セキュリティは、
完璧より先に
入口を減らす。

Hardening WordPress は、完全に安全なシステムを探す話ではない、と前置きしています。適切な備えを重ねて、狙われにくくし、被害を小さくする、という立場です。

同じ記事は、ホスト（サーバー）の責任と、サイト側の責任を分けています。サーバー会社はインフラを守りますが、入れたアプリケーション（WordPressやプラグイン）までは、利用側の範囲です。

• 更新する。本体・テーマ・プラグインを最新に近づける。古い版はセキュリティ更新の対象外です。
• 強いパスワードにする。公式は、推測されにくく、総当たりにも耐えるものを勧めています。管理画面の強度メーターも使えます。
• 権限を最小にする。日常の文章直しに、管理者権限は必須ではありません。担当が変わったら、アカウントも見直します。
• 入手元を限る。テーマとプラグインは、WordPress.org のディレクトリか、よく知られた提供元から。
• HTTPS で開く。公式の動作環境でも推奨されています。住所や問い合わせを扱う会社サイトでは、特に見ます。
• バックアップを取る。公式は、備えのテーマの一つに「準備と知識」を挙げ、定期的なバックアップと復旧の計画を求めています。

これ以外にも、ファイル権限、管理画面の追加防護、編集機能の制限など、公式には詳しい項目があります。社内で踏み込む範囲は、必要に応じて公式記事と相談先で判断してください。

• 公式以外の怪しいサイトから、本体をダウンロードする。公式は wordpress.org 以外から入れない、と明記しています
• 来歴の分からない「無料の有料テーマ／プラグイン」を入れる
• 管理者のIDとパスワードを、複数人で使い回す
• 使っていないプラグインを、止めずに残し続ける
• カフェなど、信頼できない回線で管理画面に入る

日本語の案内は、WordPress のセキュリティ強化からも辿れます。英語版の方が新しい記述があるため、重要な判断は両方を見ると安心です。

セキュリティだけを独立した作業にすると、続きません。月次や週次の点検に、更新とバックアップと並べると、忘れにくいです。

自分で続けるか、任せたいかは、公開後の作業一覧でも触れています。見る項目は、担当が誰でも同じです。