすめられたのが、All-In-One Security（AIOS）でした。
この記事では、AIOSを入れたら最低限やっておきたい初期設定を、優先度の高い順にまとめます。
- All-In-One Security（AIOS）でできること
- 最低限やっておきたい初期設定7つ
- 設定するときの注意点（ログインできなくなる失敗を防ぐ）
- マルウェア感染を経験して分かったこと
この記事の内容は、2026年9月時点のAIOS（WordPress公式ディレクトリでver5.4.10）を前提にしています。バージョンによって、メニューの名前や配置が変わることがあります。
セキュリティのプラグインって、入れるだけで安心なの？
入れただけでは不十分です。マルウェアに感染した経験から言うと、入れたあとの初期設定と、日ごろの更新がセットで大事なんです。
結論｜AIOSで最低限やる設定は7つ
先に結論です。AIOSを入れたら、まずは次の7つを設定します。
| 優先度 | 設定 | 目的 |
|---|---|---|
| 1 | 設定前にバックアップを取る | 設定ミスで表示が崩れたときに戻せるようにする |
| 2 | ログインロックアウト | パスワードの総当たり攻撃を防ぐ |
| 3 | 2段階認証 | パスワードが漏れても、不正ログインされにくくする |
| 4 | ユーザー名を見えにくくする | 攻撃者にユーザー名を知られにくくする |
| 5 | ログインページのURL変更 | ログイン画面への攻撃を減らす |
| 6 | ファイアウォール | 不正なアクセスをブロックする |
| 7 | ファイル変更の検出 | ファイルが勝手に書き換えられたら気づけるようにする |
ポイントは、「不正ログインを防ぐ」と「異変に気づく」の2つです。AIOSはこの両方をまとめて設定できるプラグインです。
全部の機能を一気にオンにすると、どれが原因で不具合が出たのか分からなくなります。1つ設定したら表示とログインを確認する、を繰り返すのが安全です。
All-In-One Security（AIOS）とは
AIOSは、WordPressのセキュリティを強化する無料のプラグインです。以前は「All In One WP Security & Firewall」という名前でした。
| 項目 | 内容（2026年9月時点・WordPress公式ディレクトリで確認） |
|---|---|
| 開発 | Team Updraft（バックアッププラグイン「UpdraftPlus」のチーム） |
| 有効インストール数 | 100万以上 |
| 主な無料機能 | ログイン試行の制限、2段階認証、ログインページの変更、ファイアウォール、ファイル変更スキャナー、CAPTCHA、スパム対策など |
| 有料版の機能 | マルウェアスキャンなど |
注意したいのは、無料版にはマルウェアスキャン機能がないことです。AIOSは「感染を防ぐ・異変に気づく」ための道具で、感染したマルウェアを駆除してくれるものではありません。
AIOSの初期設定｜最低限の7ステップ
AIOSを有効化すると、管理画面の左メニューに「WPセキュリティ」が追加されます。ここから設定していきます。
1. 設定前にバックアップを取る
AIOSの設定の中には、サーバーの設定ファイル（.htaccess）を書き換えるものがあります。設定の前に、サイト全体のバックアップを取っておきましょう。バックアッププラグインや、サーバーの自動バックアップ機能が使えます。
2. ログインロックアウトを有効にする
ログインに何回も失敗したIPアドレスを、一定時間ロックする機能です。パスワードを次々と試す「総当たり攻撃（ブルートフォース攻撃）」を防げます。
- ログイン失敗の上限回数：3〜5回程度
- ロックする時間：数十分〜数時間程度
- ロックされたときにメールで通知を受け取る設定もしておく
3. 2段階認証を設定する
AIOSの無料版には、Google AuthenticatorやMicrosoft Authenticatorなどの認証アプリを使った2段階認証があります。パスワードが漏れても、スマホの認証コードがなければログインできないので、効果の大きい対策です。
4. ユーザー名を見えにくくする
WordPressは、設定によってはURLなどからユーザー名が分かってしまうことがあります。AIOSの「ユーザー名の列挙を防ぐ」設定を有効にし、あわせて「admin」のような推測されやすいユーザー名を使っていないかも確認しましょう。記事の投稿者名（表示名）も、ログインに使うユーザー名とは別のものにしておきます。
以前、自分のサーバーがマルウェアに感染しました。そのとき専門業者から教えてもらったのが、このAIOSです。「感染してから対策する」のではなく、「感染しにくい状態にしておく」ことが大切だと感じています。セキュリティは、何も起きていないときほど後回しにしがちです。だからこそ、最低限の設定だけでも先に済ませておくことをおすすめします。
5. ログインページのURLを変更する
WordPressのログイン画面は、多くのサイトで「/wp-login.php」や「/wp-admin/」です。攻撃者はここを狙ってきます。AIOSでは、ログインページのURLを自分だけが知っている名前に変更できます。
ログインページのURLを変更したら、新しいURLを必ずメモしてブックマークしておきましょう。忘れると、自分もログインできなくなります。万が一ログインできなくなったときは、サーバーのファイルマネージャーなどでプラグインのフォルダ名を一時的に変更して無効化する方法があります。
6. ファイアウォールを有効にする
AIOSのファイアウォールは、.htaccessやPHPのルールを使って、不正なアクセスをブロックします。まずは基本的なファイアウォールの設定から有効にし、表示やログインに問題がないかを確認します。
レンタルサーバーによっては、サーバー側にもWAF（Webアプリケーションファイアウォール）があります。サーバーのWAFとAIOSのファイアウォールは役割が重なる部分もあるので、両方使うときは不具合が出ないか確認しながら進めます。
7. ファイル変更の検出を設定する
サイトのファイルが変更されたときに、通知を受け取れる機能です。マルウェアに感染すると、見覚えのないファイルが追加されたり、既存のファイルが書き換えられたりします。「いつもと違う」に早く気づけるのが、この機能の価値です。定期的にスキャンする設定にして、通知メールを受け取れるようにしておきます。
全部設定したら、サイトが表示されなくなったりしない？
可能性はゼロではありません。だからこそバックアップを取ってから、1つずつ設定して確認する順番が大事なんです。
AIOSと一緒にやっておきたい基本の対策
AIOSは強力ですが、プラグインだけでサイトを守れるわけではありません。次の基本の対策もあわせて行います。
- WordPress本体・テーマ・プラグインを最新にする古いバージョンの弱点（脆弱性）が狙われることが多いです。
- 使っていないプラグイン・テーマを削除する停止しているだけでも、ファイルが残っていれば攻撃の入口になりえます。
- パスワードを長く複雑にするWordPress・サーバー・FTPなど、すべて使い回さないようにします。
- 定期的にバックアップを取る万が一のときに、感染前の状態に戻せるようにします。
もしマルウェアに感染してしまったら
私のように、実際に感染してしまうこともあります。感染が疑われるときに意識したいことをまとめます。
| やること | 理由 |
|---|---|
| サーバー会社に相談する | サーバー側で状況を確認できることがある |
| 専門業者への依頼を検討する | 感染の範囲の特定や駆除は、専門知識が必要なことが多い |
| パスワードをすべて変更する | WordPress・サーバー・FTP・データベースなど |
| 感染前のバックアップを確認する | 復元できる状態かどうかを確認 |
| 再発防止の設定をする | AIOSなどで、同じ入口から入られないようにする |
AIOSの無料版はマルウェアを駆除するものではありません。感染してしまった場合は、自己判断で対処しきろうとせず、サーバー会社や専門業者に相談するのが安全です。
ブログ運営や副業については、こちらの記事も参考にしてください。
All-In-One Security（AIOS）に関するよくある質問
AIOSは無料で使えますか？
無料で使えます。ログイン試行の制限、2段階認証、ログインページの変更、ファイアウォール、ファイル変更スキャナーなどは無料版で使えます。マルウェアスキャンは有料版の機能です。
ログインページのURLを忘れてログインできなくなりました。
サーバーのファイルマネージャーやFTPで、プラグインのフォルダ名を一時的に変更すると、AIOSが無効になり通常のログイン画面に戻れる場合があります。作業前にバックアップを取り、不安な場合はサーバー会社に相談してください。
ほかのセキュリティプラグインと併用できますか？
同じような機能を持つセキュリティプラグインを複数入れると、設定が競合して不具合の原因になることがあります。基本的には1つに絞るのがおすすめです。
AIOSを入れればマルウェアに感染しませんか？
感染のリスクを下げることはできますが、ゼロにはなりません。WordPress本体・テーマ・プラグインの更新、パスワード管理、バックアップと組み合わせることが大切です。
レンタルサーバーのWAFがあれば、AIOSは不要ですか？
サーバーのWAFは不正なアクセスを防ぐ仕組みですが、ログインロックアウトや2段階認証、ファイル変更の検出はAIOSのようなプラグインで補えます。役割が重なる部分もあるので、両方使うときは不具合が出ないか確認しながら設定します。
まとめ｜AIOSは「最低限の7つ」から始める
- AIOSは、マルウェア感染のときに専門業者からすすめられたセキュリティプラグイン
- 最低限の設定は、バックアップ・ログインロックアウト・2段階認証・ユーザー名対策・ログインURL変更・ファイアウォール・ファイル変更検出の7つ
- ログインURLを変えたら、必ずメモとブックマーク
- 無料版にマルウェアの駆除機能はない。感染したら専門家に相談
- プラグインに加えて、更新・パスワード管理・バックアップも欠かさない
セキュリティは、何か起きてからでは遅い分野です。まずはこの記事の7つだけでも、今日のうちに設定しておきましょう。
参考：WordPress.org All-In-One Security (AIOS) – Security and Firewall
