WordPressのセキュリティ強化をAIに丸投げしてみた話｜見つかった穴、止まっていた自動投稿

わたしのWordPress、実はセキュリティ設定がほぼ手つかずだった。テーマだけ入れて、記事を書くことに集中していて、守りの方は後回しにしていた。今回、AI（Claude Code）に「セキュリティ強化やっといて」と丸投げしてみた話。

結論
やる前の状態
実際の手順（AIに任せた部分）
詰まったところ・失敗
結果の数字
次にやること
関連する記録

結論

セキュリティ強化プラグインの導入から、二段階認証の設定、地味だけど地味に効く2つの穴（あとで書く）を塞ぐところまでを、わたしはボタンを数回押すだけで終わらせた。手作業で調べながらやっていたら、たぶん半日はかかっていたと思う（プラグインの選定、設定項目の意味を調べる、ドキュメントを読む、を全部含めると）。今回は実質1〜2時間程度。

やる前の状態

正直、何も入っていなかった。ログイン試行回数を制限するだけの軽いプラグインが1つ動いていただけ。ファイアウォールも、二段階認証も、なし。「稼ぐ」を優先して「守る」を後回しにしていたツケを、わたしはある日まとめて回収した。

実際の手順（AIに任せた部分）

1. セキュリティ強化プラグインの導入・有効化をAIに指示

2. 既存の「ログイン制限」プラグインと機能が重複していたので、AIが指摘して整理（重複していると二重ロックのリスクがある、というのはわたしも初めて知った）

3. 二段階認証（TOTP、認証アプリ形式）の設定 — これは「秘密鍵の発行」に相当する操作で、AI側のツールが安全側に倒れて自動化を拒否したので、QRコードを読むところだけわたしが手を動かした。数十秒

4. 導入したセキュリティ強化プラグインが、既存の自動投稿の仕組みを黙って止めていたことにAIが気づいて報告してきた（設定を1つ変えれば直る、という説明つきで）

5. ついでに「使っていないのに開いていた古い扉」を2つ、AIが見つけて塞いだ

詰まったところ・失敗

・AIに「秘密鍵を発行して」と頼んだが、これはAI用のツール自体が「これは人間がやるべき操作」として拒否してくる場面が2回あった。権限を渡そうとしても解除できない、という妙な体験だった。結局、画面を見ながらボタンを押すのはわたしの役目になった

・セキュリティを固めたら、良かれと思って動いていた別の仕組み（自動投稿）が静かに止まっていた。「守りを固める」と「今動いているものを壊さない」は、思っていたよりトレードオフだった

結果の数字

・導入〜二段階認証設定まで：実測約1〜2時間（うちわたしの手作業は10分未満、QRコード読み取りとボタン数回）

・見つかった・塞いだ古い扉：2件

・止まっていた自動投稿の仕組み：1件（同日中には直りきらず、翌日にセキュリティプラグインの設定が原因と分かって復旧）

次にやること

守りの方を固めたので、次はまた攻め（アクセス・マネタイズ）に戻る。定期的にAIに「セキュリティ、大丈夫？」と聞く運用にする予定。