WooCommerceの「支払いゲートウェイが有効になりました」メールの確かめ方

ネットショップを作るWordPressのプラグイン「WooCommerce」から、身に覚えのない「支払いゲートウェイが有効になりました」というメールが届くことがあります。支払い方法の設定が「有効」に変わったときに、サイトの管理者へ自動で届く知らせです。プラグインの更新で設定が切り替わったときにも届きますが、乗っ取りのこともあるので、届いたら一度は確かめます。

まずやることは、メールのリンクは使わずに、いつもの方法で管理画面に入り、その支払い方法が今どうなっているかを見ることです。

やってはいけないのは、メールのリンクからログインすることと、確かめる前に支払い方法を全部止めることです。全部止めると、お客様が今使っている支払い方法まで使えなくなります。

乗っ取りが疑われるときは、サイバー攻撃からの復旧のページからご相談いただけます。

このメールは何の知らせか

WooCommerceには、支払い方法（クレジットカード、銀行振込、Apple Payなど）が有効になったときに、WordPressに登録してある管理者のメールアドレスへ知らせる仕組みがあります（2026年11月時点）。メールの本文には、心当たりがなければ管理画面に入ってその支払い方法を止めることを考えてください、という案内と、設定の画面へのリンクが入っています。

この知らせは、勝手に支払い方法を増やされたときに、お店の人がすぐ気づけるように作られたものです。ただ、メールに書かれているのは「どの支払い方法が有効になったか」までで、誰が有効にしたかは書かれていません。

身に覚えがなくても届く、よくある場合

多いのは、決済のプラグインが新しいバージョンになり、それまで一つにまとまっていた支払い方法が、別々の支払い方法として分かれたときです。分かれたものが初めから「有効」で入ると、誰も操作していなくても、この知らせが届きます。

WordPressの公式の質問の場でも、PayPalのプラグインを更新したあとに同じ知らせが1日で10通届いた、という相談が出ています。新しく有効になったのではなく、もとの設定が新しい形に移っただけ、という答えでした（WordPress.orgのサポートフォーラム（英語））。

保守でお預かりしているショップで届いたとき

ソライルでも、保守でお預かりしているネットショップで、この知らせが届いたことがあります。決済のプラグインを更新した直後に、「Google Pay」と「Apple Pay」がそれぞれ有効になった、という2通です。

調べると、新しいバージョンでこの2つが別の支払い方法として分かれ、初めから「有効」が入ったためでした。そのプラグインは決済の会社とのつなぎ込みがされておらず、お店の画面には何も出ていませんでした。ただ、あとでつなぎ込みをすると、お店の人が知らないうちに支払い方法が増えてしまいます。使っていないプラグインでもあったので、止めてから、注文の記録に関わらないことを確かめて削除しました。

今は、ネットショップの毎月の保守で、更新の前と後に支払い方法の一覧を控えて、見比べるようにしています。

社内の操作か、乗っ取りかの見分け方

見るところは3つです。あわせて、知らせに似せた偽のメールにも気をつけます。

知らせが届いた時刻と、更新の時刻を比べる

管理画面の「プラグイン」で、決済のプラグインがいつ更新されたかを見ます。自動更新が入っていれば、WordPressから「プラグインが自動更新されました」というメールも届いているはずです。知らせの時刻と更新の時刻が近ければ、更新で設定が切り替わった見込みが高くなります。保守の会社に頼んでいるなら、その日に作業をしたかを聞くのが早道です。

社内で触った人がいないかを聞く

お店の担当の方が、新しい支払い方法を試そうとして設定を変えた、ということもあります。管理画面に入れる人に、その日に決済の設定を触ったかを聞きます。

ほかに変わったところがないかを見る

次のどれかがあれば、乗っ取りを疑います。

• 管理画面の「ユーザー」に、知らない管理者がいる
• 入れた覚えのないプラグインがある
• 管理者のメールアドレスや、売上の振込先が変わっている

WordPressは、本体だけでは誰がいつログインしたかを記録しません。ログインの記録を残すセキュリティのプラグインを入れていれば、そこで見られます。入れていなければ、サーバーのアクセスの記録から調べることになるので、保守の会社やサーバーに詳しい人に頼みます。知らない管理者を見つけたときの動き方は、ユーザー一覧に知らない管理者がいたときの記事にまとめています。

知らせに似せた偽のメールにも気をつける

お店の管理者に届く知らせに似せて、偽のログイン画面へ誘うメールもあります。差出人や件名が本物らしく見えても、メールの中のリンクからは入らず、ふだん使っている入口から管理画面を開くのが確実です。似た手口は、ドメインの更新をかたるメールの記事にも書いています。

確かめたあとにすること

意図した変更だったとき

社内の操作や、更新で切り替わっただけで、その支払い方法を使うつもりがあれば、そのままで構いません。使うつもりがなければ、その支払い方法だけを止めます。WooCommerceの「設定」の「決済」で、支払い方法ごとに切り替えられます。

心当たりがないとき

• その支払い方法を止める
• 管理者全員のパスワードを変える
• 知らないユーザーやプラグインがないかを見る
• ログインに二段階認証（パスワードのほかに確認の番号を使う仕組み）を付ける

二段階認証の付け方は、二段階認証の記事にあります。

使っていない決済のプラグインは片づける

使っていない決済のプラグインは、止めておくだけでも店頭には出ません。ただ、更新のたびに設定が変わる元になります。過去の注文に関わっていないことを確かめてから、削除するのがおすすめです。消してよいかの判断は、プラグインの棚卸しの記事が近い話です。

頼むときの文例

いつもお世話になっております。
WooCommerceから「支払いゲートウェイ（支払い方法の名前）が有効になりました」というメールが、（日時）に届きました。
社内では決済の設定を触っておりません。
その時刻にプラグインの更新などがあったか、ほかに変わったところがないかを確かめていただけますか。
使う予定のない支払い方法でしたら、止めていただけると助かります。

届いたメールは消さずに残しておき、件名と届いた日時を伝えると、調べる人が時刻を合わせやすくなります。

勝手に増えにくくする設定

WooCommerceの管理画面には、決済などのプラグインをすすめる表示が出ます。お預かりしているネットショップでは、入れた覚えのない決済のプラグインが入っていたこともありました。

そこで、すすめの表示から決済のプラグインが入る道を減らすために、WooCommerceの「設定」の「高度な設定」の「WooCommerce.com」にある「提案を表示」をオフにしています。管理画面の中のすすめの表示が減るだけで、お店の画面には影響しません。

もう一つは、更新の前に、今の支払い方法の一覧を控えておくことです。「設定」の「決済」の画面を撮っておくだけでも、あとで見比べられます。

知らせを受け取れる状態にしておく

WordPressの管理者のメールアドレスが、辞めた方のアドレスや、誰も見ていないアドレスのままだと、届いても気づけません。管理画面の「設定」の「一般」で、今のアドレスを確かめておくと安心です。知らせのメールは止めることもできますが、止めずにおくことをおすすめします。

支払い方法の一覧を更新の前後で見比べるのは、地味ですが手間のかかる作業です。ネットショップの毎月の更新と、その後の確認をまとめて任せたい方は、ホームページ保守のページから、無料サイト健康診断をお申し込みいただけます。

よくある質問

Q. 届いたメールが本物かどうか、どう見分けますか？

A. メールのリンクは押さずに、いつものブックマークなどから管理画面に入り、「設定」の「決済」で、その支払い方法が本当に有効になっているかを見ます。有効になっていなければ、偽のメールのおそれがあります。

Q. 支払い方法が有効になっていても、お店の画面に出ていなければ大丈夫ですか？

A. すぐに困ることはありません。ただ、あとで決済の会社とつなぐと、そのまま店頭に出ることがあります。使わない支払い方法は、止めておくのがおすすめです。

Q. 知らせが届く先を、お店の担当者のアドレスに変えられますか？

A. 届く先は、WooCommerceの「設定」の「メール」で、この知らせの宛先として変えられます。管理者のアドレスを読む人がいないときは、ここに担当の方のアドレスを入れておくと気づきやすくなります。

Q. この知らせのメールは止めてもよいですか？

A. 止めることはできますが、おすすめしません。勝手に支払い方法を増やされたときに、気づくきっかけがなくなるからです。届く先のアドレスを、読まれているものにしておきます。