「Kadence Security」とは？
「Kadence Security」（旧Solid Security）は、Nexcess（@stellarwp） が提供する WordPress 向けセキュリティプラグインです。ブルートフォース攻撃の防止・ファイル変更の検知・ログインURLの変更など、基本的なセキュリティ対策を無料で実装できます。この記事では、実際のセットアップ手順に沿って、無料版でできる設定を解説します。

セットアップウィザード

インストール前に必ずバックアップを
設定変更が .htaccess や wp-config.php に書き込まれるため、先にバックアップを取っておきましょう。 『All-in-One WP Migration』 などを使用してください。

プラグインを有効化して、左メニュー > Security（セキュリティ） > Setup から、
セットアップウィザードが起動します。

最初のダイアログ（フィードバック）

「Help us improve Solid Security」が表示されます。
メールの受け取りが不要な場合は Skip で問題ありません。

サイトタイプの選択

サイトの種類を選びます。個人ショップ・中小企業などの情報発信目的のシンプルなサイトは 「Brochure」 を選択します。

選択肢 用途
eCommerce 商品販売サイト
Network コミュニティサイト
Non-Profit 非営利団体
Blog ブログ
Portfolio ポートフォリオ
Brochure シンプルな情報サイト（推奨）

サイトスキャン

「Scan Site」でスキャンできますが、.htaccess でセキュリティ制限を設定済みの場合はスキャンがブロックされてエラーになります。その場合は 「Skip for Now」 でスキップして問題ありません。

ブルートフォース対策

  • ローカルブルートフォース → ✅ 有効（Recommended）
  • Network Brute Force → ✅ 有効（Recommended）

共に有効に変更します。

Network Brute Force を有効にするにはメールアドレスの登録が必要です。

2段階認証（Two-Factor）

無料版では「2段階認証の強制」はできません（Pro機能）。
ウィザードでは一旦 無効のままスキップで進めましょう。

Enable Security Check Pro?

有料機能です。無効のまま「Next」 で進みます。

IP検出の設定

多くの場合は「Direct Connection」を選択します。ロリポップなど一般的な共有ホスティングはこの設定で問題ありません。

全体設定

ウィザード完了後、「設定」→「全体設定」から詳細を調整します。

ファイルへの書き込み

✅ チェックを入れたままにします。これにより Solid Security が .htaccess と wp-config.php を自動で編集できます。

ロックアウト設定

項目 推奨値
ロックアウトまでの分数 15分
ロックアウトを記憶する日数 7日
禁止リスト追加までのしきい値 3回

「繰り返す違反者を禁止リストに追加」は ✅ チェックを入れます。

ロックアウトメッセージ：日本語に変更

**IPのロックアウトメッセージ：**
ERROR!

**ユーザーのロックアウトメッセージ：**
ログイン試行が規定回数を超えたため、アクセスをブロックしました。

**コミュニティのロックアウトメッセージ：**
お使いのIPアドレスは不審なアクセス元として検知されたため、アクセスをブロックしました。

承認済みIP

「IPアドレスを承認する」ボタンで自分のIPを登録しておきます。自分がロックアウトされるのを防げます。

IP検出

無料版では「無効」のままで問題ありません。Security Check Pro（有料）を使うと自動設定されます。

その他

  • 管理バーのセキュリティメニューを非表示： ✅ チェック推奨
  • データ共有を許可する：任意

機能の設定

Login Security タブ

  • Two-Factor： ✅ 有効 に変更
  • セットアップの流れ： ✅ 初回ログイン時に無効化する
  • Onboarding Welcome Text：日本語に変更
    二要素認証でログインする際、お使いの電話またはメールアドレスに送られる認証コードの入力が求められます。
二要素認証は、「パスワード」と「電話またはメールアドレス」を組み合わせることで、ログインに重要なセキュリティの層を追加します。これにより、万が一パスワードが第三者に漏洩した場合でも、不正アクセスからアカウントを守ることができます。

Firewall タブ

以下がすべて有効になっていることを確認します。

  • 禁止ユーザー： ✅
  • Firewall Rules Engine： ✅
  • ローカルブルートフォース： ✅
  • Network Brute Force： ✅

Site Check タブ

  • ファイルの変更： ✅ 有効に変更
  • スケジュールされたサイトスキャン： ✅ 有効に変更
  • VULNERABILITY NOTIFICATION THRESHOLD： High priority only を推奨

パフォーマンスが気になる場合
ファイルの変更検知は毎回のリクエスト処理に若干の負荷がかかります。Code Profiler などで計測してSolid Securityの実行時間が気になる場合は、File Change をオフにすることを検討してください。
代替として、Google Search Console の「セキュリティの問題」タブを月1回以上確認する習慣をつけることで、ファイル変更検知なしでも主要な感染をカバーできます。スケジュールされたサイトスキャン（脆弱性スキャン）は残しておくことをおすすめします。

Utilities タブ

  • SSL を導入する： .htaccess で設定済みの場合は無効のまま
  • データベースのバックアップ： All-in-One WP Migration など別プラグインでバックアップしている場合は無効でOK
  • Security Check Pro： 無料版では不要

ユーザーグループの設定

「ユーザーグループ」→「Administrators」「Editors」タブで以下が有効になっていることを確認します。

  • 強力なパスワード： ✅
  • 不正なパスワードの使用を拒否する： ✅

通知の設定

「通知」タブでセキュリティイベントのメール通知先を設定します。

クライアントのサイトを管理している場合は、クライアントではなく管理担当者だけにチェックを入れることをおすすめします。セキュリティ関連のメールがオーナーに届くと混乱の原因になることがあります。

高度な設定

ファイルアクセス（システムの微調整）

  • システムファイルの保護： ✅
  • ディレクトリの参照を無効： ✅

PHP の実行

設定 推奨 理由
アップロードで PHP を無効 ✅ 有効 uploadsディレクトリへのバックドア設置を防ぐ
プラグインで PHP を無効 ☐ 無効 正規プラグインが動作しなくなる場合がある
テーマで PHP を無効 ☐ 無効 テーマが正常に動作しなくなる場合がある

「プラグインで PHP を無効」「テーマで PHP を無効」は有効にするとVK BlocksやLightningなど正規のプラグイン・テーマが動作しなくなることがあります。「アップロードで PHP を無効」だけでも主要な感染経路はカバーできます。

WordPress の微調整

  • ファイルエディタを無効にする： 開発中・保守対応中のサイトはチェックしない（FTPが必要になる）。本番環境でコード編集が不要なサイトはチェック推奨。

API アクセス

  • XML-RPC： 「XML-RPC を無効化」を選択。JetpackやWordPressモバイルアプリを使用していない場合は無効にするのが安全です。
  • REST API： 「デフォルトアクセス」のまま（完全無効化するとGutenbergエディタに影響します）

バックエンドの非表示（ログインURL変更）

これが最も重要なセキュリティ設定の一つです。

  1. バックエンドの非表示：✅ チェック
  2. ログインのスラッグ：任意の文字列（例：wp-signin）※推測されにくいものを設定
  3. Redirection：✅ チェック（/wp-admin/ へのアクセスをリダイレクト）
  4. リダイレクトのスラッグ：not_found（存在しないページに見せる）

設定後のログインURLは：
https://example.com/[ログインのスラッグ]

⚠️ 必ず変更後のURLをメモしておくこと。ログインURLを忘れると管理画面にアクセスできなくなります。サイト管理に関わる全員に共有してください。

設定完了後のチェックリスト

  • 新しいログインURLでアクセスできるか確認
  • セキュリティダッシュボードに警告がないか確認
  • 通知メールの宛先が正しいか確認

まとめ：無料版でできること・できないこと

機能 無料版 Pro版
ブルートフォース対策 ✅ ✅
ログインURL変更 ✅ ✅
ファイル変更検知 ✅ ✅
2段階認証 ✅ ✅
自動ファイアウォール ☐ ✅
脆弱性の仮想パッチ ☐ ✅
Security Check Pro ☐ ✅

無料版でも主要な攻撃パターンへの対策は十分に取れます。.htaccess のセキュリティ設定と組み合わせることで、より強固な防御が構築できます。

関連記事

WordPressセキュリティの第一歩｜.htaccessで今すぐできる7つの対策

WordPressセキュリティの第一歩｜.htaccessで今すぐできる7つの対策 WordPressサイトへの不正アクセスを防ぐ「.htaccess」の設定方法を徹底解説。重要ファイルの保護・ディレクトリリスティング防止・セキュリティヘッダー設定など、コピペで使えるコードつきで紹介します。  続きを読む

WordPressへの侵入を防ぐ「予防」対策まとめ｜ログイン・権限・設定の3本柱

WordPressへの侵入を防ぐ「予防」対策まとめ｜ログイン・権限・設定の3本柱 WordPressへの不正ログインや改ざんを防ぐための予防的セキュリティ対策を解説。ログインURL変更・不要プラグイン削除・wp-config.php強化など、すぐに実践できる設定を網羅します。  続きを読む

WordPressの異常を早期発見する「検知」対策まとめ｜実際の感染事例から学ぶ手口と監視方法

WordPressの異常を早期発見する「検知」対策まとめ｜実際の感染事例から学ぶ手口と監視方法 WordPressへの侵入や改ざんをいち早く発見するための監視・検知対策を解説。ファイル変更検知・Google Search Console・セキュリティプラグインの活用に加え、実際の感染事例で確認された巧妙な隠蔽手口も紹介します。  続きを読む