「iThemes Securityを入れたいが、検索結果に出てくる画面と現在の管理画面が違う」と戸惑っていないでしょうか。
iThemes Securityは、Solid Securityへの改称を経て、現在はKadence Securityとして提供されています。2018年当時の設定画面や項目名は現行版と大きく異なるため、古い手順をそのまま再現するのはおすすめできません。
この記事では、旧iThemes Securityの記事を現在の状況に合わせて整理し直し、Kadence Securityを安全に導入・設定するための判断基準を解説します。
先に結論
- 変更前に必ずバックアップを取得する
- できればステージング環境で確認する
- 二要素認証、ログイン保護、脆弱性通知から始める
.htaccess、wp-config.php、REST API、XML-RPCなどは一括変更しない- レンタルサーバーや他のセキュリティ機能との重複を確認する
iThemes Securityは現在Kadence Security
このプラグインは長く「iThemes Security」の名称で提供され、2023年に「Solid Security」へ改称されました。その後、バージョン10系で「Kadence Security」へブランドが変更されています。
WordPressのプラグインディレクトリ上の識別子は現在も better-wp-security のため、古い記事や設定ファイルにiThemes SecurityまたはSolid Securityという名称が残る場合があります。
| 時期 | 名称 | 確認時の注意 |
|---|---|---|
| 旧名称 | iThemes Security | 古い記事・画像・設定例で多く使われる |
| 2023年以降 | Solid Security | 管理画面や機能構成が刷新された |
| 現行 | Kadence Security | WordPress.orgの現行配布名 |
最新の名称、必要バージョン、更新履歴は、導入前にWordPress.org公式プラグインページで確認してください。
導入前に確認する3項目
1. WordPressとPHPの要件
2026年8月時点の現行版は、WordPress 6.5以上、PHP 7.4以上を要件としています。古いWordPressやPHPで無理に導入するのではなく、先に安全な更新計画を立ててください。
2. サーバー・テーマ・他プラグインとの重複
ログイン制限、WAF、二要素認証、バックアップ、マルウェア検知などは、レンタルサーバーや別のプラグインがすでに提供している場合があります。同じ目的の機能を重複させると、ログイン不能、誤検知、処理負荷の増加につながることがあります。
プラグインを増やす前に、WordPressプラグインを安全に選ぶ8つの確認項目も確認してください。
3. 元に戻せる状態か
設定変更前に、ファイルとデータベースの両方をバックアップします。可能なら本番ではなくステージング環境で試し、管理画面へのログイン、公開ページ、フォーム、REST APIなどを確認してから本番へ反映します。
最初に優先したい設定
二要素認証
パスワードが漏えいしても、追加の認証要素によって不正ログインを防ぎやすくなります。まず管理者アカウントから有効にし、復旧コードを安全な場所へ保管してください。全利用者へ一度に強制する場合は、事前に案内と復旧手順を用意します。
ブルートフォース攻撃への保護
短時間に繰り返されるログイン試行を制限します。ただし、厳しすぎる回数や長すぎるロックアウト時間は、正規の管理者まで締め出す原因になります。初期値を基準に、小さく始めてログを確認します。
脆弱性スキャンと通知
WordPress本体、テーマ、プラグインの既知の脆弱性を確認し、対応が必要な項目を通知できるようにします。通知を受け取るだけでは保護にならないため、更新、代替プラグインへの切り替え、不要機能の削除まで行う運用が必要です。
ログの確認
ロックアウトや設定変更の記録は、異常の把握に役立ちます。一方、保存期間を長くしすぎるとデータベース容量が増えるため、必要な期間を決めて定期的に確認します。
環境確認なしで変更しない設定
.htaccessとwp-config.phpへの書き込み
これらはWordPressの動作に直結する重要ファイルです。「自動化できて便利」という理由だけで書き込みを許可せず、変更内容、バックアップ、復旧手段を確認してください。設定を誤るとサイトや管理画面へアクセスできなくなる可能性があります。
ログインURLの変更
機械的なアクセスを減らす効果は期待できますが、URLを忘れたり、他のログイン機能と競合したりする可能性があります。変更する場合は、新URLと復旧手順をパスワード管理ツールなどへ記録します。
XML-RPCとREST APIの制限
使用していない機能を制限する考え方自体は有効ですが、WordPressアプリ、外部投稿、Jetpack、サイト管理サービス、WPWriterなどが利用している可能性があります。用途を調べずに無効化すると連携が停止するため、通信元と必要機能を確認して判断します。
IPアドレスの許可・拒否
家庭用回線やモバイル回線ではグローバルIPアドレスが変わることがあります。現在のIPだけを許可すると、自分自身がログインできなくなる可能性があります。固定IPかどうか、緊急時にサーバー側から解除できるかを確認してください。
無料版と有料版を混同しない
スキャン頻度、仮想パッチ、詳細なユーザーログ、自動対応など、一部機能は有料版に限定される場合があります。古いレビューの機能表ではなく、現行の公式ページと管理画面で利用可能な範囲を確認してください。
また、セキュリティプラグインだけで対策が完了するわけではありません。WordPress・テーマ・プラグインの更新、不要アカウントの削除、強固なパスワード、バックアップ、サーバー側WAFなどを組み合わせます。
安全な導入手順
- 現在のWordPress、PHP、テーマ、プラグイン構成を記録する
- ファイルとデータベースをバックアップする
- ステージング環境へKadence Securityを導入する
- 二要素認証、ログイン保護、脆弱性通知を一つずつ設定する
- 設定ごとに管理画面、公開ページ、外部連携を確認する
- 問題がなければ本番へ同じ設定を段階的に反映する
- 導入後もログと通知を定期確認する
不具合が起きたときの戻し方
管理画面へ入れなくなった場合に備え、レンタルサーバーのファイルマネージャーまたはSFTPでプラグインを停止できるようにしておきます。一般には対象プラグインのフォルダー名を一時的に変更すると、WordPressから無効化できます。
ただし、設定によって .htaccess や wp-config.php が変更されている場合は、プラグイン停止だけでは戻らない可能性があります。そのため、導入直前のバックアップと変更記録が重要です。
まとめ
iThemes Securityの古い設定画面を探して同じ値を入力するのではなく、現在のKadence Securityで必要な機能だけを段階的に有効化するのが安全です。
- 現行名称と動作要件を公式ページで確認する
- バックアップとステージングを先に用意する
- 二要素認証、ログイン保護、脆弱性通知から始める
- 重要ファイルや外部連携に影響する設定は個別に検証する
- セキュリティプラグインだけに依存しない
サイト全体の対策を整理したい場合は、WordPressでやっておきたいセキュリティ対策とWordPressのセキュリティプラグイン比較もあわせて確認してください。
コメント