WordPressの二段階認証を簡単に設定する方法｜おすすめプラグインとログインできない時の対処法

はじめに

WordPressは誰でも使いやすい反面、ログイン画面が攻撃対象になりやすいCMSです。特に管理者アカウントを乗っ取られると、記事の改ざん、スパムページの作成、個人情報の流出、サイト停止などの大きな被害につながる可能性があります。

そこで導入したいのが「二段階認証」です。ワードプレスの二段階認証を設定すると、通常のユーザー名・パスワードに加えて、スマホアプリやメールなどで発行される認証コードの入力が必要になります。たとえパスワードが漏れても、第二の認証を突破されにくくなるため、ログインセキュリティを大きく強化できます。

この記事では、WordPressの二段階認証を簡単に設定する方法、おすすめプラグイン、Google Authenticatorを使った設定手順、ログインできない時の対処法までわかりやすく解説します。

1. WordPressの二段階認証とは？ログインセキュリティを強化する基本知識

1-1. 二段階認証とは何か

二段階認証とは、ログイン時に「パスワードだけ」で本人確認を終わらせず、もう一つの確認手段を追加する仕組みです。

通常のWordPressログインでは、ユーザー名またはメールアドレスとパスワードを入力すれば管理画面に入れます。しかし二段階認証を有効にすると、パスワード入力後に、認証アプリの6桁コード、メールで届くコード、SMSコード、バックアップコードなどの追加認証が求められます。

つまり、攻撃者がパスワードを知っていたとしても、認証アプリやスマホ、バックアップコードを持っていなければログインしにくくなるのが大きなメリットです。

1-2. 二要素認証・2FA・ワンタイムパスワードの違い

WordPressのセキュリティ記事では、「二段階認証」「二要素認証」「2FA」「ワンタイムパスワード」という言葉がよく使われます。

二段階認証は、ログインを2つのステップに分ける仕組み全般を指します。たとえば、パスワード入力後にメールコードを入力する方法も二段階認証です。

二要素認証は、より厳密には異なる種類の認証要素を組み合わせる方法です。代表的な要素には、パスワードのような「知っているもの」、スマホやセキュリティキーのような「持っているもの」、指紋や顔認証のような「本人の特徴」があります。

2FAは「Two-Factor Authentication」の略で、日本語では二要素認証と訳されます。ただし、WordPressプラグインの説明では、二段階認証と2FAがほぼ同じ意味で使われることも多くあります。

ワンタイムパスワードは、一度だけ使える認証コードのことです。Google Authenticatorなどの認証アプリに表示される6桁コードが代表例です。一定時間ごとにコードが変わるため、使い回しされにくい特徴があります。

1-3. WordPressで二段階認証が必要な理由

WordPressで二段階認証が必要な理由は、管理画面に入られるとサイト全体を操作される危険があるからです。

管理者権限を奪われると、攻撃者はテーマやプラグインの編集、ユーザー追加、記事改ざん、悪質なコードの設置などを行える場合があります。ECサイトや会員制サイトであれば、顧客情報や注文情報にも影響する可能性があります。

また、WordPressは世界中で広く使われているため、攻撃者が自動ツールでログイン画面を探し、総当たり攻撃や辞書攻撃を仕掛けるケースもあります。パスワードだけに頼るより、二段階認証を追加してログインの壁を増やすことが重要です。

1-4. 不正ログイン・総当たり攻撃・管理画面乗っ取りのリスク

WordPressで特に注意したいのが、不正ログイン、総当たり攻撃、管理画面の乗っ取りです。

不正ログインとは、第三者が正規ユーザーになりすまして管理画面へ入ることです。パスワードの使い回し、弱いパスワード、過去に漏洩したメールアドレスとパスワードの組み合わせなどが原因になります。

総当たり攻撃は、考えられるパスワードを機械的に試し続ける攻撃です。単純なパスワードや短いパスワードを使っていると、突破されるリスクが高まります。

管理画面を乗っ取られると、サイトの信頼性や検索順位にも悪影響を与える可能性があります。スパムページが大量生成されたり、訪問者を不正サイトへ転送されたりすれば、復旧にも時間と費用がかかります。

二段階認証は、こうしたログイン突破リスクを減らすための基本的な対策です。

1-5. 二段階認証を導入すべきサイトの特徴

次のようなWordPressサイトでは、二段階認証を特に導入すべきです。

個人ブログでも、広告収益があるサイト、検索流入が多いサイト、長年運営しているサイトは管理画面を守る価値が高いです。企業サイト、採用サイト、メディアサイト、ECサイト、会員サイト、オンライン講座サイトなどは、二段階認証の導入優先度がさらに高くなります。

また、管理者や編集者が複数いるサイトも注意が必要です。1人でも弱いパスワードを使っていると、そこからサイト全体のリスクにつながります。外注ライター、制作会社、保守担当者などがログインする場合も、二段階認証を設定しておくと安心です。

2. WordPressで二段階認証を設定する主な方法

2-1. プラグインを使って設定する方法

WordPressで二段階認証を導入する最も簡単な方法は、二段階認証プラグインを使うことです。

WordPressには、Wordfence Login Security、Two-Factor、WP 2FA、miniOrange 2FA、All-In-One Securityなど、二段階認証に対応したプラグインがあります。管理画面からインストールし、画面の案内に沿ってQRコードを読み取るだけで設定できるものも多く、初心者でも導入しやすいのが特徴です。

プラグインを選ぶ時は、認証アプリに対応しているか、バックアップコードが使えるか、複数ユーザーに強制できるか、日本語環境でも使いやすいか、更新が継続されているかを確認しましょう。

2-2. Google Authenticatorなどの認証アプリを使う方法

WordPressの二段階認証では、Google Authenticatorのような認証アプリを使う方法が一般的です。

認証アプリを使うと、スマホ画面に一定時間ごとに変わる6桁程度のコードが表示されます。WordPressログイン時にそのコードを入力することで、本人確認を行います。

Google Authenticator以外にも、Microsoft Authenticator、Authy、1Password、Bitwardenなど、TOTPに対応したアプリを使える場合があります。プラグインによって対応アプリは異なるため、設定前に確認しておくと安心です。

2-3. メール認証・SMS認証を使う方法

認証アプリ以外に、メール認証やSMS認証を使う方法もあります。

メール認証は、ログイン時に登録メールアドレスへ送信されるコードを入力する方式です。スマホアプリを使わなくても設定できるため、初心者にも扱いやすい方法です。ただし、メールアカウント自体が乗っ取られている場合や、メールが遅延する場合には注意が必要です。

SMS認証は、スマホの電話番号宛にコードを送る方式です。手軽ですが、SMS送信に料金がかかる場合があり、プラグインによっては有料機能になっていることもあります。

セキュリティ面と運用のしやすさのバランスを考えると、WordPressでは認証アプリ方式を基本にし、必要に応じてメールやバックアップコードを併用するのがおすすめです。

2-4. セキュリティプラグインの機能として導入する方法

WordPressの二段階認証は、専用プラグインだけでなく、総合セキュリティプラグインの一機能として導入することもできます。

たとえばWordfence Login Securityは、二要素認証に加えて、ログインページCAPTCHAやXML-RPC保護などのログインセキュリティ機能を提供しています。WordPress.orgのプラグインページでも、二要素認証、ログイン・登録CAPTCHA、XML-RPC保護を提供するログインセキュリティ用プラグインとして紹介されています。WordPress.org

All-In-One Securityも、ファイアウォールやログインセキュリティ機能の一部として二要素認証を提供しています。WordPress.orgの説明では、無料版にも二要素認証を含むログインセキュリティ機能があるとされています。WordPress.org

すでにセキュリティプラグインを使っている場合は、二段階認証機能が含まれていないか確認してみましょう。

2-5. 初心者にはプラグインでの設定がおすすめな理由

初心者には、コードを書いて二段階認証を実装するより、プラグインで設定する方法がおすすめです。

理由は、設定画面が用意されており、QRコードの表示、認証アプリとの連携、バックアップコードの発行、ユーザーごとの有効化などを簡単に行えるからです。万が一トラブルが起きた場合も、プラグインを無効化すれば復旧できるケースが多くあります。

ただし、プラグインを入れすぎるとサイトが重くなったり、相性問題が起きたりする可能性があります。二段階認証だけを導入したいのか、ファイアウォールやログイン試行制限もまとめて導入したいのかを決めてから選びましょう。

3. WordPress二段階認証におすすめのプラグイン

3-1. Wordfence Login Security

Wordfence Login Securityは、WordPressのログイン保護に特化したプラグインです。二要素認証、ログインページCAPTCHA、XML-RPC保護などに対応しており、ログイン周りのセキュリティをまとめて強化したいサイトに向いています。WordPress.org

認証アプリを使ったTOTP方式に対応しており、Google Authenticatorなどのアプリと連携できます。Wordfence本体のセキュリティプラグインよりも機能を絞って導入したい場合にも選びやすいです。

おすすめのサイトは、個人ブログ、企業サイト、ログイン画面への攻撃が気になるサイトです。ログインセキュリティをシンプルに強化したい場合に候補になります。

3-2. Two-Factor

Two-Factorは、WordPress.orgによる二要素認証プラグインです。WordPressログインに追加の認証方法を求めることで、パスワードが漏洩した場合でも不正アクセスを防ぎやすくするプラグインとして説明されています。WordPress.org 日本語

TOTP、メール、バックアップ確認コードなどに対応しており、シンプルな構成で使いやすいのが特徴です。余計な機能が少ないため、二段階認証だけを追加したい人に向いています。

ただし、ユーザーごとに設定が必要になるため、複数ユーザーに強制したい場合は運用ルールを決めておくと安心です。

3-3. WP 2FA

WP 2FAは、WordPressサイトのログインに二要素認証を追加し、ユーザーを保護するためのプラグインです。WordPress.orgの説明では、パスワード漏洩、自動パスワード推測、ブルートフォース攻撃への対策として2FAを有効化できると紹介されています。WordPress.org

WP 2FAは、初期設定ウィザードが用意されているため、初心者でも設定しやすい点が魅力です。複数ユーザーへの二段階認証の導入や、企業サイトでの運用にも向いています。

個人ブログよりも、チームで運営するサイト、会員サイト、企業サイトなどにおすすめです。

3-4. miniOrange Google Authenticator

miniOrange 2FAは、Google Authenticatorなどの認証アプリ、OTP、SMS、メールなどに対応する二段階認証プラグインです。WordPress.orgの説明では、不正アクセス、ブルートフォース攻撃、パスワード漏洩からログインを守るための追加認証レイヤーを提供するとされています。WordPress.org

認証方法の選択肢が多く、より細かくログイン認証を設定したい場合に向いています。無料版でできる範囲と有料版の機能差を確認しながら導入するとよいでしょう。

3-5. All-In-One Securityの二段階認証機能

All-In-One Securityは、WordPress向けの総合セキュリティプラグインです。ログインセキュリティ、ファイアウォール、ファイル保護などをまとめて扱えるため、二段階認証だけでなくサイト全体のセキュリティを見直したい場合に向いています。

無料版にも二要素認証を含むログインセキュリティ機能があり、有料版ではより高度な二要素認証や国別ブロックなどの追加機能も案内されています。WordPress.org

すでにセキュリティ対策をまとめて導入したい人には便利ですが、機能が多い分、設定項目も増えます。初心者は必要な機能から少しずつ有効化しましょう。

3-6. おすすめプラグインの比較表

3-7. 初心者・個人ブログ・企業サイト別の選び方

初心者がワードプレスの二段階認証を初めて導入するなら、設定がわかりやすいWordfence Login Security、Two-Factor、WP 2FAがおすすめです。

個人ブログであれば、シンプルに使えるTwo-FactorやWordfence Login Securityが選びやすいでしょう。二段階認証だけを追加したいならTwo-Factor、ログインCAPTCHAやXML-RPC保護も使いたいならWordfence Login Securityが候補になります。

企業サイトや複数ユーザーで運営するサイトでは、WP 2FAやAll-In-One Securityのように、ユーザー管理やセキュリティ機能が充実したプラグインが向いています。ログイン権限を持つユーザーが多いほど、全員に二段階認証を適用できる仕組みを選ぶことが大切です。

4. WordPressで二段階認証を設定する手順

4-1. 事前にバックアップを取る

二段階認証を設定する前に、必ずWordPressのバックアップを取りましょう。

バックアップ対象は、WordPressファイル、テーマ、プラグイン、アップロード画像、データベースです。バックアッププラグインを使ってもよいですし、レンタルサーバーの自動バックアップ機能を確認しても構いません。

二段階認証プラグインはログイン画面に関わるため、設定ミスやプラグインの相性問題があると、管理画面に入れなくなる可能性があります。バックアップがあれば、万が一の時も復旧しやすくなります。

4-2. 二段階認証プラグインをインストールする

WordPress管理画面にログインし、「プラグイン」から「新規追加」を開きます。

検索窓に「Two-Factor」「WP 2FA」「Wordfence Login Security」など、導入したいプラグイン名を入力します。目的のプラグインが表示されたら、「今すぐインストール」をクリックします。

プラグイン名が似ているものもあるため、作者名、更新日、インストール数、評価、対応WordPressバージョンを確認してからインストールしましょう。

4-3. プラグインを有効化する

インストールが完了したら、「有効化」をクリックします。

有効化すると、管理画面のメニューやユーザープロフィール画面に二段階認証の設定項目が追加されます。プラグインによっては、初回設定ウィザードが自動で表示されます。

この段階では、いきなりログアウトしないようにしましょう。設定が完了する前にログアウトすると、認証コードがわからずログインできなくなる場合があります。

4-4. 認証アプリをスマホにインストールする

次に、スマホへ認証アプリをインストールします。

代表的なアプリは、Google Authenticator、Microsoft Authenticator、Authy、1Password、Bitwardenなどです。プラグインがTOTPに対応していれば、多くの認証アプリで利用できます。

Google Authenticatorを使う場合は、iPhoneならApp Store、AndroidならGoogle Playからインストールします。スマホの時刻がずれていると認証コードが通らないことがあるため、自動時刻設定を有効にしておくと安心です。

4-5. QRコードを読み取って認証アプリと連携する

WordPress側の二段階認証設定画面を開くと、QRコードが表示されます。

スマホの認証アプリを開き、「追加」「QRコードをスキャン」などを選択し、WordPress画面に表示されたQRコードを読み取ります。読み取りが成功すると、認証アプリ内にWordPressサイト名やアカウント名が追加され、6桁コードが表示されます。

QRコードが読み取れない場合は、手動入力用のキーが表示されていないか確認しましょう。認証アプリにキーを直接入力して連携できる場合があります。

4-6. ワンタイムパスワードを入力して設定を完了する

認証アプリに表示された6桁のワンタイムパスワードを、WordPress側の設定画面に入力します。

コードは一定時間で切り替わるため、残り時間が少ない場合は次のコードに変わってから入力するのがおすすめです。入力後、「確認」「有効化」「保存」などのボタンをクリックします。

正しく設定できると、二段階認証が有効になります。以後、ログイン時にはパスワードに加えて認証コードの入力が必要になります。

4-7. バックアップコードを保存する

二段階認証を有効化したら、必ずバックアップコードを保存してください。

バックアップコードは、スマホを紛失した時、認証アプリを削除した時、機種変更に失敗した時などに使う復旧用コードです。プラグインによっては、複数の使い切りコードが発行されます。

保存場所は、パスワード管理アプリ、暗号化されたメモ、紙に印刷して保管する方法などが考えられます。WordPress管理画面の中だけに保存しても、ログインできない時に確認できないため意味がありません。

4-8. ログアウトして正常にログインできるか確認する

設定が完了したら、別のブラウザやシークレットウィンドウを使ってログインテストを行いましょう。

現在の管理画面を開いたまま、別ブラウザでWordPressログイン画面にアクセスします。ユーザー名とパスワードを入力し、その後に認証アプリのコードを入力します。正常にログインできれば設定完了です。

いきなり現在の管理画面からログアウトするのではなく、別ブラウザでテストするのが安全です。万が一ログインできない場合でも、元の画面から設定を見直せます。

5. Google Authenticatorを使ったWordPress二段階認証の設定方法

5-1. Google Authenticatorとは

Google Authenticatorは、Googleが提供する認証コード生成アプリです。対応サービスに登録すると、一定時間ごとに変わる確認コードをアプリ上に表示できます。

WordPressの二段階認証プラグインと連携すれば、ログイン時にGoogle Authenticatorのコードを入力して本人確認ができます。SMSのように通信環境や電話番号に依存しにくく、無料で使いやすい点がメリットです。

5-2. スマホにGoogle Authenticatorをインストールする

まず、スマホにGoogle Authenticatorをインストールします。

インストール後、アプリを開き、Googleアカウントにログインするか、案内に沿って利用を開始します。最近のGoogle Authenticatorでは、アカウント移行や同期機能に対応している場合もありますが、利用環境によって表示や操作が異なることがあります。

重要なのは、WordPressの二段階認証を設定した後に、認証アプリを不用意に削除しないことです。削除するとコードを確認できなくなり、ログインできない原因になります。

5-3. WordPress側でQRコードを表示する

WordPress管理画面で、導入した二段階認証プラグインの設定画面を開きます。

たとえば、ユーザープロフィール画面やプラグイン専用の「Login Security」「2FA」などのメニューから設定できます。二段階認証を有効にするユーザーを選び、認証アプリ方式を選択するとQRコードが表示されます。

このQRコードには、WordPressサイトと認証アプリを連携するための情報が含まれています。第三者に見せないよう注意しましょう。

5-4. Google AuthenticatorでQRコードを読み取る

Google Authenticatorを開き、アカウント追加ボタンをタップします。

「QRコードをスキャン」を選択し、WordPress画面に表示されているQRコードを読み取ります。読み取りが成功すると、Google AuthenticatorにWordPress用の項目が追加され、6桁コードが表示されます。

複数のWordPressサイトを管理している場合は、サイト名がわかるように登録名を確認しておきましょう。似た名前のコードが並ぶと、ログイン時に間違える原因になります。

5-5. 6桁の認証コードを入力する

Google Authenticatorに表示された6桁の認証コードを、WordPressの設定画面に入力します。

コードには有効時間があります。残り時間が少ない時に入力すると、送信時には期限切れになっている場合があります。コードが切り替わった直後に入力すると成功しやすくなります。

認証に成功したら、設定を保存します。その後、ログインテストを行い、パスワード入力後にGoogle Authenticatorのコードでログインできるか確認しましょう。

5-6. 機種変更時に注意すべきこと

Google Authenticatorを使っている場合、機種変更時の移行を忘れるとWordPressにログインできなくなる可能性があります。

Googleのヘルプでは、新しい端末にGoogle Authenticatorをインストールし、古い端末側で「アカウントを移行」からエクスポート用QRコードを作成し、新しい端末で読み取る流れが案内されています。Google ヘルプ

機種変更前には、次の3つを必ず確認しましょう。

1つ目は、古いスマホがまだ使える状態で認証アプリを移行することです。2つ目は、WordPressのバックアップコードを保存していることです。3つ目は、新しいスマホでログインテストを行ってから古いスマホを初期化することです。

古い端末を処分した後に認証アプリの移行忘れに気づくと、復旧が難しくなります。

5-7. Google Authenticator以外の認証アプリ候補

Google Authenticator以外にも、WordPressの二段階認証で使える認証アプリはあります。

Microsoft Authenticatorは、Microsoftアカウントや業務アカウントと併用しやすいアプリです。Authyは複数端末での利用やバックアップ機能を重視する人に向いています。1PasswordやBitwardenなどのパスワード管理アプリにも、ワンタイムパスワードを管理できる機能があります。

ただし、パスワードと二段階認証コードを同じアプリにまとめると利便性は高い一方、アプリ自体の保護がより重要になります。マスターパスワードや生体認証、端末ロックを必ず設定しましょう。

6. WordPressの二段階認証でログインできない時の対処法

6-1. 認証コードが通らない原因

WordPressの二段階認証でログインできない時は、まず原因を切り分けましょう。

よくある原因は、認証コードの入力ミス、コードの期限切れ、スマホの時刻ずれ、別サイトのコードを入力している、認証アプリを削除した、機種変更で移行していない、プラグインの不具合、キャッシュやセキュリティ設定の影響などです。

焦って何度もログインを試すと、ログイン試行制限に引っかかる場合もあります。まずは落ち着いて、認証アプリのサイト名、コードの残り時間、スマホの時刻を確認しましょう。

6-2. スマホの時刻設定を確認する

認証アプリのコードは、時刻をもとに生成されることがあります。そのため、スマホの時刻がずれていると、正しいように見えるコードでも認証に失敗する場合があります。

iPhoneやAndroidの設定で、日付と時刻を自動設定にしておきましょう。海外旅行やタイムゾーン変更後にログインできなくなった場合も、時刻設定の確認が有効です。

Google Authenticator側やスマホOSの設定を確認し、時刻が正しく同期されてから再度ログインを試してください。

6-3. バックアップコードでログインする

認証アプリのコードが使えない場合は、バックアップコードでログインできないか確認しましょう。

二段階認証の設定時に発行されたバックアップコードを入力すると、認証アプリなしでログインできる場合があります。バックアップコードは一度使うと無効になるタイプが多いため、ログイン後は新しいバックアップコードを再発行して保存しておきましょう。

バックアップコードを保存していない場合は、FTPやサーバー管理画面からプラグインを無効化する方法を検討します。

6-4. 認証アプリを入れたスマホを紛失した場合

スマホを紛失した場合は、まず第三者に悪用されないよう、スマホの遠隔ロックや回線停止を行いましょう。

そのうえで、WordPressのバックアップコードを使ってログインします。ログインできたら、二段階認証の設定を一度解除し、新しいスマホの認証アプリで再設定します。

バックアップコードがない場合は、他の管理者アカウントでログインして該当ユーザーの二段階認証を解除するか、サーバー側からプラグインを無効化する必要があります。

6-5. FTPでプラグインを無効化する

バックアップコードがなく、WordPress管理画面にも入れない場合は、FTPまたはSFTPで二段階認証プラグインを無効化する方法があります。

FTPソフトでサーバーに接続し、WordPressのインストール先にある「wp-content/plugins」フォルダを開きます。二段階認証プラグインのフォルダ名を変更すると、WordPress側でそのプラグインを読み込めなくなり、無効化される場合があります。

WordPress公式サポートでも、管理画面からプラグインを無効化できない場合に、FTPで「/wp-content/plugins/」ディレクトリ名を変更して無効化する方法が案内されています。WordPress.org

ただし、フォルダ名を変更するとプラグイン機能が停止するため、ログイン後は原因を確認し、必要に応じて再設定してください。

6-6. サーバーのファイルマネージャーからプラグイン名を変更する

FTPが使えない場合でも、レンタルサーバーのファイルマネージャーから同じ作業ができることがあります。

サーバー管理画面にログインし、ファイルマネージャーを開きます。WordPressの「wp-content/plugins」フォルダへ移動し、二段階認証プラグインのフォルダ名を変更します。

たとえば「wp-2fa」を「wp-2fa_old」のように変更すると、WordPressがプラグインを認識できなくなり、無効化される可能性があります。作業前には、どのフォルダを変更したかメモしておきましょう。

ログインできるようになったら、フォルダ名を元に戻すか、管理画面からプラグインを削除・再設定します。

6-7. phpMyAdminから二段階認証設定を解除する

プラグイン無効化でもログインできない場合、phpMyAdminからデータベース内の二段階認証設定を解除する方法があります。

ただし、これは初心者にはリスクの高い作業です。誤ってデータを削除すると、サイトが正常に動作しなくなる可能性があります。必ずデータベースのバックアップを取ってから作業してください。

二段階認証の設定は、プラグインによって保存場所が異なります。多くの場合、wp_usermetaテーブルにユーザーごとの設定が保存されていますが、メタキー名はプラグインごとに違います。プラグイン名や「two_factor」「2fa」「otp」などで検索し、該当ユーザーの設定を慎重に確認しましょう。

不安がある場合は、自分でphpMyAdminを操作せず、サーバー会社やWordPress保守業者に相談するのが安全です。

6-8. 管理者が複数いる場合の復旧方法

管理者が複数いるサイトでは、別の管理者アカウントでログインして復旧できる場合があります。

他の管理者がログインできるなら、ログインできないユーザーの二段階認証設定を解除する、ユーザー権限を確認する、バックアップコードを再発行する、プラグイン設定を見直すといった対応が可能です。

企業サイトやチーム運営サイトでは、管理者アカウントを1つだけにしないことも復旧対策になります。ただし、不要な管理者を増やすとリスクも高まるため、信頼できる担当者だけに限定しましょう。

6-9. どうしてもログインできない場合の確認先

どうしてもログインできない場合は、次の順番で確認しましょう。

まず、二段階認証プラグインの公式ドキュメントやサポートフォーラムを確認します。次に、レンタルサーバーのサポートへ相談します。FTPやファイルマネージャーの使い方がわからない場合も、サーバー会社に確認すると案内してもらえることがあります。

企業サイトや売上に関わるサイトの場合は、WordPress専門の保守会社や制作会社に依頼するのも選択肢です。自己判断でデータベースを編集して状況を悪化させるより、安全に復旧できる可能性が高くなります。

7. WordPress二段階認証を安全に運用するポイント

7-1. バックアップコードを安全な場所に保管する

二段階認証を安全に運用するうえで、バックアップコードの保管は非常に重要です。

バックアップコードがあれば、スマホの紛失、故障、機種変更ミス、認証アプリ削除などのトラブル時にもログインできる可能性があります。逆に、バックアップコードがないと復旧作業が複雑になります。

保管場所は、信頼できるパスワード管理アプリ、暗号化ストレージ、紙で印刷して金庫に保管するなどが考えられます。メール本文や共有チャットにそのまま貼るのは避けましょう。

7-2. 管理者アカウントだけでなく編集者にも設定する

二段階認証は、管理者だけでなく、編集者や投稿者にも設定するのが理想です。

特に編集者権限は、記事の公開や編集ができるため、乗っ取られるとサイトの内容を改ざんされる可能性があります。管理者ほど強い権限ではなくても、ログインできるユーザーは攻撃対象になります。

複数人で運営しているWordPressサイトでは、管理者、編集者、外注ライター、制作会社アカウントなど、ログイン権限を持つ全員に二段階認証を導入するルールを作りましょう。

7-3. 強力なパスワードと併用する

二段階認証を設定しても、弱いパスワードのままでよいわけではありません。

二段階認証は強力な追加対策ですが、基本となるパスワードが弱いとリスクは残ります。パスワードは長く、推測されにくく、他サービスと使い回さないものにしましょう。

おすすめは、パスワード管理アプリでランダムな強力パスワードを生成し、WordPress専用のパスワードとして使うことです。ユーザー名も「admin」のような推測されやすいものは避けると安全性が高まります。

7-4. ログインURL変更やログイン試行制限と組み合わせる

WordPressのログインセキュリティは、二段階認証だけに頼るのではなく、複数の対策を組み合わせると効果的です。

ログイン試行制限を設定すれば、短時間に何度もログインを試す攻撃を抑制できます。ログインURL変更を行えば、自動攻撃の対象になりにくくなる場合があります。CAPTCHAを導入すれば、botによるログイン試行を減らせます。

ただし、ログインURL変更はURLを忘れると自分もログインできなくなるため、管理方法に注意が必要です。二段階認証、強力なパスワード、ログイン試行制限、バックアップを組み合わせて運用しましょう。

7-5. プラグインを常に最新版に更新する

二段階認証プラグインを導入したら、常に最新版に更新しましょう。

WordPressのプラグインは、機能追加だけでなく、セキュリティ修正のために更新されることがあります。古いバージョンを使い続けると、脆弱性を突かれるリスクがあります。

更新前にはバックアップを取り、更新後にはログインできるか確認しましょう。特に二段階認証やログイン系のプラグインは、更新後にログイン画面の挙動が変わる可能性があるため、慎重に確認することが大切です。

7-6. 不要な管理者アカウントを削除する

使っていない管理者アカウントは、セキュリティリスクになります。

退職した担当者、契約終了した制作会社、以前の外注ライターなどのアカウントが残っていると、そこから不正ログインされる可能性があります。定期的にユーザー一覧を確認し、不要なアカウントは削除しましょう。

削除する際は、投稿記事の所有者を別ユーザーへ引き継ぐ設定を確認してください。誤って記事ごと削除しないよう注意が必要です。

7-7. 定期的にログイン履歴を確認する

WordPressの二段階認証を設定した後も、定期的にログイン履歴を確認しましょう。

不審なログイン試行、海外IPからのアクセス、存在しないユーザー名へのログイン試行が多い場合は、追加対策を検討する必要があります。ログイン履歴を確認できるセキュリティプラグインを使うと、攻撃の傾向を把握しやすくなります。

セキュリティ対策は、一度設定して終わりではありません。定期的に状態を確認し、必要に応じて設定を見直すことが大切です。

8. WordPress二段階認証のよくある質問

8-1. 二段階認証は無料で設定できる？

はい、無料で設定できます。

WordPressには、無料で使える二段階認証プラグインが複数あります。Two-Factor、Wordfence Login Security、WP 2FA、All-In-One Securityなどは、無料で二段階認証を始められる選択肢です。

ただし、SMS認証、複数ユーザーへの強制、詳細なポリシー設定、高度なレポート機能などは有料版限定の場合があります。個人ブログなら無料機能で十分なケースも多いですが、企業サイトでは有料版も含めて検討するとよいでしょう。

8-2. スマホがない場合でも設定できる？

スマホがなくても、プラグインによってはメール認証やバックアップコードを使える場合があります。

ただし、認証アプリ方式を使う場合はスマホがあると便利です。パソコン用の認証アプリやパスワード管理アプリのワンタイムパスワード機能を使える場合もありますが、セキュリティ上は端末管理を慎重に行う必要があります。

スマホがない環境では、メール認証に対応したプラグインを選ぶと導入しやすいでしょう。

8-3. 複数ユーザーに二段階認証を必須化できる？

プラグインによっては、複数ユーザーに二段階認証を必須化できます。

たとえば、企業サイトや会員サイトでは、管理者だけでなく編集者、投稿者、ショップ管理者などにも二段階認証を求める運用が望ましいです。WP 2FAのように複数ユーザー運用を意識したプラグインを選ぶと管理しやすくなります。

必須化する場合は、事前にユーザーへ設定手順を共有し、バックアップコードの保存も案内しましょう。

8-4. 二段階認証を設定するとログインが面倒になる？

ログイン時に認証コードの入力が増えるため、多少の手間は増えます。

しかし、WordPressの管理画面はサイト運営の中心です。数秒の手間を追加することで、不正ログインや乗っ取りのリスクを下げられるなら、十分に導入する価値があります。

プラグインによっては、信頼できる端末では一定期間コード入力を省略できる機能がある場合もあります。ただし、共有パソコンや外出先の端末では使わないよう注意しましょう。

8-5. プラグインを削除すると二段階認証は解除される？

多くの場合、二段階認証プラグインを無効化または削除すると、そのプラグインによる二段階認証は動作しなくなります。

ただし、設定データがデータベースに残るかどうかはプラグインによって異なります。再インストール時に以前の設定が残っている場合もあります。

一時的にログインできない問題を解決するためにプラグインフォルダ名を変更する場合は、ログイン後に設定を確認し、必要に応じて正式に解除または再設定しましょう。

8-6. 海外からの不正ログイン対策にも効果はある？

二段階認証は、海外からの不正ログイン対策にも効果が期待できます。

海外IPからパスワードを試されても、認証コードがなければログインを突破されにくくなります。ただし、二段階認証だけで海外アクセスを完全に防げるわけではありません。

海外からの攻撃が多い場合は、ログイン試行制限、CAPTCHA、国別ブロック、WAF、ログインURL変更なども組み合わせるとよいでしょう。自分自身や関係者が海外からログインする可能性がある場合は、国別ブロックの設定に注意してください。

8-7. どのプラグインを選べばよい？

初心者が迷った場合は、まずWordfence Login Security、Two-Factor、WP 2FAのいずれかを検討するとよいでしょう。

二段階認証だけをシンプルに導入したいならTwo-Factor、ログインCAPTCHAやXML-RPC保護も使いたいならWordfence Login Security、複数ユーザーへの導入や企業サイトでの運用を考えるならWP 2FAが候補になります。

セキュリティ機能をまとめて導入したい場合は、All-In-One Securityも選択肢です。認証方式を細かく選びたい場合は、miniOrange 2FAを検討してもよいでしょう。

重要なのは、サイトの規模や運用体制に合ったプラグインを選び、バックアップコードを保存し、ログインテストまで行うことです。

まとめ

WordPressの二段階認証は、ログインセキュリティを強化するための基本対策です。ユーザー名とパスワードだけのログインでは、パスワード漏洩や総当たり攻撃によって管理画面を乗っ取られるリスクがあります。二段階認証を導入すれば、認証アプリやメールコードなどの追加確認が必要になり、不正ログインを防ぎやすくなります。

設定方法は、プラグインを使うのが最も簡単です。Wordfence Login Security、Two-Factor、WP 2FA、miniOrange 2FA、All-In-One Securityなどのプラグインを使えば、初心者でも比較的スムーズに導入できます。

設定時は、事前にバックアップを取り、認証アプリでQRコードを読み取り、ワンタイムパスワードを入力して有効化します。その後、バックアップコードを必ず保存し、別ブラウザでログインテストを行いましょう。

万が一ログインできない場合は、スマホの時刻設定、バックアップコード、別管理者アカウント、FTPやファイルマネージャーでのプラグイン無効化などを順番に確認します。phpMyAdminでの解除はリスクが高いため、バックアップを取ったうえで慎重に行うか、専門家に相談するのがおすすめです。

ワードプレスの二段階認証は、一度設定すれば大きな安心につながるセキュリティ対策です。強力なパスワード、ログイン試行制限、プラグイン更新、不要アカウントの削除と組み合わせて、安全なWordPress運営を続けましょう。