WordPressセキュリティプラグイン比較：Wordfence・Kadence Security・AIOS

WordPressでファイアウォール・マルウェア検査・ログイン保護をまとめて管理するならWordfence、利用者別のログイン方針を重視するならKadence Security、個別の保護項目を順に設定するならAll-In-One Security（AIOS）を比較できます。無料版の実際の範囲、誤検知を調べる方法、管理者が締め出された場合の復旧まで確認しましょう。どの製品も更新・アカウント管理・バックアップの代わりにはならず、すべての侵害を防ぐ保証はありません。

プラグインが担当する役割を決めます

予防・検知・復旧を分けて考えます。ウェブアプリケーションファイアウォール（WAF）は要求を攻撃ルールと照合し、ログイン保護はパスワード推測やアカウント乗っ取りの危険を減らします。検査はファイル変更や既知のマルウェアの痕跡を探します。侵害の原因を調べて除去し、正常な状態へ戻す対応は別の作業です。

ファイル変更の通知は正規の更新でも攻撃でも発生します。通知だけでは感染確定にならず、検出項目を消しただけで原因解決とも限りません。パス・時刻・実施した更新と根拠を照らし合わせる必要があります。

最初に不要な管理者、共有パスワード、開発が止まったプラグイン、復元可能なバックアップを確認します。WordPress公式のセキュリティ強化ガイドも複数層の管理を扱います。ホスティングに防御や検査があれば、どちらが何を担当するか決めてください。

無料と有料の保護範囲を比較します

費用はサイト数、サポート契約、更新料金も含めて比べます。プラグインの利用権と、人が侵害を調査・除去する契約は同じではありません。画面の点数や導入数だけで自分のサイトへの適合性を判断しないようにします。

各製品を選ぶときの重要な条件

Wordfence：防御と検出結果を管理する担当者がいる場合

WordfenceはWordPress環境内で防御・ファイル検査・ログイン保護を行います。正規更新と不審な変更を区別し、遮断要求も確認する運営者がいる場合の候補です。サーバーで検査するため、実行時間・資源使用・ログ保存も確認します。

無料と有料の重要な差は、新しい防御ルールとマルウェア定義の提供時点です。Wordfence Freeの説明ではPremiumへの提供から30日遅れて無料版に提供されます。無料版にも既存の保護や二要素認証はあります。即時の情報提供と人による対応支援は商品比較で区別してください。

Kadence Security：アカウント別の方針を決めたい場合

現行の登録名はKadence Securityで、旧iThemes Security・Solid Securityの資料とメニューが異なる場合があります。利用者グループごとに二要素認証、パスワード条件、総当たり対策を決めたい場合に検討できます。管理者と顧客には役割とログイン経路に合う方針が必要です。

公式説明は信頼端末、パスワードレス、自動脆弱性パッチなどをProとして示しています。脆弱性通知と自動パッチは別です。パッチ機能があっても元の開発者の修正更新や、未サポート製品の利用中止の判断は必要になります。

AIOS：項目ごとに理解して設定したい場合

AIOSはログイン・ファイアウォール・ファイル変更などを扱い、説明を読んで必要な保護を順に追加する運用で比較できます。ファイル変更の確認とファイル内のマルウェア検査は異なるため、「検査」という言葉だけで同じ機能だと考えないようにします。

公式AIOS商品ページでPremiumのマルウェア検査や高度な認証を区別できます。サーバールールを使う機能には環境条件もあります。たとえば.htaccessに依存するルールはNginxへそのまま適用できないため、製品のサーバー対応を確認します。

制限を有効にする前に復旧手段を準備します

復元できるサイトバックアップとホスティングへのアクセスを確保し、ログイン経路・アカウント・外部連携を記録します。導入方法はプラグインの入手方法で確認できます。複数製品で同じ認証・ログイン制限を重複して有効にせず、担当するツールを決めましょう。

1. 正常な基準を記録します。管理者・一般利用者のログイン、パスワード再設定メール、フォーム、モバイルメニューを確認します。ショップや会員用の独自画面も含めます。
2. 初期設定を進めます。サイトの種類と管理者メールを確認します。プロキシ利用時は訪問者IPの識別も点検します。複数人を一つのプロキシIPと認識すると、遮断範囲を誤る場合があります。
3. ログイン保護から始めます。二要素認証（2FA）はパスワードとは別の認証要素を求める方式です。管理用アカウントで設定し、復旧コードを保管してから適用する役割を決めます。
4. 現在のセッションを残して別の窓で試します。プライベートウィンドウで認証を確認してから全体をログアウトします。既存セッションがあれば、非互換設定を調べられます。
5. 追加制限は一つずつ適用します。防御強化、CAPTCHA、ログイン経路変更を同時にせず、モバイル・フォーム・決済・自動化を点検してから問題設定を調整します。
6. 通知を確認する担当を決めます。読める送信先、検査予定、保存範囲を設定し、重要な警告と不要な通知を区別します。予約した検査が動くかも確認します。

2FA設定後は実際のログインを試します

WordfenceならWordfence → Login Securityで認証アプリを接続し、復旧コードを取得してアプリのコードで有効化します。復旧コードは認証端末を失った場合の別手段なので、同じ携帯だけに唯一のコピーを置かないでください。元のセッションを閉じる前にログイン試験を完了します。

独自ログインフォームやWooCommerceのアカウント画面では標準画面と動作が異なる場合があります。ログイン設定で連携・役割の範囲を確認し、公式2FAガイドに従って実際の画面を試します。コードが合わなければ選んだサイトと端末・サーバー時刻を確認します。

サイト全体の認証方針を変える前に、REST API・XML-RPC・アプリケーションパスワードを使う連携も確認します。画面ログインとAPIは経路が異なることがあるため、一律に拒否する設定の前に実際の用途と公式の互換条件を把握してください。

管理者が締め出された場合の確認

エラー画面の製品名、理由、時刻を記録します。認証端末の問題なら復旧手段、IPや要求の遮断なら解除方法とログを確認します。Wordfenceは管理者への解除メールなどを遮断のトラブル解決で説明しています。メール未着は遮断自体と分けて調べる必要があります。

管理画面も通常の復旧も使えなければ、サイト所有者がホスティング・セキュリティ支援と公式の復旧手順を進めます。原因不明のまま全保護を恒久的に解除したり、ファイルを任意に消したりしないでください。アクセスを取り戻したら原因設定を修正し、正常な認証を確認して保護を戻します。

古い遮断応答がページ・ホスティング・CDNのキャッシュに残る場合もあります。正規利用者への誤検知と侵害の痕跡は別に対応します。感染が疑われるならファイル・ログ・現状を保存し、原因・影響・復元範囲を担当者と確認してください。別のプラグインを入れるだけで除去完了とは判断できません。