WordPressの監査ログを10分未満で設定する方法

WordPressにログインすると、何かがおかしいことに気づきます。

インストールしていないプラグインが有効になっています。投稿が午前2時に編集されました。ユーザーの役割が変更されましたが、チームの誰もそれを実行していません。

答えを探しても何も見つかりません。ログも記録もありません。何が起こったのか、誰がやったのかを知る方法がありません。

それがすべてのWordPressサイトのデフォルトの状態です。WordPressはユーザーのアクションを記録しません。これまで一度もありません。

誰が何を公開したか、誰が設定を変更したか、どこから誰がログインしたか、誰が何かを削除したかの組み込み記録はありません。サイトで問題が発生した場合、問題が発生する前にログを設定しない限り、ゼロから始めることになります。

それがこのチュートリアルでカバーすることです。完全なWordPress監査証跡の設定方法を説明します。

終了時には、サイトで何が起こっているのか、誰がそれをやっているのか、そして何かがおかしいときにどうすればよいのかを正確に把握できるようになります。

主なポイントは次のとおりです：

• WordPressには組み込みの監査証跡がありません。デフォルトでは何も記録されないため、問題が発生する前にプラグインが既に実行されていない限り、その履歴は存在しません。
• ログは、アクティブ化された時点から以降のイベントのみをキャプチャします。インシデント後にこれを設定する場合、ログはインストール前の出来事を回復しません。
• Duplicatorの監査ログは、各イベントに重大度レベル（クリティカル、高、中、低、情報）をタグ付けするため、何百もの通常の項目をスクロールする代わりに、実際に重要なものをトリアージできます。
• Duplicatorの監査ログとDuplicator Proを組み合わせることで、2層の保護が得られます。何が起こったかを理解するためのログと、それに基づいて行動する必要がある場合に復元するためのバックアップです。

目次

WordPressはデフォルトで監査証跡を保持しません

ほとんどのサイト所有者は、WordPressがバックグラウンドのどこかで変更を追跡していると想定しています。実際にはそうではありません。

WordPressコアにはユーザーアクションのネイティブログはありません。誰が投稿を編集したか、誰がプラグインをインストールしたか、誰がサイトの管理メールを変更したか、または見慣れないIPアドレスから誰がログインしたかの記録はありません。

問題が発生した場合、プラグインが既にキャプチャしていたのでない限り、その情報は失われます。

監査証跡はそのギャップを埋めます。これは、特定のユーザーアカウントとIPアドレスに関連付けられた、サイトで行われたすべての操作のタイムスタンプ付き記録です。

WordPress管理画面のセキュリティカメラと考えてください。問題を防ぐことはできませんが、何が起こったのか、誰が責任者だったのかを正確に教えてくれます。

完全な監査証跡は、これらのカテゴリのアクティビティをカバーします：

• ログイン試行の失敗や不明な場所からのセッション終了を含む、ユーザーのログインとログアウト
• 投稿の編集、ステータスの変更、削除を含むコンテンツの変更
• インストール、アクティブ化、非アクティブ化、更新を含むプラグインとテーマのアクティビティ
• サイトURL、管理メール、パーマリンク構造、ユーザー登録設定の変更を含むWordPress設定の変更
• 新規ユーザー登録、役割の変更、パスワードリセットを含むユーザーアカウントの変更
• メディアライブラリのアクティビティ（アップロード、編集、削除を含む）

開始前に知っておくべきこと：ログは、アクティブになった時点からのイベントのみをキャプチャします。ログプラグインをインストールする前にサイトで何かが発生した場合、その履歴はログから回復できません。何も問題が発生する前に今すぐこれを設定することが、その全体的な目的です。

WordPressの監査証跡を設定する方法

WordPressの監査証跡の設定は10分もかかりません。以下がその全プロセスです。

• ステップ1：Duplicatorのアクティビティログをインストールする：2分もかからずにプラグインをサイトで実行できます。コーディングは不要です。
• ステップ2：デフォルトのイベント設定を確認する：サイトの種類に適したアクティビティカテゴリが有効になっていることを確認してください。ただし、デフォルト設定はほとんどのサイトをカバーしています。
• ステップ3：メール通知を設定する：重大および高レベルのイベントのアラートを設定して、数日後に手動でログを確認して問題を発見するのではなく、すぐに問題を知ることができます。
• ステップ4：最初のログエントリを読む：各エントリに含まれる内容、重大度のカラーコーディングの意味、アクティブなサイトで特定のイベントをすばやく見つけるためにログをフィルタリングする方法を学びます。
• ステップ5：疑わしいイベントに対応する：監査ログは、疑わしいアクティビティから回復できない場合は意味がありません。Duplicator Pro（アクティビティログと連携）を使用して、ワンクリックでクリーンなバックアップを復元します。

ステップ1：Duplicatorのアクティビティログをインストールする

Duplicatorのアクティビティログは、サイト上のすべての重要なアクションをリアルタイムで記録するWordPressプラグインです。9つのカテゴリにわたる60以上のイベントタイプを追跡します。

• ユーザー
• コンテンツ
• メディア
• プラグイン
• テーマ
• WordPressコア設定
• 外観
• 分類
• サイト設定

すべてのイベントには重大度レベル（重大、高、中、低、情報）のタグが付いているため、何百ものエントリのリストをスクロールするのではなく、重要なものをトリアージできます。

プラグインは機密データも自動的に検閲します。ログエントリにパスワードまたはAPIキーが含まれている場合、その値はログで非表示になります。資格情報を公開せずに監査記録を取得できます。

インストールするには、アクティビティログを購入してください。価格は年間29ドルからです。WP Media CleanupとDuplicator Proが含まれるDuplicator Eliteプランでは無料で入手することもできます。

プラグインをダウンロードしてWordPressにアップロードします。

アクティビティログ » 設定の下でライセンスキーをアクティブ化します。アクティブ化後、緑色のチェックマークが表示されます。これがプラグインが実行されていることの確認です。

ログ記録が開始されました！

ステップ2：デフォルトのイベント設定を確認する

Duplicatorのアクティビティログは60以上のイベントタイプを追跡します。サイトによってはすべてのカテゴリをアクティブにする必要がない場合があるため、ログに依存し始める前に有効になっているものを確認するために数分費やしてください。

サイドバーからアクティビティログ » 設定に移動し、イベントタブをクリックします。

ユーザー、コンテンツ、メディア、プラグイン、テーマ、WordPress、外観、分類、設定の9つの追跡カテゴリのリストが表示されます。各カテゴリはオンまたはオフに切り替えることができます。

各カテゴリに含まれる内容を確認するには、登録済みイベントタイプまでスクロールダウンしてください。不明なカテゴリをクリックしてください。

通常のサイトでは、デフォルトで最も重要なアクティビティがカバーされます。ログイン、コンテンツの変更、プラグインのインストール、設定の変更はすべて標準でキャプチャされます。

複数の管理者がいるサイト、メンバーシップサイト、または複数のユーザーが管理者または編集者のアクセス権を持つサイトを実行している場合は、[ユーザー]カテゴリを開き、完全に有効になっていることを確認してください。

アクティビティログは、ロールの変更、パスワードのリセット、および新しいユーザー登録をキャプチャします。これらのイベントは、アカウントの問題を監視する必要があります。

トラフィックの多いサイトでは、完全に有効化されたログは急速に増加します。[外観]や[分類]など、ほとんどが低重要度のイベントを持つカテゴリを無効にすることを検討してください。

ログを開くと、通常のサイトアクティビティから数分以内にエントリが表示され始めます。

ステップ3：メール通知を設定する

ログは、それを見なければ役に立ちません。毎日手動で確認するのは現実的ではないため、メール通知が重要です。

重要度の高いイベントが発生した瞬間にアラートが表示されるため、不正なログインや予期しないプラグインのインストールについてすぐに知ることができます。

サイドバーからアクティビティログ » 設定に移動し、[通知]タブをクリックします。メール通知をオンにし、アラートを送信したいアドレスを入力します。

メールのトリガーを設定するためのトグルを備えたイベントタイプのリストが表示されます。重要度[クリティカル]および[高]のイベントの通知を有効にすることをお勧めします。これらは、ログイン失敗の急増、管理者ロールの変更、プラグインのインストール、コア設定の変更など、セキュリティに影響を与えるアクションをカバーします。

現時点では、[情報]、[中]、[低]の重要度のイベントはログのみとして残しておきます。これらのカテゴリは、投稿の更新、タグの追加、メディアのアップロードなどの通常のコンテンツアクティビティをカバーします。

すべてのメールアラートを有効にすると、受信トレイを無視するように訓練されるノイズが発生し、目的が損なわれます。ただし、これは完全にあなたとあなたの好みに依存します。

重要度レベルの意味についての簡単な注記です。

• クリティカルは、サイト全体に大きな影響を与えるアクションをカバーします。
• 高は、迅速な対応が必要なセキュリティ関連の変更をカバーします。ユーザーの削除、ログイン失敗、またはユーザーロールの変更などです。
• 中は、ページの削除やプラグインの無効化などの標準的な編集アクティビティをカバーします。
• 低は、フィーチャー画像のセット、投稿の更新、またはコメントの承認などの軽微または化粧的な変更をカバーします。
• 情報は、ログイン/ログアウトなどの標準的なアクティビティをカバーします。

通知が機能していることを確認するには、ログアウトして偽のログイン資格情報を試してください。ログイン失敗イベントは重要度[高]です。通知メールが1〜2分以内に届く場合は、正しく設定されています。

ステップ4：最初のログエントリを読む

ログエントリの読み方を知ることで、監査証跡はデータダンプから有用なものに変わります。

ログの各行は単一のイベントを表します。左から右に、重要度レベルのインジケーター、タイムスタンプ、イベントの説明、それをトリガーしたユーザー、アクションが発生したIPアドレス、およびソースが表示されます。

重大度レベルは、すばやく確認できるように色分けされています。

• ​​🔴 高
• 🟡 中
• 🔵 低

正常なサイトでは、ほとんどのエントリは黄色と青になります。赤色のエントリは、表示されるたびに確認する価値があります。

ログをフィルタリングするには、上部にあるコントロールを使用します。カテゴリ、重大度レベル、または日付範囲でフィルタリングできます。

複数のユーザーがいるアクティブなサイトでは、フィルタリングが迅速に何かを見つける方法です。重大度から始めて、関心のある期間に日付範囲で絞り込みます。

通常の状況：通常のIPアドレスからのログイン、既知の作成者アカウントからのコンテンツ更新、および通常のメンテナンスウィンドウ中のプラグイン更新。ログを確認した1週間後には、サイトのベースラインが明確に把握できるようになります。そのパターンから外れるものは、再確認する価値があります。

ステップ5：疑わしいイベントに対応する

ログで悪意のあるものを見つけることは、次に何をすべきかを知っていなければ役に立ちません。監査証跡は、何が起こったかを教えてくれます。Duplicator Proを使用すると、それを元に戻すことができます。

アクションを実行する前に、イベントの詳細（タイムスタンプ、ユーザーアカウント、IPアドレス、および変更された内容）をすべて記録してください。アクティビティログ画面の上部にあるエクスポートボタンを使用して、ログエントリをCSVまたはJSONファイルとしてエクスポートします。

Duplicatorを実行している場合は、最新のクリーンなバックアップを見つけてください。変更を開始する前に、正確に何があるかを知っておく必要があります。疑わしいイベントの前に取得したクリーンなバックアップは、以下のすべてのシナリオのフォールバックとなります。

WordPressで疑わしいアクティビティを見つけるための最も一般的な4つのシナリオと、それぞれの対処法を以下に示します。

見慣れないIPアドレスからのログイン

ユーザーアカウントが実際のチームメンバーのものであるかを確認し、ログインを承認するように依頼してください。承認できない場合は、ユーザー » 全ユーザーに移動し、そのユーザーのプロファイルを開いて、一番下までスクロールします。

すべてからログアウトをクリックして、そのアカウントのすべての有効なセッションを終了します。その後、パスワードのリセットを強制します。サイト全体の認証情報が共有または再利用された可能性があれば、管理者パスワードも変更してください。

同じ時間枠で、同じIPアドレスに関連付けられた他のイベントについてログを確認してください。侵害されたアカウントが触れるのは、ログインだけとは限りません。

自分でインストールしていないプラグインがインストールされた

チームメンバーが意図的にインストールしたことを確認できない限り、プラグインを直ちに無効化して削除してください。その後、同じ時間枠で、同じユーザーまたはIPアドレスに関連付けられた他のイベントについてログを確認してください。

プラグインのインストールが単独で発生することはめったにありません。インストール前後の設定変更、ユーザーロールの変更、またはファイルの編集を探してください。

ログで、プラグインが検出される前に数時間以上アクティブであったことが示されている場合は、サイトが改変された可能性があると見なしてください。

悪意のあるプラグインが行った可能性のあるすべての変更を手動で元に戻すことは現実的ではありません。既知のクリーンなバックアップから完全に復元する方がはるかに簡単です。

Duplicator Proを開き、バックアップに移動して、インストールイベントより前の最新のバックアップを特定します。ワンクリックでそのバックアップを復元します。

誰も主張していない設定変更が発生しました

ログエントリには、変更された特定の設定と、多くの場合、変更された値が表示されます。現在の設定と本来あるべき設定を比較してください。

単一の変更であれば、手動で元に戻すことができます。関連する設定画面に移動し、正しい値を復元してください。

ログに短期間で複数の設定が変更されたことが示されている場合は、一つずつ再構築しようとしないでください。Duplicator Proを開き、イベントが発生する前のバックアップを見つけて復元してください。

単一の設定変更は5分で修正できます。一連の協調された変更は復旧作業であり、Duplicator Proなら数回のクリックで対応できます。

復元後、Duplicator Proダッシュボードでバックアップの日付を確認し、アクティビティログをクロスチェックして、復元されたバージョンが疑わしいエントリよりも前のものであることを確認してください。

ユーザーのロールが説明なく昇格されました

ロールの変更は高レベルの重大イベントです。変更を行っていない場合は、アカウントが侵害された可能性があると見なしてください。

ユーザー » 全ユーザーに移動し、該当するアカウントをクリックして、ロールドロップダウンでロールを元に戻すことで、すぐにロールを元に戻してください。

次に、ロールが昇格された時点からそのユーザーアカウントの完全なアクティビティログを確認します。昇格された権限によって可能になったアクション（プラグインのインストール、設定の変更、新しいユーザーの作成、またはファイルの変更）を探してください。

これらのアクションがログに存在する場合は、Duplicator Proを使用してロール変更前のバックアップを復元してください。昇格されたアカウントが行った可能性のあるすべての変更を特定するよりも、迅速かつ確実です。

よくある質問（FAQ）

あなたのサイトには記憶力が備わりました

Duplicator のアクティビティログをインストールする前は、WordPress サイトには何も記録されていませんでした。すべてのログイン、設定変更、プラグインのインストールは、痕跡を残さずに発生し、消えていました。何か問題が発生した場合、推測するしかありませんでした。

もうそのようなことはありません。ユーザー、タイムスタンプ、IP アドレス、および重大度レベルでタグ付けされた、サイト上のすべての重要なアクションの実行中のログがあります。

エントリの読み方、重要なものをフィルタリングする方法、問題が発生した場合の対処法を知っています。これは、自分のサイトに対する制御の度合いが大幅に向上したことを意味します。

今後、ログレビューを習慣にしてください。週に一度アクティビティログを確認し、まず「高」および「重大」なエントリに焦点を当て、サイトの通常のパターンから外れたものを調査してください。

ほとんどの場合、問題はありません。時折、早期に発見する必要があったものが見つかるでしょう。

サイト上の記録されていないアクションはすべて盲点です。プラグインがインストールされ、設定が変更され、アカウントが侵害され、監査証跡がない場合、数週間後に判明するか、まったく判明しないこともあります。ログは問題を防ぐものではありませんが、何が起こったのか、誰がやったのかを推測する必要がなくなることを意味します。

150 万人以上の WordPress プロフェッショナルが Duplicator を使用してサイトを保護しています。Duplicator のアクティビティログは、サイトで発生しているすべてのことの完全な検索可能な記録を提供し、重大度ベースのトリアージ、メールアラート、機密データのマスキングが組み込まれています。

Duplicator Pro にアクティビティログをペアリングすれば、何が起こったかを理解するためのログと、それに基づいて行動する必要がある場合に復元するためのバックアップが得られます。

このチュートリアルがお役に立った場合は、これらのガイドも読む価値があります。

• ほとんどの WordPress アクティビティログプラグインは、何が壊れたかを教えてくれます—1 つはそれを修正するのに役立ちます
• WordPressセキュリティチェックリスト：サイトを保護するためのステップバイステップガイド
• WordPressメンテナンスチェックリスト：必須タスク20選（2026年版）
• WordPressステージングサイトの作成方法（安全なテストのために）
• WordPress からロックアウトされるのをやめましょう：私が持っていたらよかったと思う防止ガイド
• WordPressはデフォルトでアクティビティを追跡しません：私がそれについてやっていること
• WordPressサイトのあらゆる変更を追跡する方法（壊れる前に）