WordPressのサイトを止めたい理由は人それぞれです。乗っ取られた、脆弱性のニュースを見て不安になった、改装中なので見せたくない、事業をやめるので閉じたい。どれも「止める」ですが、止め方を間違えると、再開したあとに検索順位が戻らなかったり、乗っ取られたサイトが動き続けたりします。
この記事では、エックスサーバーやさくら、ロリポップのような共用レンタルサーバーでWordPressを使っている方向けに、目的ごとの止め方を書きます。当社が2026年10月22日に、PHPの脆弱性「PHP2Shell」への対応でお客様のサイト2件を実際に止めたときの手順も載せています。
先に結論：止める期間と理由で方法を選ぶ
| 目的 | おすすめの止め方 | 検索への影響 |
|---|---|---|
| 数時間〜1、2日だけ止める（メンテナンス、脆弱性の修正待ち） | .htaccessで「503」を返す | 短期間なら残る |
| 乗っ取り・改ざんに気づいた | すぐ止める。サーバー会社への停止依頼、アクセス制限、.htaccessのどれでもよい | 気にしなくてよい。訪問者を守るのが先 |
| 関係者だけに見せたい（制作中・リニューアル準備） | サーバーのアクセス制限（ID・パスワード） | 載らない |
| 数週間以上休む（休業・長期改装） | 「休止中」のお知らせページを普通に表示する | 残りやすい |
| 完全にやめる | 中身を消して、サーバーとドメインを整理する | 消える |
どの場合も、次の3つは「一時的に止める」目的では使わないでください。
- WordPressの「表示設定」にある「検索エンジンがサイトをインデックスしないようにする」
- robots.txtで全ページのクロールを拒否する
- Search Consoleの「削除」ツール
Googleは、一時的に止めるためにnoindexやrobots.txtの全拒否、403・404・410を使うと、URLが検索から削除されると説明しています。WordPressのこの設定も、中身はnoindexを出す機能です。WordPress公式の説明にも「サイトへのアクセスはブロックできません」とあり、サイトを見られなくする機能でもありません。
方法1：.htaccessで「503」を返す（短期間の一時停止）
数時間から1、2日止めるなら、この方法が一番です。503は「一時的に利用できません」という意味の応答で、Googleは一時停止のときにこれを返すよう案内しています。
共用レンタルサーバーでも、管理画面のファイルマネージャーかFTPで.htaccessを編集できれば使えます。各社のファイルマネージャーの場所は、方法2の一覧に並べています。WordPressが動いていなくても止められるので、乗っ取られたときの緊急停止にも使えます。
手順
- ファイルマネージャーかFTPで、サイトの公開フォルダ（トップページのindex.phpがある場所）を開く
- .htaccessをダウンロードして、手元に元のファイルを残す
- 同じ場所に、表示用のmaintenance.htmlを置く
- .htaccessの先頭に、下のブロックを貼る
- ブラウザでメンテナンス画面が出ることを確かめ、ステータスコードが「503」になっているかを確認する。パソコンのターミナルで
curl -I https://ドメイン/を実行し、1行目がHTTP/1.1 503やHTTP/2 503になっていれば止まっています
.htaccessに貼るブロックです。当社が10月22日に実際に使ったものに、Retry-Afterとrobots.txtの除外を足しています。
# BEGIN maintenance（再開するときはこのブロックを消す）
ErrorDocument 503 /maintenance.html
<IfModule mod_headers.c>
Header always set Retry-After "86400"
</IfModule>
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule ^maintenance\.html$ - [L]
RewriteCond %{REQUEST_URI} !^/robots\.txt$
RewriteCond %{REQUEST_URI} !^/maintenance\.html$
RewriteRule ^ - [R=503,L]
</IfModule>
# END maintenance
RewriteRule ^ - [R=503,L]で、全ページに503を返します。Apacheの公式ドキュメントにあるとおり、300番台以外の番号を指定すると転送はされず、その番号の応答になりますErrorDocument 503 /maintenance.htmlで、そのときに見せるページを指定します。ここをhttps://から始まるURLにすると、503ではなく転送になってしまうので、必ず/から書きますRetry-Afterは「いつ頃また来てほしいか」をクローラーに伝えるもので、Googleも付けることを勧めています。86400は秒数で、1日です- robots.txtは止めずに表示させます。Googleは、robots.txtに503を返すとサイト全体のクロールが止まるとして、ここを止めないよう案内しています
maintenance.htmlは、次のような短いページで十分です。画像やCSSのファイルを読み込むと、そのファイルも503で止まって表示が崩れるので、CSSはページの中に書きます。
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>メンテナンス中</title>
<style>body{font-family:sans-serif;text-align:center;padding:80px 24px;line-height:1.8}</style>
</head>
<body>
<h1>ただいまメンテナンス中です</h1>
<p>再開は10月26日（月）の予定です。<br>お急ぎの方は 011-000-0000 までお電話ください。</p>
</body>
</html>
Googleは、このページに再開の予定日と連絡先を載せるよう勧めています。
貼る場所と、つまずきやすいところ
- 「# BEGIN WordPress」と「# END WordPress」の間には貼らない。 WordPressはパーマリンク設定を保存したときなどに、この間を書き換えます。間に入れると、知らないうちに消えます。その上（ファイルの先頭）に貼ってください
- 先頭に
AddHandlerなどのPHPの設定行があるサーバーでは、その行は残す。 その行の下に貼ります。消すとPHPのバージョンが変わってしまうことがあります - サブフォルダに別の.htaccessがある場合は、そこにも同じブロックが要る。 当社が止めたサイトでは、記事用のサブフォルダに独自の書き換えルールを持つ.htaccessがあり、そこだけは親フォルダのルールが効かず、普通に表示されたままでした。サブフォルダの.htaccessにも同じブロックを貼って止めています。止めたあとは、トップだけでなくサブフォルダのページも開いて確かめてください
- 自分だけは見たい場合は、
RewriteRule ^ - [R=503,L]の前の行にRewriteCond %{REMOTE_ADDR} !^203\.0\.113\.10$のように自分のIPアドレスを足します（203.0.113.10の部分を自分のIPに替える）。Cloudflareなどを通しているサイトでは、ここに見えるIPが自分のIPにならないので効きません - 書き間違えると、サイト全体が「500 Internal Server Error」になります。そのときは手元に残した元の.htaccessを戻してください
何日まで止めていいか
Googleは、サイト全体を止めるのは「最終手段」で、「長くても2〜3日」としています。503を使うのは「1〜2日間緊急に無効にする必要がある場合」で、それより長いなら、503ではなく、普通に表示される（200で返す）お知らせページにするよう案内しています。503が続くと、登録済みのURLもいずれ検索から削除されるためです。FAQでは「ほんの2〜3週間でも」止めると影響が出うる、と書いています。
再開の見込みが2日を超えそうなら、次の「方法4」に切り替えてください。
方法2：サーバーのアクセス制限（ID・パスワード）で止める
主な共用レンタルサーバーには、管理画面からフォルダにIDとパスワードをかける機能があります（ベーシック認証）。設定すると、IDとパスワードを知っている人しか見られなくなります。.htaccessを直接触らずに済むので、ファイルの編集に慣れていない方はこちらが確実です。
主なレンタルサーバーの設定場所
各社の公式マニュアルで確認したメニューの場所です（2026年10月23日時点）。.htaccessを触る方法1で使う「ファイルマネージャー」の場所も並べています。
- エックスサーバー：サーバーパネルの「アクセス制限」で、フォルダを「ON」にしてから「ユーザー設定」でIDを追加（マニュアル）。公開フォルダ直下の.htaccessはサーバーパネルの「.htaccess編集」で、サブフォルダの.htaccessは「ファイルマネージャ」で編集します（マニュアル）。シンレンタルサーバーも同じ画面です
- さくらのレンタルサーバ：コントロールパネルの「ファイルマネージャー」で対象フォルダを選び、「表示アドレスへの操作」→「アクセス設定」→「パスワード制限」（マニュアル）。.htaccessもファイルマネージャーから編集できます
- ロリポップ！：ユーザー専用ページの「アクセス制限」→「新規作成」（マニュアル）。.htaccessの編集は「ロリポップ！FTP」で行います
- ConoHa WING：「サイト管理」→「サイトセキュリティ」→「ディレクトリアクセス制限」（マニュアル）。.htaccessは「サイト設定」→「応用設定」→「.htaccess設定」で編集します（マニュアル）
- お名前.com レンタルサーバー（RSプラン）：左メニューの「セキュリティ」→「アクセス制限」→「制限中のフォルダ」タブ（マニュアル）。ドメイン直下の.htaccessは「高度な設定」→「.htaccess」で編集でき、サブフォルダの.htaccessはファイルマネージャーかFTPで編集します（マニュアル）
- mixhost：cPanelの「WordPress Management」で対象サイトの「パスワード保護」（マニュアル）。メインドメインにかけると、アドオンドメインやサブドメインにも引き継がれると案内されています
- ColorfulBox：cPanelの「ディレクトリ プライバシー」（マニュアル）。ドメインの公開フォルダ全体にかけている間は、無料SSL証明書の発行ができないと案内されています。証明書の更新時期が近いときは注意してください
- heteml：コントロールパネルの「アクセス制限」→「新規作成」（マニュアル）
カゴヤ・ジャパンは、10月22日のPHPの脆弱性のお知らせで、利用者に公開停止やアクセス制限の検討を案内しています。その中で、public_html直下の.htaccessに Order Deny,Allow と Deny from all の2行を書いて止める手順を載せています（お知らせ）。この書き方は全員に「403」を返すので、緊急の遮断には使えますが、検索に残したい一時停止には方法1の503のほうが向いています。
エックスサーバーとさくらは、サーバー側で改ざんを見つけると、サーバー会社の判断でアクセスを制限して、メールで知らせると案内しています（エックスサーバー、さくら）。サーバー会社からこの種のメールが届いたら、まず中身を確認してください。
アクセス制限は「401」という応答を返します。Googleは401を403・404と同じように扱うので、長く続けると登録済みのURLは検索から外れます。制作中のサイトや、乗っ取りに気づいてすぐ閉じたい場面に向いていて、検索順位を守りたい一時停止には方法1のほうが向いています。
方法3：乗っ取り・改ざんに気づいたときの緊急停止
改ざんされたページで訪問者がウイルスに感染したり、偽サイトへ飛ばされたりしているなら、検索への影響は気にせず、すぐ止めます。JPCERT/CCのインシデント対応マニュアルも、利用者を守るために「速やかに Web サービスを停止」するとしています。
- 止める。サーバー会社に停止を依頼するか、方法1・方法2で自分で止める
- ログを残す。警察庁は、被害に遭ったら「直ちにサービスを停止し」、アクセスログを保存して証拠を残すよう案内しています。レンタルサーバーのログは数週間で消えるので、管理画面からダウンロードしておく
- パスワードを変える。WordPressの管理者、サーバー管理画面、FTP、データベース
乗っ取られたWordPressの中に入れる「メンテナンスモード」のプラグインは、この場面では使わないでください。攻撃者が仕込んだファイルはWordPressの外にも置かれていることが多く、プラグインで表示を隠しても、それらのファイルは動き続けます。
止めたあとの復元と、入口のふさぎ方は「WordPressが乗っ取られたときの復旧手順」に書いています。
方法4：数週間以上休む（休業・長期改装）
休業や長期の改装で何週間も止める場合、Googleは、503ではなく、普通に表示されるお知らせページを置くよう勧めています。トップページに「〇月〇日まで休業しています」「再開後はこのページでお知らせします」と書き、連絡先を載せておきます。
WordPressのまま休むなら、トップページの内容をお知らせに差し替え、お問い合わせフォームやネットショップなど、休業中に動いていると困る機能だけを止めます。Googleも「サイトはオンラインのまま機能を制限する」のが一番影響が少ないとしています。
休業中もWordPressとプラグインの更新は続けてください。更新が止まったWordPressは、乗っ取りの入口になりやすい状態です。更新を続けられないなら、WordPressは止めて、静的なHTMLのお知らせページだけを置くほうが安全です。
方法5：サイトを完全に閉じる
事業をやめるなどで完全に閉じる場合です。順番を間違えると、データを取り出せなくなったり、ドメインが他人の手に渡ったりします。
- バックアップを取る。 WordPressのファイルとデータベースを、サーバーの外に保存する。過去の記事や問い合わせの履歴が要るか、ここで決める
- 中身を消す。 WordPressを削除し、ページが「404」か「410」を返す状態にする。Googleは、登録済みのURLが4xxを返すと検索から削除するとしています。急ぐなら、Search Consoleの「削除」ツールで1日以内に検索結果から隠せます（約6か月有効）
- サーバーを解約する。 メールを同じサーバーで使っている場合は、メールの移転先を先に決める
- ドメインをどうするか決める。 期限が切れたドメインは、第三者が取り直せるようになります。取り直した人が同じドメインで別のサイトを出すと、昔の取引先やお客様がそれを見ることになります。名刺や印刷物にURLを載せていたなら、しばらく契約を続けるのも一つの方法です
プラグインだけを止めたいとき
「WordPressを止めたい」の中には、サイトではなくプラグインを止めたいケースもあります。プラグインの不具合で画面が真っ白になって、管理画面に入れないときです。
WordPress公式のFAQにある方法です。
- ファイルマネージャーかFTPで
wp-contentの中のpluginsフォルダの名前をplugins.holdなどに変える。これで全プラグインが止まります - 管理画面に入れたら、フォルダ名を
pluginsに戻す。プラグインは止まったままになっているので、一つずつ有効にして原因を探す - 原因のプラグインが分かっているなら、
pluginsの中のそのプラグインのフォルダ名だけを変えます
WordPressの更新後に「Briefly unavailable for scheduled maintenance. Check back in a minute.（日本語環境では同じ意味の日本語）」と出たまま戻らない場合は、WordPressのフォルダにある .maintenance というファイルを消すと表示が戻ります。これは更新中にWordPressが自動で作るファイルで、本来は10分で自動的に解除されます。自分で止める手段としては使えません。
当社が2026年10月22日に実際に止めたサイト
PHPの脆弱性「PHP2Shell」が公表された10月22日、古いPHPで動いていたお客様のサイト2件を、お客様からの依頼で止めました。どちらも共用レンタルサーバーで、1件はさくらのレンタルサーバ、もう1件は別の会社の共用サーバーです。PHPのバージョンは7.4と5.2で、サーバー会社の修正が当たるまで止めておく、という判断でした。脆弱性とレンタルサーバー各社の対応は「PHPの重大な脆弱性「PHP2Shell」とは」にまとめています。
やったことは方法1のとおりです。
- 元の.htaccessをサーバー上とこちらの手元の両方に残し、戻し方を手順書に書いてから作業した
- .htaccessの先頭に503を返すブロックを貼り、社名も何も入れないメンテナンス表示を置いた
- PHP 5.2のサイトは、先頭にPHPのバージョンを指定する
AddHandlerの行があったので、その直後に貼った - さくらのサイトは、トップは止まったのに、記事用のサブフォルダ2つが表示されたままだった。それぞれに独自の書き換えルールを持つ.htaccessがあったためで、そこにも同じブロックを貼って止めた
- 最後に、トップとサブフォルダのページがすべて503を返していることをcurlで確認した
作業中に止まっていない場所が見つかったのは、サブフォルダまで開いて確かめたからです。トップページだけ見て「止まった」と判断していたら、記事のページは公開されたままでした。
サイトを再開するとき
- .htaccessに貼ったブロックを消す（手元に残した元のファイルに戻すのが確実です）
- maintenance.htmlを消す
- トップと主なページが表示されることを確かめる。サブフォルダも見る
- Search Consoleの「URL検査」でトップページを調べ、問題なければ「インデックス登録をリクエスト」を押す
アクセス制限をかけていた場合は、管理画面から設定を外します。
止める・戻すを頼みたいとき
当社の保守プラン（月額5,000円から）では、認証なしで悪用できる脆弱性や改ざんが見つかったとき、当社の判断でメンテナンス表示に切り替えて被害を防ぎます。侵入されたときは、サーバー会社への停止依頼と侵入前のバックアップからの復元を、追加料金なしで行います。内容はホームページ保守プラン、脆弱性の照合や改ざん検知をどの頻度で回しているかはホームページのセキュリティ対策（KAGIS）にまとめています。保守契約がないサイトでも、障害復旧・マルウェア駆除として30,000円から引き受けています。他社が作ったサイトでも対応するので、お問い合わせから状況を送ってください。
参考にした一次情報
- Google検索セントラル：ウェブサイトを一時停止または無効化する
- Google検索セントラル：HTTPステータスコードがGoogleのクローラーに及ぼす影響
- Google検索セントラル：robots.txtの仕様（サーバーエラー時の扱い）
- Google検索セントラル：サイトでホストしているページをGoogleから非表示にする
- WordPress.org：表示設定画面（検索エンジンでの表示）
- WordPress.org：FAQ Troubleshooting（.maintenanceファイル、管理画面に入れないときのプラグイン無効化）
- WordPress.org：wp_maintenance()
- Apache HTTP Server：RewriteRuleのフラグ（R）
- Apache HTTP Server：ErrorDocument
- Apache HTTP Server：mod_headers
- JPCERT/CC：インシデントハンドリングマニュアル（PDF）
- 警察庁：ウェブサイト改ざん対策
- カゴヤ・ジャパン：PHPの脆弱性に関する当社サービスへの影響について
2026年10月23日時点の情報です。