国産のセキュリティ用WordPressプラグイン「CloudSecure WP Security」の使い方

CloudSecure WP Securityは、エックスサーバーが提供している無料のセキュリティプラグインです。ログイン画面への総当たり攻撃や、管理画面・設定ファイルへの不正なアクセスを防ぐ機能が、日本語の画面に15個そろっています。

有効化すると、そのうち8つがその時点でオンになります。ログインの失敗が続いたときのロックや、設定ファイルへのアクセスの遮断などです。

残りのうち6つは、自分でオンにするまで動きません。ログインURLの変更、2段階認証、シンプルWAFなどです。

エックスサーバーの検証サイトに入れ、初期状態で何が守られるのか、追加の設定で何が変わるのかを、外からアクセスして確かめました。

CloudSecure WP Securityとは

CloudSecure WP Securityは、ログイン画面や管理画面を攻撃から守る、日本語のセキュリティプラグインです。無料で使え、アカウントの登録もいりません。WordPress.orgでの有効インストール数は10万以上です。

開発していたクラウドセキュア株式会社から、エックスサーバー株式会社に事業が移り、今はエックスサーバーが提供と更新を続けています。

参考：CloudSecure WP Security（WordPress.org）

CloudSecure WP Securityのインストール方法

エックスサーバーなら、最初から入っていることがある

エックスサーバーの「WordPress簡単インストール」や「クイックスタート」でWordPressを入れると、CloudSecure WP Securityも一緒に入ります。管理画面の「プラグイン」に、すでにあるかを確かめます。

管理画面から入れる

管理画面から「CloudSecure WP Security」を検索してインストールするか、下のボタンからもダウンロード可能です。プラグインファイルを wp-content/pluginsディレクトリにアップした後、管理画面から有効化してください。

CloudSecure WP Security

有効化しただけで動く8つの機能

有効化すると、管理画面の左のメニューに「CloudSecure WP Security」が増えます。開くとダッシュボードが表示され、「有効」の印が付いた機能が今動いているものです。

このほかに、設定画面のない守りも入っています。2026年8月に公表されたWordPressの脆弱性「wp2shell」に備え、投稿を編集できないユーザー（ログインしていない人を含む）からのREST APIのまとめて実行（/wp-json/batch/v1）を止めるものです。

有効化の前と後で、外からの見え方を比べた

検証サイトに、ログインしていない状態でアクセスして比べました。

「/?author=1」は止まりましたが、REST APIのユーザー一覧（/wp-json/wp/v2/users）からは、3人分のユーザーのスラッグがそのまま見えました。スラッグは、多くの場合ログインに使うユーザー名と同じ文字列です。「ユーザー名漏えい防止」が守るのは「?author=数字」のアクセスだけです。REST APIからも隠したいときは、下の「REST API無効化」をオンにします。

XML-RPCも、初期設定ではピンバックを止めるだけです。スマートフォンのアプリや外部のサービスからXML-RPCで投稿していないなら、「XML-RPC無効化」の設定画面で「XML-RPC無効」を選ぶと、XML-RPCへのアクセスがすべて403で遮断されます。

追加で設定したい機能

どの機能も、ダッシュボードか左のメニューから設定画面を開き、「有効」を選んで「変更を保存」を押すと動き始めます。

ログインURL変更

ログイン画面のURLを「wp-login.php」から、自分で決めた文字列に変えます。

「有効」を選び（①）、新しいログインURLの文字列（②）を入れます。半角の英小文字・数字・ハイフン・アンダースコアで、4〜12文字です。初めから入っているランダムな文字列のままでも使えます。

検証サイトで「tcd-login」に変えると、「/wp-login.php」は404になり、「/tcd-login」でログイン画面が開きました。

このとき、「管理者ページからログインページにリダイレクトしない」（③）には必ずチェックを入れます。チェックなしで試すと、ログインしていない状態で「/wp-admin/」を開いたときに、新しいログインURLへ転送されました。URLを変えた意味がなくなります。チェックを入れると、「/wp-admin/」を開いても新しいURLは出ませんでした。

新しいログインURLはブックマークしておきます。忘れたときは、FTPでプラグインのフォルダ名を変えて止めれば、元の「wp-login.php」でログインできます。

なお、この機能はApacheのmod_rewriteを使います。エックスサーバーなどApacheが動いているサーバーでは使えますが、nginxだけで動いているサーバーでは働きません。

2段階認証

パスワードに加えて、6桁のコードを入れないとログインできないようにします。

「有効」を選び（①）、2段階認証を求める権限グループ（②）にチェックを入れて保存します。そのあと、各ユーザーが自分で認証方法を設定します。認証方法は、Google Authenticatorなどの認証アプリか、メールで届くコードのどちらかを選べます。スマートフォンを失くしたときに使うリカバリーコードも作れます。

「XML-RPC経由のログインを遮断する」（③）は、初めからチェックが入っています。XML-RPCを使ったログインには2段階認証がかからないため、外さないようにします。バージョン1.4.8では、XML-RPC経由のログインで2段階認証を回避できる脆弱性が直されています。

権限グループの違いは、こちらの記事で紹介しています。

指紋や顔でログインしたいなら、パスキーを使う方法もあります。

シンプルWAF

WordPressへのよくある攻撃を見つけて、403エラーで遮断します。

「有効」を選ぶ（①）と、SQLインジェクション、クロスサイトスクリプティングなど5種類の攻撃を遮断します（②）。初めからすべてにチェックが入っています。

検証サイトで、攻撃に使われる文字列をURLに付けてアクセスしました。

遮断したアクセスは、「検知履歴を表示」（③）から確かめられます。

どの種類の攻撃として遮断したか、URLのどの部分に反応したか、アクセス元のIPアドレスが残ります。管理者へのメール通知もあり、1分以内に同じ種類の攻撃が続いたときは、履歴にだけ残してメールは送りません。

エックスサーバーには、サーバーパネルで設定する別の「WAF」もあります。サーバーの入口で止めるものと、WordPressが受け取ったところで止めるもので、役割が違います。普通の操作が遮断されたときは、検知履歴を見て、該当する攻撃の種類のチェックを外します。

REST API無効化

ログインしていない人などからのREST APIへのアクセスを止めます。オンにすると、検証サイトでは「/wp-json/wp/v2/users」が401になり、ユーザー一覧が見えなくなりました。

止めないものは「除外リスト」（①）に書きます。初めから「oembed」「contact-form-7」「akismet」が入っています。右の一覧（②）の「＋」を押すと、使っているプラグインやテーマを除外リストに足せます。テーマを除外できるのは、バージョン1.4.13からです。

プラグインのコードを見ると、投稿を編集できるユーザー（寄稿者以上）は止めない作りです。ブロックエディターなど、ログインして使う画面には影響しません。

気をつけたいのは、ログインしていない訪問者がREST APIを使う機能です。お問い合わせフォームや「いいね」ボタン、検索の候補表示などが動かなくなったら、そのプラグインやテーマを除外リストに足します。

そのほかの機能

「管理画面アクセス制限」には、初めから「css」「images」「admin-ajax.php」「load-styles.php」「site-health.php」が除外として入っています。admin-ajax.phpは、ログインしていない訪問者向けの機能でも使われるため、外さないようにします。

SiteGuard WP Pluginとの違い

同じ日本語のセキュリティプラグイン「SiteGuard WP Plugin」と、WordPress.orgの説明とプラグインのコードで機能を比べました。

ログインまわりの守りは、どちらもほぼ同じです。2段階認証やWAFまで1つで済ませたいならCloudSecure WP Security、すでにSiteGuard WP Pluginで運用しているなら、無理に乗り換える必要はありません。どちらか1つに絞り、両方を同時に入れないようにします。ログインURLの変更などが重なり、ログインできなくなるおそれがあるためです。

使うときの注意点

• プラグインはこまめに更新する：2026年に入ってからも、wp2shellへの対策（1.4.11）や、テンプレートの読み込みに関する脆弱性への対策（1.4.17）が入っている
• ログイン通知のメールが増える：初期設定でオンのため、管理者がログインするたびにメールが届く。管理者が多いサイトや、毎日ログインする人には多くなる。不要なら「ログイン通知」をオフにする
• ほかのセキュリティプラグインと重ねない：同じ役割の機能がぶつかり、ログインできなくなったり、画面が動かなくなったりすることがある
• 締め出されたときの戻し方を知っておく：ログインできなくなったら、FTPでプラグインのフォルダ名を変えると止まる

プラグインに頼らない対策も含めた全体は、こちらの記事でまとめています。

まとめ

入れただけでも、ログインの総当たりや設定ファイルへのアクセスは防げます。ただ、検証ではREST APIからユーザー名が見えたままで、XML-RPCも大半が使える状態でした。

入れたら次の3つを確かめておきます。「ログインURL変更」をオンにしてリダイレクトしない設定にする。2段階認証をオンにして、自分のアカウントで設定する。シンプルWAFをオンにして、しばらく検知履歴を見る。

マルウェアのスキャンや、ファイルの改ざんの検知はありません。そこまで必要なら、Wordfence Securityのような総合型のプラグインを選びます。