WPセキュリティ4プラグイン比較

WordPress セキュリティプラグイン 4種の比較

Wordfence Security、SiteGuard WP Plugin、CloudSecure WP Security、XO Security の最新版・機能・提供元情報をまとめ、強みと違いを比べました。

調査日 2026-10-31 出典: WordPress.org プラグインページ、WordPress.org Plugin API、各公式サイト

Wordfence の公式サイト（wordfence.com）は JavaScript がないと本文が出ないため、本文を抽出できませんでした。Wordfence の概要と有料プランは WordPress.org の記載をもとにしています。価格は取得できていないため載せていません。

最新版と基本情報

Wordfence Security
9.0.2
最終更新
2026-09-30
有効インストール
500万+
評価
94%（5,038件）
必要環境
WP 4.7+ / PHP 7.0+
動作確認
WP 7.1.4
公開開始
2012-04
開発元
Defiant（米国）
料金
無料＋有料3プラン
WordPress.org 公式サイト プラン ヘルプ
CloudSecure WP Security
1.4.18
最終更新
2026-10-14
有効インストール
10万+
評価
100%（2件）
必要環境
WP 5.3.15+ / PHP 7.1+
動作確認
WP 7.1.4
公開開始
2023-11
開発元
エックスサーバー（移管）
料金
無料
WordPress.org 公式サイト FAQ
XO Security
3.11.0
最終更新
2026-07-19
有効インストール
3万+
評価
100%（11件）
必要環境
WP 6.0+ / PHP 7.2+
動作確認
WP 7.0.8
公開開始
2016-01
開発元
ishitaka 氏（Xakuro）
料金
無料
WordPress.org 公式サイト

機能比較表

機能 Wordfence SiteGuard CloudSecure XO Security
WAF◎脅威フィード連動×外部 WAF の調整のみ○シンプルWAF×
マルウェアスキャン・改ざん検知◎×××
ログイン試行の制限○○○○
ログインURL変更×○有効化で自動変更○○
2FA◎TOTP＋パスキー×○TOTP／メール○TOTP
CAPTCHA○ログインのみ○4フォーム○4フォーム○ログイン・コメント
管理画面の IP 制限△IP ブロックで代替○○×
ログイン履歴○Live Traffic○※○○
ログイン通知○Central 経由○○○
更新通知△脆弱性スキャンで警告○○×
REST API 無効化△ユーザー列挙対策のみ○オプション○○
ユーザー名漏洩対策○○○◎4つの手段
国別ブロック○Premium×××
監査ログ○Premium×××
複数サイトの一元管理○Central（無料）×××
マルチサイト◎××△一部制限
.htaccess への依存なし一部（Nginx にも対応済み）あり（mod_rewrite）なし
独自機能パスキー、漏洩パスワード検知フェールワンスサーバーエラー通知、設定ファイル保護メンテナンスモード、readme 削除、言語制限
日本語翻訳国産国産国産

※ SiteGuard の機能一覧にログイン履歴は載っていません。変更履歴（1.7.12）に「ログイン履歴」の修正があるため、機能はあると判断しました。

各プラグインの機能

Wordfence Security 9.0.2

「最も普及している WordPress 用ファイアウォール兼セキュリティスキャナー」と自称しています。専任の脅威調査チームが Threat Defense Feed を配信し、ファイアウォールのルール、マルウェアのシグネチャ、悪性 IP が届きます。WordPress の内部で動く「エンドポイント型」WAF なので、ログイン状態や権限を見て判定でき、クラウド型 WAF と違って迂回されないことを売りにしています。

  • ファイアウォール: WAF、総当たり攻撃対策、IP ブロックリストPremium、ルールのリアルタイム更新Premium（無料版は30日遅れ）
  • スキャナー: コア・テーマ・プラグインのマルウェア検査（4.4万種以上のシグネチャ）、WordPress.org の原本との改ざん比較と修復、不要ファイルの削除、既知の脆弱性と配布終了プラグインの警告、投稿・コメント内の危険な URL の検査（Google Safe Browsing）、ブラックリスト登録の確認Premium
  • ログイン保護: パスキー（9.0.0で追加、無料版でも使える）独自、2FA（TOTP）、ログイン画面の CAPTCHA、XML-RPC の無効化または 2FA 適用、漏洩済みパスワードでの管理者ログインの拒否独自、WooCommerce 対応
  • 監査ログPremium: ユーザー・設定・プラグイン・投稿の変更履歴を、改ざんできない形で外部に保存
  • Wordfence Central: 複数サイトの一元管理、設定テンプレート、メール・SMS・Slack 通知（無料・サイト数無制限）
  • ツール: Live Traffic（アクセスをリアルタイム表示）、IP・ホスト名・UA・リファラーでのブロック、国別ブロックPremium
  • 有料プラン: Premium（リアルタイムフィード、チケットサポート）、Care（侵害時の対応支援、年1回の監査）、Response（24時間365日、1時間以内に初動、24時間以内に解決）

対応範囲: マルチサイトに完全対応、IPv6 に完全対応。

SiteGuard WP Plugin 1.8.10

「管理ページとログインページの保護を中心とした、日本語対応のシンプル・簡単プラグイン」です。不正ログイン、/wp-admin/ への不正アクセス、コメントスパムを防ぎます。有効化するとログインURLが自動で login_<5桁の乱数> に変わり、新しい URL は管理者宛てにメールで届きます。

  • 管理ページアクセス制限: ログインに成功した IP だけ /wp-admin/ に入れます。24時間で失効します。
  • ログインページ変更: 1.8.0以降は Nginx と .htaccess を使わない Apache にも対応。メールで URL を知らせる「ログインURLレスキュー」があります。
  • 画像認証: ログイン、コメント、パスワードリセット、ユーザー登録。ひらがなと英数字から選べます。
  • ログイン詳細エラーメッセージの無効化
  • ログインロック: IP 単位。1.8.0以降は XML-RPC 経由のログインも対象です。
  • ログインアラート（メール）
  • フェールワンス独自: 正しく入力しても1回目は必ず失敗させ、パスワードリスト攻撃を防ぎます。
  • XML-RPC 防御: ピンバックのみ、または XML-RPC 全体を無効化
  • ユーザー名漏洩防御: ?author= 対策。REST API 無効化のオプションあり
  • 更新通知: コア、プラグイン、テーマ
  • WAF チューニングサポート: サーバー側 WAF「SiteGuard Server Edition / Lite」の誤検知除外ルールを作ります。プラグイン自体に WAF はありません。

制約: マルチサイト非対応。Apache と Nginx に対応。他のプラグインのログインURL変更機能とは併用できません。

CloudSecure WP Security 1.4.18

「管理画面とログインURLをサイバー攻撃から守る、国産・日本語対応のセキュリティ対策プラグイン」です。各機能はオン／オフを切り替えるだけで使えます。2段階認証や WAF 相当の機能を最初から備え、「複数プラグインを組み合わせる手間や競合リスクを減らせる」ことを打ち出しています。管理画面、マニュアル、FAQ、サポートフォーラムがすべて日本語です。運営はエックスサーバー株式会社に移管されています。

  • ログイン無効化: 一定回数失敗したらブロック
  • ログインURL変更: 4〜12文字
  • ログインエラーメッセージ統一
  • 2段階認証: Google Authenticator またはメール。リカバリーコードあり。1.4.9で Cloudflare Turnstile に対応
  • 画像認証: ログイン、コメント、パスワードリセット、ユーザー登録
  • ユーザー名漏えい防止（?author=）
  • XML-RPC 無効化 / REST API 無効化: 除外するプラグインとテーマを指定できます。/wp-json/batch/v1 も遮断します。
  • 管理画面アクセス制限: 未ログインの IP には 404 を返します。
  • 設定ファイルアクセス防止独自
  • シンプルWAF: SQLインジェクションや XSS などを遮断し、ブロック時にメールで通知します。
  • ログイン通知 / アップデート通知 / サーバーエラー通知独自: 500 エラーを記録してメールで通知します。
  • ログイン履歴: 項目ごとに絞り込み検索できます。

制約: マルチサイト非対応。動作確認は Apache 2.x のみ。アクセス制限とログインURL変更には mod_rewrite が必要。日本国内向けで、EU居住者は対象外。

XO Security 3.11.0

ログインまわりのセキュリティを強化するプラグインです。.htaccess に一切書き込まないので、Apache に加えて LiteSpeed、Nginx、IIS でも動き、.htaccess を使う他のプラグインとも併用できます。外部サービスは使っていません。

  • ログインログ（XML-RPC 経由も記録）、ログイン試行の制限（XML-RPC 経由も対象）、ログインアラート
  • ログインページの変更、2FA（TOTP）、CAPTCHA（ログインとコメント。種類を選べる。ajax ログイン対応）
  • メールアドレスでのログイン禁止 / ユーザー名でのログイン禁止
  • ログインを許可する言語・UA の制限独自: wp-config.php に定数で指定
  • エラーメッセージの簡略化、XML-RPC とピンバックの無効化、REST API の無効化
  • ユーザー名漏洩対策: 投稿者アーカイブの無効化、コメント投稿者クラスの削除、oEmbed からユーザー名を削除、投稿者スラッグと投稿者ベースの編集
  • スパムコメント対策（コメントボット判定）、WooCommerce のログインページ保護
  • WP バージョン情報の非表示、RSS/Atom フィードの無効化、readme.html の削除、メンテナンスモード独自（テンプレート差し替え可）

制約: マルチサイトは一部対応。サイトごとにログインページを分けると、サブサイトのパスワード再設定が使えません。

強みと違い

Wordfence だけが「侵入を検知して復旧する」ところまで扱います。WAF、スキャン、改ざんの修復が揃っています。ほかの3つは国産の「入口（ログイン・管理画面）を固める」型で、侵入後の検知や復旧はできません。

Wordfence

強み
脅威情報の質と量、マルウェアスキャン、パスキー、マルチサイト完全対応、Central による複数サイト管理、有料のインシデント対応。
注意点
無料版のルール更新は30日遅れです。機能が多く設定が複雑で、負荷も高めと言われます（負荷は一般的な評判で、今回の資料には記載がありません）。

SiteGuard

強み
国内で導入実績が最大級（60万）。管理画面の IP 制限とフェールワンスが独特です。サーバー側 WAF「SiteGuard Server Edition」との組み合わせが前提の作りです。
注意点
2FA がなく、マルチサイトにも対応していません。有効化でログインURLが勝手に変わるので、運用チームへの周知が必要です。

CloudSecure

強み
国産の中で機能がいちばん広いです（2FA、シンプルWAF、REST API 制御、500エラー通知）。エックスサーバー運営なので、同社サーバーとの相性は良いと考えられます（推測）。
注意点
公開が2023年と新しく、評価は2件です。Apache と mod_rewrite が前提で、Nginx は公式対応していません。

XO Security

強み
.htaccess を書き換えず外部サービスも使わないので、どのサーバーでも動き、他のプラグインと衝突しにくいです。ユーザー名漏洩の対策がいちばん細かく、WooCommerce にも対応しています。
注意点
開発者が個人です。WAF、管理画面の IP 制限、更新通知はありません。

直近1年の認証まわりのセキュリティ修正

SiteGuardログインURL保護の修正が複数回（1.8.0〜1.8.5）、XSS の修正（1.8.7）、CAPTCHA の推測可能性 CVE-2026-27411（1.7.10）
CloudSecureXML-RPC 経由で 2FA を回避できた問題の修正（1.4.8）、CVE-2026-87902 の緩和策（1.4.17）、wp2shell（CVE-2026-63030）対策（1.4.11）
XO Security2FA を回避できた問題の修正（3.11.0）
Wordfence2FA フローと remember cookie を強化（9.0.0）

4つとも認証まわりの修正を出しています。どれを使う場合も、最新版にしておくことが前提です。

選び方の目安

EC サイト、会員サイト、複数サイトの運用、侵害時の対応まで必要Wordfence
国産でシンプルに、エックスサーバー環境で 2FA と WAF まで欲しいCloudSecure
Nginx・LiteSpeed 環境、他プラグインとの共存、WooCommerceXO Security
SiteGuard の WAF を入れたサーバーで、管理画面の制限を重視するSiteGuard

複数を併用する場合、ログインURL変更などの重複する機能は片方だけで有効にしてください。両方で有効にするとログインURLが2つになったり、ログイン画面が開かなくなったりします（SiteGuard 公式の注意）。