安全なWordPressプラグインの選び方・見極め方

目次

プラグインは、管理画面から検索してすぐに追加できる、WordPress の手軽な拡張手段です。公式のプラグインディレクトリには6万個を超える無料プラグインが登録されており（2026年7月時点）、お問い合わせフォームでも人気記事の表示でも、同じ用途で複数の選択肢が見つかります。

とはいえ、その中から安全に使えるものをどう選べばよいのでしょうか。選び方を誤ると、表示速度への悪影響や不具合、場合によっては乗っ取り・改ざんの糸口になることもあります。名前も評価もばらばらで、数年前のブログ記事で紹介されていたプラグインが今も安全とは限りません。この記事では、その見極め方を、どれを入れるか迷っている方に向けてご紹介します。

はじめに：この記事で分かること

• プラグインの安全性は、公式ディレクトリのページに出ている4つの表示（最終更新日・有効インストール数・検証済み最新バージョン・評価とレビュー）でおおよそ見極められます。
• 本文では、4つの表示それぞれの見方と、「この場合はどう判断するか」の分岐を順に説明します。
• 後半は、入れると決めたあとの試し方（バックアップ→1つずつ入れる）です。

WordPressのプラグイン公式ディレクトリとは？

WordPress公式ディレクトリ（wordpress.org/plugins）は、WordPress.org が運営するプラグインの配布場所です。管理画面の「プラグイン → 新規追加」で検索して入れられるプラグインは、すべてここから提供されています。

掲載されるには申請手続きとレビュープロセスを経る必要があり、セキュリティ対策や開発ガイドライン（WordPress公式）に基づく審査が行われます。公式にあるから「絶対に安全」とは言い切れませんが、少なくとも一定のクオリティには達していることになります。だからプラグインは、公式ディレクトリから入れるのが基本です。

逆に、外部サイト（開発者の個人サイトなど）から直接ZIPファイルを入れる場合は、この記事で扱う判断材料がそもそも使えません。提供者が信頼できるか、問題が起きたときのサポートはどうなっているかまで含めて、慎重に判断しましょう。

そのうえで知っておきたいのは、審査は申請時点のものだという点です。公開後のすべてのバージョンが同じ厳しさで検査され続けるわけではなく、審査を通ったあとに開発が止まることもあります。「公式にあるか」で入口を絞り、「いまも管理されているか」を次の4つの表示で確かめる。この二段構えで選ぶのが、この記事の流れです。

安全性を見極める4つの表示

見る場所は、プラグインページの右側（画面幅によっては下部）に並ぶメタ情報と、評価・サポートの欄です。順に見ていきます。

1. 最終更新日：1年以上止まっていたら他の表示も慎重に見る

「最終更新日」の欄には、「2か月前」「2年前」のように、最後の更新からの経過期間が表示されます。ここが1年以上前で止まっている場合、WordPress本体の新しいバージョンへの対応や、見つかった脆弱性の修正が行われていない可能性があります。

目安の「1年」は絶対の基準ではありません。機能が完成していて、意図的に更新頻度を落としている定番プラグインもあります。1年以上前なら「残りの3つの表示を注意して見る」、直近数か月以内なら「開発が続いている」と読み替えてください。

2. 有効インストール数：多いほど問題が早く見つかり、直りやすい

「有効インストール数」は、いま実際にそのプラグインを使っているサイトのおおよその数です。プラグインを入れたサイトから WordPress.org へ定期的に送られる情報をもとに集計され、停止・削除したサイトは除外されます。利用者が多いプラグインは、不具合が出れば多くの人が気づいて報告するため、修正も早い傾向があります。多くの人に使われ続けているのには、それだけの理由がある場合が多い、という見方もできます。

数が少ない＝危険、ではありません。用途が限定された専門プラグインは利用者が少なくて当然です。その場合は、次の検証済みバージョンと、レビューの中身を重視します。

3. 検証済み最新バージョン：自分のWordPressで動作確認されているか

「検証済み最新バージョン」の欄で、開発者がどのWordPressバージョンまで動作確認しているかが分かります。ここが現行のWordPressから大きく（メジャーリリース3回分以上）遅れると、ページ上部に「このプラグインは WordPress の最新3回のメジャーリリースに対してテストされていません。もうメンテナンスやサポートがされていないかもしれず、最新バージョンの WordPress で使用した場合は互換性の問題が発生する可能性があります。」という注意書きが表示されます。

この注意書きが出ていても動く場合はあります。ただし、フォームや決済のようにサイトの要になる機能を任せるプラグインでは、そのまま本番に入れないほうが無難です。試すなら、後述のバックアップとセットにしてください。

4. 評価とレビュー：星の数より、件数と開発者の対応を見る

星の数（5段階）とレビュー件数が表示されます。数件しかない星5より、レビューが多く集まった星4前後のほうが実態を反映しやすい、と考えて読んでください。

点数より役に立つのはレビューの中身です。低評価レビューを2〜3件開くと、「何が問題とされているか」「開発者が返答しているか」まで分かります。あわせて、サポート欄の「過去2ヶ月以内に解決した問題」の件数を見ると、開発者がいまも利用者の質問に対応しているかが数字で分かります。「サポートフォーラムを表示」リンクの先で、未解決の質問が放置されたまま並んでいるプラグインは、トラブルが起きたときに助けを得にくいと判断できます。順序としては、まずレビュー件数、次に評価値、最後に低評価の中身、と見ていくとよいかと思います。どんなに優秀なプラグインでも、一定数の低評価はつくものです。

入れると決めたら：ひと手間かけて試す【難易度：普通】

4つの表示を通ったプラグインでも、あなたのサイトの環境（テーマや他のプラグインとの組み合わせ）で問題なく動くかまでは分かりません。入れる前のひと手間で、トラブルが起きたときの被害を小さくできます。

評判を検索する

「プラグイン名＋不具合」「プラグイン名＋問題」で検索すると、実際の使用報告が見つかることがあります。現場でよく見るのは、インストール直後は問題がなく、WordPress本体のメジャーアップデート後に動かなくなるケースです。入れて終わりにせず、本体を更新するタイミングで「検証済み最新バージョン」を見直す習慣にすると、この型のトラブルは避けやすくなります。

バックアップを取ってから入れる

新しいプラグインの有効化は、サイトの表示や動作を変えうる操作です。入れる前に、サーバーのバックアップ機能（多くのレンタルサーバーで管理画面から使えます）で今の状態を控えてください。有効化後に画面が崩れても、多くの場合はそのプラグインの停止で戻せます。それでも、管理画面ごと開けなくなる場合に備えて、戻せる状態を作ってから試すのが順序です。取り方と復元の考え方はWordPressのバックアップの取り方と、いざというときの復元（当サイト解説）にまとめてあります。

1つずつ入れて、主要ページの表示を見る

複数のプラグインを同時に入れると、不具合が出たときにどれが原因か分からなくなります。1つ入れたら、トップページ・お問い合わせフォームなど主要なページの表示と動作を確認して、次に進んでください。

どれを選ぶか判断がつかない場合や、入れたあとの不調の切り分けは、お問い合わせフォームからご相談いただけます。

やってはいけないこと

• 素性の分からないZIPファイルを入れる。 公式ディレクトリ外で配布されているZIPは、掲載審査すら経ていません。開発元が確認できないものは、悪意のあるコードが混ざっていても見分けられません。
• 使っていないプラグインを「停止」のまま残す。 停止してもファイルはサーバーに残り、脆弱性が見つかっても放置されがちです。使わないと決めたら、しっかりと削除まで行いましょう。
• 同じ機能のプラグインを重ねて入れる。 キャッシュ系・SEO系が典型で、互いに干渉して予期しない動作を起こします。乗り換えるときは、古いほうを停止・削除してから新しいほうを入れます。
• 更新をしないで長期間放置する。 選ぶときに最終更新日を見るのと同じ理由です。入れたあとのプラグインも、古いままでは修正済みの脆弱性が残り続けます。

まとめと補足

プラグイン選びは、公式ディレクトリの4つの表示（最終更新日・有効インストール数・検証済み最新バージョン・評価とレビュー）を見る習慣で、リスクの大半を避けられます。最後に、選んだあとの付き合い方を2点だけ補足します。

入れすぎに気づいたら

プラグインは有効化されている分だけページ表示のたびに動くため、数が増えるほど表示速度（当サイト解説）に影響しやすくなります。「この機能はまだ使っているか」「テーマやWordPress本体の機能で足りないか」の見直しは、本体のメジャーアップデートのタイミングに合わせると、検証済み最新バージョンの確認と棚卸しが一度に済みます。仕分け方の詳しい手順はプラグインの入れすぎリスクと棚卸し（当サイト解説）で扱っています。

削除するときのデータの扱い

プラグインを削除すると、設定データが残るものと、データごと消えるものがあります。挙動はプラグインごとに違うため、重要な設定を持つプラグインを消す前は、バックアップを取るか、そのプラグインの公式ページで削除時の挙動を確認してください。

よくある質問

• 公式ディレクトリに掲載されているプラグインは信用できる？
  • 掲載時に審査という関門はありますが、その後の全バージョンが審査され続けるわけではありません。「公式にあるか」で入口を絞り、この記事の4つの表示で「いまも管理されているか」を確かめる、の二段構えで判断してください。
• 「テストされていません」という注意書きが出ているプラグインは何？
  • 開発者の動作確認（検証済み最新バージョン）が、現行のWordPressからメジャーリリース3回分以上遅れているときに表示される注意書きです。動く場合もありますが、メンテナンスが止まっている可能性があります。使うなら、バックアップを取ったうえで、アクセスの少ない時間帯に表示と動作を確かめてください。
• プラグインを入れたら、ページが正しく表示されなくなった
  • 最後に有効化したプラグインを停止するのが最初の一手です。管理画面ごと開けなくなった場合は、WordPressの画面が真っ白になったときの対処法（当サイト解説）の手順で切り分けられます。

4つの表示は、どれもプラグインページを開けばその場で確認できます。次にプラグインを探すときは、インストールボタンを押す前の確認として試してみてください。