チェックリスト50項目【無料Excel】
「更新しているつもりだけれど、本当に安全？」「制作会社から納品された後、どこを点検すればいい？」。そんな不安を、確認・記録・改善につなげるための50項目をまとめました。
WordPressの操作だけでなく、ログイン権限、サーバー、バックアップ、問い合わせフォーム、万一の復旧まで。確認方法と合格基準を具体的に示したチェックリストです。
このチェックリストは、WordPress公式のセキュリティ強化指針、IPAの中小企業向けガイドライン、OWASP Top 10:2025などを参照し、ブログ・店舗サイト・事業用ホームページで実際に点検できる内容に整理したものです。テーマやセキュリティプラグインを入れたら終わり、という考え方では不十分です。
最初に確認したいのは、更新状態・管理者の多要素認証・アクセス権限・HTTPS・WAF・バックアップと復元テストです。 この6領域が未確認なら、見た目の対策より先に点検してください。
50項目のExcelには「判定基準」「どこを見るか」「問題があったらどうするか」まで収録しています。確認が終わっていない項目は、最初から「未確認」のままにしています。
WordPressセキュリティ点検50項目｜無料Excel
各項目に公式資料を付け、状態・担当・期限・証跡を入力すると、進捗率と適合率を自動で集計します。ブログ運営のセルフチェックにも、制作会社の保守記録にも使えます。
50項目の無料Excelをダウンロード 形式：Excel（.xlsx）／メールアドレス登録不要。サイト運営の研修・保守点検にも無償で利用できます。50項目を無料Excelで点検する方法
Excelファイルはパソコンに保存し、最初に「使い方」シート、その後「優先点検10」シートを開く構成です。特別なマクロや外部通信は不要です。
「確認手順」に沿って設定を調べ、OKの基準と照合します。
「適合」「要対応」「対象外」で判定し、担当・期限・証跡を入力します。
改善後に再判定し、点検履歴を残します。未確認は安全とは数えません。
適合と要対応の件数から、対象項目をどこまで点検したかを計算します。
未確認項目を除いた暫定的な適合率です。進捗率とセットで判断してください。
Excelの「対象外」は、サイトにその機能がないなど、根拠がある場合だけ使います。理由を記録せず対象外を増やすと、数値だけが良くなってしまいます。
まず点検したいセキュリティ対策10項目
50項目すべてを一度に確認するのが難しければ、まず次の10項目から始めてください。侵害の入り口になりやすい更新・認証と、事故後に元へ戻すための備えを優先しています。
| 順 | 点検項目 | どこを確認する？ |
|---|---|---|
| 01 | No.12 管理者と特権ユーザーに多要素認証 | 認証プラグインまたはID連携設定を確認 |
| 02 | No.07 プラグインの重要な更新を放置しない | プラグイン一覧で更新・変更履歴・開発元告知を確認 |
| 03 | No.06 WordPress本体がサポート対象の更新状態 | 管理画面→ダッシュボード→更新を確認 |
| 04 | No.08 テーマと子テーマの更新状態を確認 | 外観→テーマとテーマ販売元の案内を確認 |
| 05 | No.09 PHPがサポート対象である | サイトヘルスとサーバーのPHP設定を確認 |
| 06 | No.13 必要最小限の権限を付与 | ユーザー→ユーザー一覧と各役割を確認 |
| 07 | No.21 サイトと管理画面をHTTPSで提供 | ブラウザとWordPress URL設定・SSL設定を確認 |
| 08 | No.23 WAFが有効で必要な保護を確保 | サーバーパネルのWAF項目・除外履歴を確認 |
| 09 | No.31 ファイルとデータベース双方を保存 | バックアップ設定・対象・保存先を確認 |
| 10 | No.34 復元テストを実施済み | 直近の復元テスト記録・所要時間を確認 |
この10項目はExcelの「優先点検10」シートにも掲載しています。確認結果が「50項目」シートと連動するため、別々に入力する必要はありません。
「適合・要対応・未確認・対象外」の正しい使い方
| 状態 | 判定の考え方 | 次に行うこと |
|---|---|---|
| 未確認 | まだ事実を確かめていない | 確認日・担当を決める |
| 適合 | チェック項目の合格基準を確認した | 証跡を残し定期点検へ |
| 要対応 | 基準を満たしていない | 担当者と対応期限を設定 |
| 対象外 | そのサイトでは本当に適用されない | 対象外とした理由を残す |
毎週見るものは更新情報とバックアップの実行状況、毎月見るものはユーザー権限やWAF・ログなど、半期ごとには復元テストや事故対応手順を見直すのが一例です。顧客情報や決済を扱うサイトでは、より高頻度で確認してください。
チェックリストの合格数が多くても、重大な更新漏れや管理者アカウントの不正利用が残っていればリスクは高いままです。合計点だけで安全性を判断せず、「高」優先度の未確認・要対応を先に解消してください。
管理・運用体制｜チェック項目01〜05
誰が管理するサイトなのかを明らかにすることが、更新漏れや事故対応の遅れを防ぐ出発点です。
合格基準：障害・更新時の最終判断者と連絡先が明確
確認：担当者表・保守契約・社内連絡先を確認
合格基準：契約者メールと更新日が確認できる
確認：ドメイン管理会社の契約情報・更新通知先を確認
合格基準：契約者・ログイン方法・2要素認証の管理先が記録されている
確認：サーバー契約画面と保管ルールを照合
合格基準：WordPress・DNS・CDN・メール・外部連携を把握
確認：管理画面と設定表で接続先・契約先を洗い出す
合格基準：保守終了時にアカウント・鍵・データを回収できる
確認：委託契約と共有ID・アクセス権を確認
更新・脆弱性管理｜チェック項目06〜10
公開中のWordPressで優先度が高いのは、ソフトウェアを安全に更新できる状態を維持することです。
合格基準：利用環境に適したセキュリティ更新を適用
確認：管理画面→ダッシュボード→更新を確認
合格基準：既知の深刻な脆弱性対応版を適用
確認：プラグイン一覧で更新・変更履歴・開発元告知を確認
合格基準：親テーマ・子テーマの互換性と更新を管理
確認：外観→テーマとテーマ販売元の案内を確認
合格基準：ホスティング側のサポートとWordPress互換性を満たす
確認：サイトヘルスとサーバーのPHP設定を確認
合格基準：更新トラブル時の復旧手順・担当がある
確認：バックアップ日時と更新手順書を確認
確認先：WordPress公式｜Updating WordPress ／ WordPress公式｜Manage Plugins ／ WordPress公式｜Hardening WordPress ／ WordPress公式｜サイトヘルス
ログイン・ユーザー権限｜チェック項目11〜15
推測されにくいパスワードだけでなく、多要素認証と最小権限を組み合わせます。
合格基準：他サービスと使い回さず安全に保管
確認：ユーザーごとのパスワード管理ルールを点検（秘密は記録しない）
合格基準：管理者がMFA/2FAで保護されている
確認：認証プラグインまたはID連携設定を確認
合格基準：投稿担当に不要な管理者権限がない
確認：ユーザー→ユーザー一覧と各役割を確認
合格基準：使わないユーザーがログインできない
確認：ユーザー一覧を実際の担当者名簿と照合
合格基準：試行制限・WAF等の防御と監視がある
確認：認証保護・ログイン履歴・レート制限を確認
確認先：WordPress公式｜Brute Force Attacks ／ OWASP Top 10:2025（日本語） ／ IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版
テーマ・プラグイン｜チェック項目16〜20
見えないところで動くプラグインや独自コードも、保守対象として扱います。
合格基準：正規の配布元から取得し提供元を記録
確認：配布元・ライセンス・更新履歴を確認
合格基準：停止中でも不要なものは残さない
確認：プラグイン一覧で未使用と停止中を確認
合格基準：重大な既知の脆弱性を放置していない
確認：更新日・サポート状況・公式告知を調べる
合格基準：独自コードの用途と保守担当が分かる
確認：子テーマfunctions.php・スニペット管理を確認
合格基準：アプリパスワードを個別発行し不要分を失効
確認：ユーザープロフィールのアプリケーションパスワード欄を確認
確認先：WordPress公式｜Hardening WordPress ／ WordPress公式｜Manage Plugins ／ OWASP Top 10:2025（日本語） ／ WordPress公式｜Application Passwords
サーバー・通信｜チェック項目21〜25
サーバー側の保護は重要ですが、WAFをONにしただけで無敵になるわけではありません。
合格基準：ログイン・フォームを含めHTTPS通信になっている
確認：ブラウザとWordPress URL設定・SSL設定を確認
合格基準：HTTPSページでHTTPリソースを読み込まない
確認：ブラウザー開発者ツールでMixed Contentを確認
合格基準：WAF設定を確認し誤検知対策も把握
確認：サーバーパネルのWAF項目・除外履歴を確認
合格基準：SFTP/SSH等の安全な接続を使用
確認：利用する接続ツールの方式と保存資格情報を確認
合格基準：wp-config.php等が外部公開されず必要な権限に制限
確認：管理者がサーバー設定と権限を確認（値は公開しない）
確認先：WordPress公式｜Hardening WordPress ／ OWASP Top 10:2025（日本語） ／ エックスサーバー公式｜WAF設定 ／ WordPress公式｜File Permissions
WAFをOFFにすると特定の編集・外部連携エラーが解消する場合がありますが、そのまま放置しないことが重要です。原因を確認し、必要最小限の調整と再有効化を検討してください。エックスサーバー公式も、WAFは攻撃を100％防ぐものではないと説明しています。
WordPress設定・API｜チェック項目26〜30
設定変更は誤ると管理画面や連携が壊れます。実際の利用機能を確認した上で進めます。
合格基準：サイト運用上不要な場合は編集を制限
確認：テーマ/プラグイン編集メニューと運用方針を確認
合格基準：画面にPHPエラーや秘密情報を表示しない
確認：表示とWP_DEBUG_DISPLAY等の設定を保守担当が確認
合格基準：不要な実行可能ファイルを公開ディレクトリで実行させない
確認：ホスト設定とアップロードフォルダの状態を確認
合格基準：使う場合は制限・監視、不要なら影響確認後制限
確認：外部連携・Jetpack等の利用とxmlrpc.phpの露出を点検
合格基準：必要な連携は正常動作し認証付きAPIは適切に保護
確認：ブロックエディター・フォーム・外部連携を試験
確認先：WordPress公式｜Hardening WordPress ／ OWASP Top 10:2025（日本語） ／ WordPress公式｜Brute Force Attacks ／ WordPress公式｜REST API認証
バックアップ・復元｜チェック項目31〜35
バックアップの有無だけでなく、保存範囲と「復元できるか」を確認します。
合格基準：wp-content等とDBを含む必要範囲が取得される
確認：バックアップ設定・対象・保存先を確認
合格基準：予定通り作成され失敗通知が確認できる
確認：最新実行日時と保存件数、失敗記録を確認
合格基準：本番サーバー事故で同時消失しない保管先がある
確認：保管場所・アクセス権・世代を確認
合格基準：テスト環境等で復元可能と確認できる
確認：直近の復元テスト記録・所要時間を確認
合格基準：必要な世代数とアクセス制限を決めている
確認：バックアップの期間・世代・改ざん防止策を確認
確認先：WordPress公式｜Hardening WordPress ／ エックスサーバー公式｜自動バックアップ ／ IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版 ／ エックスサーバー公式｜データ復元
バックアップの復元テストは、本番データをいきなり上書きするのではなく、検証環境で行うのが基本です。エックスサーバーの自動バックアップは通常過去14日分ですが、一部の旧サーバーには例外があり、独自バックアップも推奨されています。
監視・ログ｜チェック項目36〜40
異常が起きても気付けなければ対応が遅れます。見張る仕組みを確認します。
合格基準：不審なログインを特定できる
確認：セキュリティログ・ホストログの保存内容を確認
合格基準：権限変更・プラグイン追加等を追跡できる
確認：監査ログと更新履歴の保存状況を確認
合格基準：マルウェア・不審な改変の点検方法がある
確認：監視サービス・ファイル差分・セキュリティ告知を確認
合格基準：不審ログイン・脆弱性告知の受信先が有効
確認：通知設定と受信テストを確認
合格基準：サイト停止と証明書更新失敗を早期検知
確認：外形監視・証明書情報・通知テストを確認
確認先：WordPress公式｜Brute Force Attacks ／ OWASP Top 10:2025（日本語） ／ WordPress公式｜Hardening WordPress ／ IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版
フォーム・個人情報｜チェック項目41〜45
問い合わせフォームは、攻撃対策だけでなく個人情報の管理にも直結します。
合格基準：収集目的に必要な個人情報に限定
確認：フォーム項目と保存先を確認
合格基準：HTTPS・アクセス権・保存期間を管理
確認：フォーム送信先・DB・メール通知経路を確認
合格基準：フォームのレート制限等が適切
確認：スパムログ・動作テスト・対策設定を確認
合格基準：外部サービス・Cookie等の説明が実態に合う
確認：プライバシーポリシーと導入サービスを突合
合格基準：フォーム・分析・CRM連携の権限を把握
確認：外部接続先・共有情報・API権限を確認
事故対応・継続改善｜チェック項目46〜50
事故は防ぎ切れない可能性があるため、初動・復旧・再発防止を準備します。
合格基準：管理者・ホスト・制作会社の連絡経路がある
確認：連絡先一覧と休日対応ルールを確認
合格基準：証拠保全・アクセス制限・関係者連絡の手順がある
確認：手順書の有無と担当者の理解を確認
合格基準：許容停止時間・許容データ損失・検証項目を決定
確認：復旧計画・バックアップテスト結果を確認
合格基準：管理者・サーバー・API資格情報を失効/更新できる
確認：事故対応手順に資格情報変更が含まれるか確認
合格基準：改善期限・再点検日・是正状況が記録される
確認：直近の点検記録と未対応一覧を確認
確認先：IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版 ／ WordPress公式｜Application Passwords
WordPress管理画面で点検する具体的な手順
1．WordPressの更新状況を確認
管理画面の「ダッシュボード → 更新」でWordPress本体、テーマ、プラグインの更新を確認します。更新前にバックアップを取り、互換性に問題がないかを見てから作業してください。
2．サイトヘルスで問題を把握
「ツール → サイトヘルス」でPHPやHTTPS、更新などに関する情報を確認します。サイトヘルスは便利な入口ですが、これだけで全50項目を点検できるわけではありません。
3．ユーザー一覧で権限を見直す
「ユーザー → ユーザー一覧」で、不要な管理者権限や退職者・委託終了者のアカウントが残っていないかを確認します。削除前には投稿の引き継ぎも確認してください。
4．バックアップと復旧を分けて確認
ファイルとデータベースの両方が取れているかを確かめ、別の保管先を用意します。復元できるかの確認は、安全な検証環境で実施してください。
5．証跡は残す。ただし秘密情報は残さない
「管理画面の設定スクリーンショット」「更新履歴」「復元テストの実施日」などが証跡になります。一方、管理者パスワード、APIキー、バックアップの公開URLはExcelへ直接書かないでください。
自社で管理画面に入れない場合は、50項目をそのまま制作会社・保守担当に渡して、対応できる範囲・点検頻度・証跡の提供方法を相談できます。専門的な操作を無理に自己実施する必要はありません。
エックスサーバーで確認したいWAF・バックアップ
私がWordPressサイト運営で利用しているエックスサーバーには、サーバーパネルから確認できるWAF設定と自動バックアップ機能があります。どちらも有用ですが、脆弱なテーマやプラグインを放置してよい理由にはなりません。
WordPressの運用環境も含めて見直したい方へ
サーバーを選ぶ際は料金だけでなく、WAF、バックアップ、SSL、サポート、運用時の確認しやすさを比較しましょう。
エックスサーバー
※申し込み前に最新の契約条件をご確認ください。
WordPressセキュリティ点検でよくある質問
必須とまでは言えません。ホスティング側の保護、MFA、更新、バックアップなどの不足を洗い出し、必要な機能を選びましょう。機能が重なるプラグインの併用は動作確認が必要です。
更新通知やバックアップは毎週、ログイン権限やWAFは毎月、復元テストや事故対応体制は半年ごとなど、重要度で分けます。ECや顧客データを大量に扱うサイトでは頻度を増やしてください。
いいえ。実際にその機能や対策が不要と判断できる場合にのみ対象外を使い、根拠を記録してください。わからないだけなら未確認のままにします。
WAFは有効な防御策ですが、攻撃を完全に防ぐ仕組みではありません。WordPress本体やプラグインの更新、認証強化、バックアップなどと併用してください。
不要ではありません。ファイルだけでなくDBも揃っているか、復元後にログインやフォームが動くかを安全な検証環境で確認してください。
一律に停止するのはおすすめしません。WordPressの機能や外部連携が使えなくなる場合があります。実際の利用要件を確認し、必要なアクセス制限と認証対策を選んでください。
使えます。担当者・期限・証跡を記録できるため、受託保守の確認表としても利用できます。ただし脆弱性診断の証明書や侵害不存在の保証にはなりません。
無料です。ダウンロード後に自社用に加工して使えます。メールアドレス登録を前提にしていません。
更新や権限変更の前に、バックアップと影響範囲を確認してください。wp-config.phpやサーバー設定の変更はサイト停止につながる可能性があるため、不安なら管理者・制作会社に相談してください。
チェックリストの根拠となる公式資料
WordPressの設定やセキュリティ対策は、テーマ・プラグイン・サーバー環境によって適切な方法が変わります。公式文書で根拠を確認し、実際の運用環境に合わせて判断してください。
- WordPress公式｜Hardening WordPress
- WordPress公式｜Brute Force Attacks
- WordPress公式｜Updating WordPress
- WordPress公式｜サイトヘルス
- IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版
- OWASP Top 10:2025（日本語）
- エックスサーバー公式｜WAF設定
- エックスサーバー公式｜自動バックアップ
- エックスサーバー公式｜データ復元
- WordPress公式｜Application Passwords
本チェックリストは上記資料の逐語的な転載ではなく、実務上の点検作業に使えるよう独自に整理したものです。詳細は公式情報をあわせてご確認ください。
WordPressの安全管理は「点検→改善→再確認」で続けよう
WordPressセキュリティの基本は、更新・認証・権限・通信・バックアップ・監視・事故対応を継続して確認することです。 50項目を一気に全部適合にする必要はありません。まず優先10項目を調べ、未確認を減らし、重大な要対応から改善してください。
無料Excelには、公式出典付きの50項目と、担当・期限・証跡・進捗を管理する仕組みを収録しました。社内の点検や受託保守にも活用できます。
点検するなら、この50項目から
点検結果を入力するだけで、未確認数・要対応数・点検進捗をまとめて把握できます。
50項目の無料Excelをダウンロード 無料・登録不要／.xlsx形式／2026年11月版