WordPressのセキュリティ対策を進めようとプラグインを探すと、たくさんの名前が出てきて迷ってしまいますよね。
「どれを入れれば安全なの？」 「無料版だけで足りるの？」 「設定が難しくてサイトが動かなくなったらどうしよう……」
そんな不安を感じる方も多いのではないでしょうか。
無料でWAFとマルウェア検査をまとめたいならWordfenceが第一候補です。すでにAIOSを使い、監査ログや設定を管理できているなら、無理に乗り換える必要はありません。
※2026年10月29日時点の公式情報と、私が異なるWebサイトで各プラグインを1年以上使ってきた運用経験をもとに比較しています。同じ条件で攻撃や検知性能を実測したランキングではありません。
プラグインを選ぶときは、「機能が多いかどうか」よりも、「必要な防御が備わっていて、自分自身で更新・ログ・復旧を無理なく管理できるか」が大切です。
この記事では、代表的な4製品の無料版を取り上げ、それぞれの強みや制約、選ぶときのポイントを分かりやすく整理してお伝えします。
3問で選ぶ、あなたに合うプラグイン
今使っているプラグインと必要な機能を選ぶと、この記事で紹介する4製品から候補を絞れます。選ぶ理由と、無料版で足りない機能も確認してみてください。
次の比較表と各製品の説明で、必要な機能と管理できる範囲を確認して選べます。
この記事で紹介する4製品の無料機能と選定条件を整理しています。機能・仕様の確認日：2026年10月29日。
おすすめセキュリティプラグイン4選を無料版で比較
まずは、代表的な4つのプラグインの無料版について、主な強みや向いている用途、注意しておきたい制約を一覧表で確認してみましょう。
| プラグイン名 | 無料版の主な強み・向く用途 | 主な制約・注意点 |
|---|---|---|
| Wordfence Security | WAF、マルウェア検査、2要素認証、パスキーが揃う。無料で防御とスキャンを一元管理したい人向け | 新しい防御ルール・シグネチャの配信が有料版より30日遅れる。詳細な監査ログは有料版が中心 |
| All-In-One Security（AIOS） | 監査ログ、ファイル変更検知、WAF、2要素認証。サイトの操作履歴を確認しながら運用したい人向け | マルウェア検査機能や2FAの緊急復旧コードは有料（Premium）。ログの肥大化に注意 |
| CloudSecure WP Security | 日本語の管理画面、2段階認証、ログイン保護、シンプルWAF。手軽に基本対策を固めたい人向け | マルウェア検査機能は公式機能一覧で確認できない。公式の動作確認はApache環境中心 |
| SiteGuard WP Plugin | ログインURL変更、画像認証、ログインロック。ログイン周りの不正アクセス対策に特化したい人向け | 2要素認証やマルウェア検査は公式機能一覧に見当たらない。WAFチューニングサポートは別製品の除外ルール設定を助ける機能 |
※2026年10月29日時点の公式情報に基づきます。WAF（Web Application Firewall）の仕組みや防御範囲は製品ごとに異なります。
Wordfence Security｜無料でWAFとマルウェア検査をまとめたい人に
Wordfence公式登録ページ / Wordfence Free（確認日：2026年10月29日）
Wordfence Securityは、世界中で幅広く使われている総合型のセキュリティプラグインです。
最大の強みは、無料版でありながら「通信の遮断（WAF）」と「サイト内のスキャン（マルウェア検査）」の両方を備えている点にあります。
主な無料機能は次のとおりです。
- Webアプリケーションファイアウォール（WAF）：悪意のあるリクエストを検知して遮断
- マルウェア検査：ファイル内の不審なコードやファイルをスキャン
- 公式ファイルとの比較・復元：WordPress本体や公式プラグインのファイル改変を検知し、元の状態へ戻す
- 脆弱性通知：導入しているテーマやプラグインに既知の脆弱性が見つかった場合の通知
- ログインセキュリティ：2要素認証（2FA）、ログイン試行回数の制限、パスキー対応
特に頼もしいのがマルウェア検査機能です。単に怪しい文字列を調べるだけでなく、WordPress公式リポジトリに登録されている正規ファイルと比較して、予期せぬ改ざんがないかをチェックしてくれます。
変更を検出したファイルは公式ファイルで復元することも可能ですが、もし自分でファイルを直接カスタマイズしていた場合、その変更まで上書きされて消えてしまうリスクがあります。復元機能を使う前には、必ずバックアップを取り、どのファイルが対象になっているか確認しましょう。
なお、2026年8月（バージョン9.0.0）には無料版でもパスキー認証に対応しました。指紋認証や顔認証、端末のPINコードを使ってログインできます（公式変更履歴、パスキーの公式説明）。
無料版は新しい防御ルールと検出情報が30日遅れる
非常に多機能なWordfenceですが、無料版には明確な制約もあります。
最も大きな違いは、最新の脅威に対する防御ルール（WAFルール）やマルウェアシグネチャ（検知用データ）の配信タイミングです。有料版には即時配信されますが、無料版では30日遅れで提供されます。
新しく配信されるルールや検出情報で対処する攻撃については、無料版に届くまで有料版との差があります。最新の対策が必要か、無料版の配信条件で運用できるかを確認して選びましょう（Wordfence Freeの公式説明）。
スキャン負荷と監査ログの範囲も確認する
もう一つの注意点は、サーバーへのスキャン負荷と監査ログの仕様です。
Wordfenceのスキャンはサイト内のファイルを詳しく読み込むため、サーバーのCPUやメモリ、データベースに負荷をかけます。サーバーのスペックによっては、スキャン中に管理画面の動作が重くなることがあります。
Wordfenceにはリソース消費を抑える設定（Use low resource scanning）が用意されているので、共用レンタルサーバーなどを利用している場合は有効化を検討するとよいでしょう。ただし、負荷を下げる分、スキャンの完了までに時間がかかるようになります（公式の負荷調整方法）。
また、サイト内の操作履歴を記録する「監査ログ（Audit Log）」について、無料版で確認できるのは日時やイベントの種類などの限定的な要約（Preview）にとどまります。詳細なイベントログの確認やWordfence Centralへの保存が必要な場合は有料ライセンスなどの対象となります（監査ログの公式説明）。
All-In-One Security（AIOS）｜操作履歴を確認しながら管理したい人に
AIOS公式登録ページ（確認日：2026年10月29日）
All-In-One Security（AIOS）は、WordPressのセキュリティ設定をきめ細かく調整できる人気のプラグインです。
無料版でも、WAF、ログイン回数制限、2要素認証、ファイルの変更検知、そして詳細な監査ログを利用できます。
AIOSの大きな強みは、サイト内で「誰が・いつ・何をしたか」を記録する無料の監査ログが充実していることです。ユーザーのログイン状況やプラグインの更新・削除といった出来事が記録されるため、不具合が生じた際や不審な挙動があったときの原因調査に役立ちます。
ただし、用語の違いには注意が必要です。AIOS無料版に備わっているのは「ファイルの変更検知」であり、不正なコードを見つけ出す「マルウェア検査」ではありません。マルウェア検査機能を利用するには有料のPremium版が必要です。
また、無料版でも2要素認証を設定できますが、万が一スマートフォンなどを紛失したときに使用する「緊急復旧コード」はPremium版限定の機能となっています。無料版で2要素認証を使う場合は、ログインできなくなるトラブルに備えて事前のバックアップや復旧経路をしっかり確認しておきましょう。
監査ログが約2GBになった経験から保存期間を確認する
監査ログは非常に心強い機能ですが、運用するうえで気をつけておきたい点があります。それがログデータの肥大化です。
カッパパ私が管理しているWordPressサイトの一つで、AIOSの監査ログが約2GBまで膨らんでしまったことがありました。大量のログイン失敗などが記録されており、データベースの容量を圧迫していたのです。
すべてのサイトで必ず起こるわけではありませんが、セキュリティログは「ただ保存しておく」のではなく、「保存期間を適切に管理する」ことが大切だと実感した経験でした。
実際の運用では、古いログの削除とデータベースの最適化を検証しました。なお、2026年10月26日に公開されたAIOS 5.5.0では、監査ログの保存期間を設定する機能が追加され、標準の保存期間は30日になりました（公式変更履歴）。
プラグインを更新するだけでなく、自分のサイトでログの保存期間がどう設定されているか、データベースが不要に圧迫されていないかを一度確認してみることをおすすめします。
CloudSecure WP Security｜日本語で基本の防御を管理したい人に
CloudSecure WP Security公式登録ページ / 公式機能一覧（確認日：2026年10月29日）
CloudSecure WP Securityは、レンタルサーバー大手のXServerが提供している国産のセキュリティプラグインです。
管理画面が完全に日本語化されており、設定項目もシンプルに整理されているため、英語のプラグインに苦手意識がある人でも迷わず導入しやすいのが魅力です。
主な機能は次のとおりです。
- ログイン保護：ログインURLの変更、ログイン試行回数の制限、画像認証（CAPTCHA）
- 2段階認証：認証アプリ（Google Authenticator等）またはメールで届くコードによる認証
- シンプルWAF：不正なアクセスや攻撃的なリクエストを遮断
- 通信制限：XML-RPCの無効化など
国内でよく使われているSiteGuardと似ていますが、CloudSecureは単体で2段階認証やシンプルWAFを備えている点が異なります。ログイン周辺の対策に加え、基本的な防御を手軽にまとめて設定したい人に向いています。
一方で、Wordfenceのようなマルウェア検査機能は公式機能一覧では確認できません。
また、公式ドキュメントではApache 2.x環境での動作確認が記載されており、マルチサイトには非対応となっています。画像認証にはGDライブラリ、ログインURL変更にはmod_rewriteが必要など、動作要件が指定されているため、契約しているサーバー環境の仕様を事前に確認しておくと安心です。
SiteGuard WP Plugin｜ログイン周辺の保護を中心に使いたい人に
SiteGuard WP Plugin公式登録ページ（確認日：2026年10月29日）
SiteGuard WP Pluginは、日本のWordPressサイトで古くから親しまれている定番プラグインです。
特徴は、ログインページの保護に特化している点です。
主な機能は次のとおりです。
- ログインページ変更：ログインURLを推測されにくい文字列に変更
- 画像認証：ひらがなや英数字による文字入力でbotによる総当たり攻撃を防止
- ログインロック：短時間の連続ログイン失敗を検知して接続を一時遮断
- ログインアラート：ログインがあったことをメールで通知
- 管理画面アクセス制限：ログインしていない接続元からの管理画面アクセスを制限
設定がとてもシンプルで、日本語での解説記事もネット上に豊富にあるため、初めてセキュリティ対策をする人でも手軽に導入できます。
ただし、SiteGuardはログイン周辺の防御を中心としたプラグインであり、2要素認証やマルウェア検査といった機能は公式機能一覧に見当たりません（一度ログイン失敗させて遅延させる「フェールワンス」はありますが、別端末等で確認する2要素認証とは異なります）。
カッパパ私が使った範囲では、SiteGuard一つだけでは必要な機能が不足していると感じました。マルウェア検査や2要素認証まで必要なら、別の方法で補うか、ほかのプラグインを選ぶかを考えたいところです。
なお、機能一覧にある「WAFチューニングサポート」は、サーバーにSiteGuard Server Editionが導入されている環境で誤検知の除外ルールを作成するための補助機能です。プラグイン単体で外部からの攻撃通信を遮断するWAF機能ではない点には注意してください。
SiteGuardを使う場合は、ログイン対策に特化したツールとして位置づけ、サーバー側のWAFや他の対策と上手に組み合わせて活用するのが適しています。
導入・乗り換え前に確認したい3つのこと
セキュリティプラグインを導入したり、別のプラグインへ乗り換えたりする前には、トラブルを防ぐために確認しておきたい重要なポイントが3つあります。
サーバーの防御とプラグインの機能重複を確認する
「たくさん対策を入れたほうが安全だろう」と考えて、異なるプラグインをいくつも同時に有効化するのはおすすめできません。
例えば、WordfenceとAIOSを両方有効にすると、WAFやログイン回数制限などの機能が二重に動作する可能性があります。どちらの設定で遮断されたか分かりにくくなるため、使う機能と担当するプラグインを整理しておきましょう。
特に注意したいのが、SiteGuardやAIOSなどに見られるログインURL変更機能の重複です。複数のプラグインで同時にログインURLを変更してしまうと、正しいURLが分からなくなったり、ページが正しく読み込めなくなったりする危険があります。ログインURL変更を試す場合は、必ず一つのプラグインに絞って設定してください。
一方で、レンタルサーバー側が提供しているWAFと、WordPressプラグインのWAFは、役割を補完し合える場合があります。
サーバー側でリクエストを検査するWAFと、WordPressに近い場所で通信を検査するWAFでは、動作する場所やルールが異なります。サーバーの案内と各製品の仕様を確認し、どの防御をどこで行うか整理して管理することが大切です（WordPress公式のファイアウォールの説明）。
認証を強める前にバックアップと復旧方法を確保する
2要素認証やパスキー、ログインURL変更などを設定する前には、必ずサイト全体のバックアップを取り、ログインできなくなった場合の復旧経路を確保しておきましょう。
認証設定のトラブルは、サイト運営で最も焦るトラブルの一つです。スマートフォンの機種変更や故障、アプリの削除、Cookieのトラブルなどで、自分自身が管理画面に入れなくなってしまうことがあります。
特にAIOS無料版のように、緊急復旧コードが有料版限定の機能となっている場合もあります。契約サーバーやプラグインの提供元が案内している復旧方法を確認し、必要な管理権限を使える状態にしてから設定を有効化しましょう。
設定後はログインとフォーム・外部連携の動作を確認する
セキュリティ設定をするときは、一度にすべての機能を「有効」にするのではなく、一つずつ設定を変更しながら動作を確認するのが鉄則です。
防御を強めすぎると、サイトの正規の機能まで止まってしまうことがあるためです。
特に気をつけておきたいのが、REST APIやXML-RPCの制限設定です。
例えば、代表的なお問い合わせフォームプラグインである「Contact Form 7」は、バージョン4.8以降、Ajaxによるスムーズなフォーム送信にWordPressのREST APIを利用しています（Contact Form 7公式FAQ）。
セキュリティプラグインでREST APIを一律に無効化してしまうと、フォームの送信時にエラーが発生したり、Ajax送信が機能しなくなったりする恐れがあります。
また、XML-RPCについても、使っていないサイトでは無効化することで不正アクセス対策になりますが、スマートフォンアプリからの投稿や外部サービスとの連携で利用している場合は連携が切れてしまいます。
設定を変更した後は、以下の項目を必ずチェックしてください。
- 別のブラウザやシークレットウィンドウから正常にログインできるか
- お問い合わせフォームから正常にメッセージを送信できるか
- 外部連携や主要なプラグインが正常に動作しているか
プラグインとあわせて更新・バックアップを続ける
どんなに優れたセキュリティプラグインを導入しても、プラグインを入れただけでセキュリティ対策が完了するわけではありません。
WordPress公式のセキュリティ指針（Hardening WordPress）でも説明されているとおり、セキュリティは「単一のツール」ではなく「日々の運用の積み重ね」です。
また、マルウェアスキャンで問題が検出されなかったとしても、それは「現時点で既知の脅威が見つからなかった」ということであり、過去の不正アクセスや未知の脆弱性がないことを完全に証明するものではありません。
プラグインの導入と並行して、日頃から次の3つの基本管理を続けましょう。
- 更新管理：WordPress本体、PHPのバージョン、テーマ、プラグインを常に最新の安定版に保つ。使っていない不要なプラグインやテーマは無効化するだけでなく削除する。
- サーバー管理：WAF、アクセス制限、管理アカウントの保護を確認する。訪問者や外部連携への影響を確かめ、使う機能を決める。
- バックアップ：データベースとファイル（画像やテーマファイル等）の両方を定期的にバックアップし、万が一の改ざんや障害時に元の状態へ復元できる手順を確認しておく。
セキュリティプラグインは、こうした日々の管理を助けてくれる心強い味方ですが、依存しすぎず、基本の運用をセットで回していくことが大切です。
まとめ：必要な機能と続けられる運用で選ぶ
WordPressのセキュリティプラグイン4選について、無料版の機能や運用の注意点をご紹介しました。
最後に、選び方の基準をもう一度整理します。
- Wordfence Security：無料でWAFからマルウェア検査まで一括して導入したい新規導入者におすすめ
- All-In-One Security（AIOS）：詳細な監査ログを活用し、設定や保存期間を自分で管理できているなら無理に乗り換えず継続するのが合理的
- CloudSecure WP Security：日本語の分かりやすい画面で、ログイン保護と基本のWAFを手軽に整えたい人におすすめ
- SiteGuard WP Plugin：ログインURL変更や画像認証など、ログイン周りの保護に絞って活用したい人におすすめ
セキュリティプラグイン選びで最も大切なのは、「機能の多さ」ではなく、「自分のサイトに必要な防御が揃っていて、無理なく管理し続けられるか」です。
まずは現在のサイト環境でどのような対策がすでに行われているか（サーバーのWAF設定など）を確認し、各プラグインの公式仕様ページをチェックして、ご自身のサイトにぴったりの1つを選んでみてくださいね。