Web 制作・WordPress 保守に関わるニュースを、3件まとめました。
今日いちばん大きいのは Google のコアアップデートです。
ただ、制作者がすぐにやることは「慌てて直さず、待つ」なので、急ぎ度は低めにしています。
各ニュースには急ぎ度を付けています。
- 【すぐ対応】今日中に対応したいもの
- 【すぐ確認】自分が対象かどうか、今日確認したいもの
- 【試しておく】時間のあるときに試しておきたいもの
- 【知っておく】すぐの対応はいらないけれど、知っておくと役立つもの
今日の早見表
| 急ぎ度 | ニュース | 関係する人 | やること |
|---|---|---|---|
| 知っておく | Google 11月のコアアップデート | Google 検索からの流入があるサイトの担当者 | 展開中は直さず、完了から1週間後に比べる |
| すぐ確認 | Wordfence 9.1.0／9.1.1 | Wordfence を入れているサイトの管理者 | 9.1.1 に更新し、新しい設定を確認する |
| 試しておく | XServerアカウントのパスキー対応 | Xserver を使っている人 | パスキーを登録する |
【知っておく】Google が 2026年11月のコアアップデートを開始
ひとことで
Google が11月10日（米国太平洋時間）に、2026年11月のコアアップデートを始めました。
対象は全世界・全言語で、完了まで最大2週間かかる見込みです。
日本時間では11月11日の午前3時ごろの開始です。
関係する人
Google 検索からの流入があるサイトの担当者、ほぼ全員です。
何が起きているか
コアアップデートは Google が検索順位の評価の仕組みを全体的に見直す更新です。
特定のサイトへのペナルティではなく、Google は今回も「通常のアップデート」と説明しています。
前回は2026年5月（5月21日〜6月2日）で、その前は3月27日〜4月8日でした。
今年は2か月から半年おきに行われていることになります。
Search Engine Roundtable によると、正式な発表の前の週初めから、大きな順位の変動に気づいていた人もいたようです。
完了は米国の感謝祭（11月末）前後になるのでは、と予想されています。
やること
Google の公式ドキュメントの案内をもとにすると、やることは次のとおりです。
- 展開中は順位が動いても慌てて直さない
- Google の検索ステータスダッシュボードで、完了した日を確かめる
- 完了から少なくとも1週間待ってから、Search Console で、アップデート前の同じ長さの期間と比べる
- ページごと・検索キーワードごとに見て、下がり方が小さいか大きいかを判断する
下がり方が小さければ、大きな対策はいらないとされています。
まずは待つ、ということですね。
Search Console のエラーを見て「直すべきか、待つべきか」を判断したときの記録はこちらです。
待つと決めた理由と、確かめた方法をまとめています。
大きく、しかも長く下がった場合は、サイト全体の内容が読む人の役に立っているかを見直すよう案内されています。
その場合も、「SEO に悪いと聞いた部分を消す」ような急ごしらえの対策は避けるように、とのことです。
記事の削除は最後の手段で、改善の効果が出るまでには数か月かかることもあるそうです。
今回は年末の商戦の時期と重なります。
EC サイトなどのクライアントには「この時期は順位が揺れるので、完了まで様子を見ましょう」と先に伝えておくと、問い合わせが来たときに慌てずに済みそうです。
出典
- Google 検索ステータスダッシュボード: https://status.search.google.com/incidents/WLxcJyC6jMWMfryxsKMc
- Search Engine Roundtable: https://www.seroundtable.com/google-november-2026-core-update-42504.html
- Google のコアアップデートについての公式ドキュメント: https://developers.google.com/search/docs/appearance/core-updates?hl=ja
【すぐ確認】Wordfence 9.1.0 公開、翌日に 9.1.1 も
ひとことで
WordPress のセキュリティプラグイン「Wordfence」の 9.1.0 が11月10日に出ました。
翌日の11月11日には 9.1.1 も出ていて、公式は 9.1.1 への更新を勧めています。
9.1.1 は安全な通信の確認に使う証明書の一覧を新しくしただけの更新です。
新しい機能や設定の変更はありません。
関係する人
Wordfence を入れているサイトの管理者です。
今回の新機能はどれも無料版で使えます。
何が変わったか
主な変更は次の5つです。
- ダッシュボードにセキュリティニュースのウィジェットが加わった: Wordfence のブログの新しい記事が WordPress のダッシュボードと Wordfence のダッシュボードに表示される
- ファイアウォールのルールが早く届くようになった: 新しいルールがあるかを確かめる回数が増えた。無料版にルールが届くのが有料版の30日後なのは変わらない
- 攻撃の見逃しが減った: わざと崩した形の入力で検査をすり抜けようとする攻撃を、見つけやすくなった。設定はいらない
- アプリケーションパスワードと REST API のログイン失敗が Live Traffic に記録されるようになった: ログイン画面（
wp-login.php）を通らないログインの試みも、見えるようになった - 攻撃アラートを出す条件を決められるようになった: 「何分間に何回の攻撃でメールを送るか」を設定できる
ほかに、PHP 8.6 への対応や、ふだんと違う設定のサーバーで動きにくかった点の修正も入っています。
アプリケーションパスワードは昨日の WordPress 7.2 Beta 5 でも「作ると通知メールが届く」変更が入ったばかりです。
ログイン画面を通らないログインへの対策が本体とプラグインの両方で進んでいる流れのようです。
WordPress 7.2 Beta 5 のほかの変更点は、昨日のニュースでまとめています。
やること
まずは 9.1.1 に更新します。
そのうえで、必要に応じて次の設定を見直します（メニュー名は公式の記事の英語表記のままです。日本語の管理画面では表記が違うかもしれません）。
- アラートが多すぎるとき: Wordfence → Dashboard → Global Options → Email Alert Preferences で、「Number of attacks before sending an alert」（アラートを送るまでの攻撃の回数）と「Attack counting window (minutes)」（数える時間）を設定する
- ウィジェットを出したくないとき: Wordfence → Dashboard → Global Options の「Wordfence Security News」で、ダッシュボードごとにオン・オフを切り替える
- ログイン失敗を見たいとき: Wordfence → Tools → Live Traffic で「Show Advanced Filters」→「Add Filter」から「Authentication」を選ぶ
ニュースのウィジェットは更新するとすぐに表示されます。
記事は英語なので、クライアントが自分で管理画面を見るサイトでは、「これは何？」と聞かれる前にオフにしておくのもよさそうです。
出典
【試しておく】XServerアカウントがパスキー認証に対応
ひとことで
11月11日から、Xserver の管理画面「XServerアカウント」に、パスキーでログインできるようになりました。
パスキーはパスワードの代わりに、スマートフォンやパソコンの指紋・顔認証、画面ロックの暗証番号（PIN）でログインする仕組みです。
正規のログイン画面でしか使えないので、偽のログイン画面にだまされてパスワードを盗まれる被害（フィッシング）を防ぎやすくなります。
関係する人
Xserver を使っている人、それからクライアントの XServerアカウントを預かっている制作者です。
何ができるか
- 1つのアカウントに、パスキーを10個まで登録できる
- パスキーを登録していない端末からは、ログイン画面に出る QR コードを、パスキーを保存したスマートフォンで読み取ってログインできる
- パスキーを1つ以上登録すると、「パスワードでのログイン」を無効にできる
使うには、パスキーに対応した端末とブラウザが必要です。
対象は「XServerアカウント」だけです。
サーバー ID とパスワードで入るサーバーパネルなどは対象外です。
やること
「XServerアカウント」の「ログインセキュリティ」にある「パスキー」から登録します。
登録は任意で、登録してもこれまでどおりパスワードでもログインできます。
注意点
パスワードでのログインを無効にすると、XServerアカウントの ID とパスワードを使うすべてのログイン画面で、パスワードが使えなくなります。
その状態でパスキーの端末を失くしたときは、事前に設定しておいた Google アカウントでログインする、と案内されています。
どの方法でもログインできないときは、サポートに問い合わせて本人確認を受ける必要があります。
無効にする前に、Google アカウントでのログインを設定しておくか、パスキーを複数の端末に登録しておくと安心です。
クライアントのアカウントを預かっている場合は、誰の端末にパスキーを登録するかを先に決めておいたほうがよさそうです。
制作者の端末だけに登録してパスワードを無効にすると、クライアント自身がログインできなくなるおそれがあります。
出典
- Xserver のお知らせ: https://www.xserver.ne.jp/news_detail.php?view_id=19895
今日の確認リスト
- コアアップデートは完了まで直さず、完了から1週間後に Search Console で比べる
- EC サイトなどのクライアントに、年末は順位が揺れやすいことを先に伝えておく
- Wordfence を入れているサイトを 9.1.1 に更新する
- 管理しているサイトが多ければ、Wordfence の攻撃アラートの条件を見直す
- XServerアカウントにパスキーを登録する。パスワードを無効にするのは、失くしたときの備えをしてから
