こんにちは、なおきです（@naoki_koudou）。
読者
WordPressを立ち上げたばかりですが、不正アクセス対策って本当に最初から必要ですか？
なおき
公開したその日から世界中のボットが管理画面にログイン試行してきます。最初の3設定だけ必ず済ませておきましょう！
WordPressでブログを公開すると、アクセスがゼロの初日であっても海外IPからの自動ブルートフォースアタック（総当たり攻撃）が始まります。
対策を放置して管理画面が突破されると、記事改ざんやサーバー凍結につながるため、公開初日に最低限の防御を固めるのが鉄則です。
1. Xserverの「海外IPアクセス制限」と「WAF」をONにする
レンタルサーバーにXserverを使っている場合、サーバーパネルの「WordPressセキュリティ設定」から国外IPアドレスからのダッシュボードアクセス制限・XML-RPC制限・WAF設定をすべてONにしておくだけで、攻撃の大半をサーバー入り口で遮断できます。
※ 自分が海外（オーストラリアやフランスなど）に滞在している場合のみ、一時的に制限を解除するかVPN経由で日本IPから管理画面へ入るようにしましょう。
2. セキュリティプラグインは「CloudSecure WP Security」1本に絞る
複数のセキュリティプラグインを同時に有効化すると、ログインURL変更やREST API制御が競合して自分がログインできなくなるトラブルが起きます。国産でXserverとも相性が良い CloudSecure WP Security 1本に絞るのがおすすめです。