WordPressログイン履歴を確認する方法｜不正アクセス対策に役立つプラグイン・設定手順も解説
はじめに
WordPressサイトを運営していると、「誰が、いつ、どこから管理画面にログインしたのか」を確認したい場面があります。特に、管理画面への不正アクセスやログイン試行が増えている場合、ログイン履歴を確認できる状態にしておくことは、サイトの安全性を保つうえで重要です。
しかし、WordPressの標準機能だけでは、ログイン履歴を一覧で確認する機能は基本的に用意されていません。そのため、ログイン履歴を確認するには、プラグインを導入したり、サーバーのアクセスログを確認したりする必要があります。
この記事では、WordPressログイン履歴を確認する方法、ログイン履歴の確認に役立つプラグイン、設定手順、不審なログインを見つけたときの対処法までわかりやすく解説します。WordPressの不正アクセス対策を強化したい方は、ぜひ参考にしてください。
1. WordPressログイン履歴とは？確認できる情報と重要性
WordPressログイン履歴とは、管理画面に対して行われたログイン成功・ログイン失敗などの記録のことです。ログイン履歴を確認することで、正規ユーザーが問題なくログインしているか、不審なアクセスが発生していないかを把握できます。
個人ブログであっても、企業サイトやECサイトであっても、WordPressの管理画面はサイト運営の中枢です。管理画面に第三者が不正ログインすると、記事の改ざん、ユーザー情報の流出、悪意あるファイルの設置、スパムページの作成などにつながるおそれがあります。
そのため、WordPressログイン履歴を定期的に確認することは、不正アクセスの早期発見に役立ちます。
1-1. ログイン履歴で確認できる主な項目
WordPressのログイン履歴では、主に次のような情報を確認できます。
ログインしたユーザー名、ログイン日時、ログイン元のIPアドレス、ログインの成功・失敗、使用されたブラウザや端末情報、アクセス元の国や地域、ログイン後に行われた操作などです。
プラグインによって記録できる項目は異なりますが、最低限「いつ」「どのユーザーが」「どのIPアドレスから」「ログインに成功したのか失敗したのか」を確認できると、不正アクセスの兆候を見つけやすくなります。
たとえば、普段は日本国内からしかログインしていない管理者アカウントに対して、海外IPから深夜にログイン成功履歴が残っていた場合、不正ログインの可能性を疑う必要があります。
1-2. WordPress標準機能だけではログイン履歴を確認しにくい理由
WordPressには、投稿の編集履歴やユーザー管理機能はありますが、管理画面へのログイン履歴を一覧で表示する標準機能はありません。
そのため、WordPressをインストールしただけの状態では、管理画面から「過去に誰がログインしたか」「ログインに失敗したユーザー名は何か」「どのIPアドレスからアクセスがあったか」を簡単に確認することはできません。
一部の情報はサーバーのアクセスログから確認できますが、アクセスログは専門的な内容が多く、WordPressに詳しくない方には読み取りが難しい場合があります。また、アクセスログだけでは、WordPress上のユーザー名やログイン後の操作までは把握しにくいこともあります。
そのため、WordPressログイン履歴をわかりやすく確認したい場合は、ログ管理プラグインやセキュリティプラグインの導入が現実的です。
1-3. ログイン履歴の確認が不正アクセス対策に役立つ理由
ログイン履歴を確認すると、不正アクセスの兆候を早い段階で発見できます。
たとえば、同じユーザー名に対して何度もログイン失敗が続いている場合、第三者がパスワードを総当たりで試している可能性があります。また、存在しないユーザー名でログイン試行が繰り返されている場合も、攻撃者が管理者アカウントを探している可能性があります。
さらに、不審なIPアドレスからログイン成功履歴が残っている場合は、すでにパスワードが漏えいしている、または推測されている可能性があります。このような履歴を見つけられれば、パスワード変更、ユーザー権限の見直し、二段階認証の導入など、早めの対策を取ることができます。
ログイン履歴は、不正アクセスを完全に防ぐものではありません。しかし、異常を検知し、被害を広げないための重要な判断材料になります。
1-4. ログイン履歴を確認すべきサイト運営者のケース
WordPressログイン履歴は、すべてのサイト運営者が確認できるようにしておくのが理想です。特に、次のようなケースでは優先的に確認体制を整えましょう。
複数人でWordPressを運営しているサイト、外部ライターや制作会社にアカウントを付与しているサイト、会員登録機能があるサイト、ECサイトや問い合わせフォームを設置しているサイト、過去に不正アクセスや改ざんを受けたことがあるサイトです。
また、個人ブログであっても、検索流入が多いサイトや広告収益が発生しているサイトは攻撃対象になることがあります。「小規模サイトだから狙われない」と考えず、ログイン履歴を確認できる状態にしておくことが大切です。
2. WordPressのログイン履歴を確認する方法
WordPressのログイン履歴を確認する方法は、大きく分けて「プラグインを使う方法」「サーバーのアクセスログを確認する方法」「セキュリティプラグインの通知やレポートを利用する方法」があります。
それぞれ確認できる情報や難易度が異なるため、サイトの運営体制に合わせて選びましょう。
2-1. プラグインを使ってログイン履歴を確認する方法
最も手軽なのは、WordPressのログイン履歴を記録できるプラグインを使う方法です。
ログ管理プラグインを導入すると、管理画面上でログイン成功、ログイン失敗、ユーザー情報の変更、投稿の更新、プラグインの有効化・無効化などを確認できます。専門的なサーバーログを直接読む必要がないため、初心者でも扱いやすい方法です。
たとえば、Simple HistoryやWP Activity Logなどのプラグインを使えば、管理画面内でユーザーの操作履歴を確認できます。セキュリティ機能もあわせて使いたい場合は、SiteGuard WP PluginやWordfence Securityなどを検討するとよいでしょう。
2-2. サーバーのアクセスログから確認する方法
プラグインを使わずにログイン関連のアクセスを確認したい場合は、サーバーのアクセスログを確認する方法があります。
WordPressのログイン画面は通常、wp-login.phpにアクセスして表示されます。そのため、サーバーのアクセスログでwp-login.phpへのアクセスを確認すれば、ログイン画面へのアクセス状況を把握できます。
また、管理画面へのアクセスは/wp-admin/へのリクエストとして記録されることが多いため、アクセスログを絞り込むことで、ログイン後の動きもある程度確認できます。
ただし、サーバーログはIPアドレス、日時、リクエストURL、ステータスコード、ユーザーエージェントなどが中心で、WordPress上のユーザー名やログイン成功・失敗の詳細まではわかりにくい場合があります。初心者にはやや難易度が高いため、基本的にはプラグインと併用するのがおすすめです。
2-3. セキュリティプラグインの通知・レポートで確認する方法
セキュリティプラグインの中には、ログイン履歴だけでなく、不審なログイン試行や攻撃の兆候を通知してくれるものがあります。
たとえば、一定回数以上ログインに失敗したIPアドレスをブロックしたり、管理者にメール通知を送信したり、マルウェアスキャンの結果をレポートとして表示したりする機能があります。
ログイン履歴を毎日手動で確認するのが難しい場合は、通知機能を活用すると便利です。特に、管理者アカウントへのログイン成功時や、連続したログイン失敗があったときに通知される設定にしておくと、異常に気づきやすくなります。
2-4. 複数ユーザー運営サイトで確認すべきログイン情報
複数人で運営しているWordPressサイトでは、単にログイン成功・失敗を見るだけでなく、どのユーザーがどのような操作をしたかまで確認できる状態にしておくことが重要です。
確認すべき情報は、ユーザーごとのログイン日時、IPアドレス、ログイン後に編集した投稿、固定ページの変更、プラグインやテーマの操作、ユーザー権限の変更などです。
特に、管理者権限を持つユーザーの操作履歴は重点的に確認しましょう。外部スタッフや一時的な作業者にアカウントを発行している場合は、作業終了後にアカウントを削除するか、権限を引き下げることも大切です。
3. WordPressログイン履歴の確認におすすめのプラグイン
WordPressログイン履歴を確認できるプラグインはいくつかあります。ここでは、代表的なプラグインの特徴を紹介します。
3-1. Simple History
Simple Historyは、WordPress内の操作履歴をシンプルに確認できるプラグインです。ログイン履歴、ログアウト履歴、投稿の更新、プラグインの有効化・無効化、ユーザー情報の変更などを管理画面から確認できます。
画面が見やすく、必要な情報を簡単に確認できるため、初心者にも使いやすい点が特徴です。複雑な設定をしなくても基本的な履歴を記録できるため、まずWordPressログイン履歴を確認したい方に向いています。
一方で、高度なセキュリティ対策や詳細なレポート機能を求める場合は、より高機能なログ管理プラグインやセキュリティプラグインも検討するとよいでしょう。
3-2. WP Activity Log
WP Activity Logは、WordPress内のアクティビティを詳細に記録できるログ管理プラグインです。ログイン履歴だけでなく、投稿、固定ページ、ユーザー、プラグイン、テーマ、設定変更など、さまざまな操作を記録できます。
複数ユーザーで運営しているサイトや、企業サイト、会員サイト、ECサイトなど、管理体制をしっかり整えたいサイトに向いています。
記録できる項目が多いため、不正アクセスの調査や内部操作の確認にも役立ちます。ただし、機能が豊富な分、設定項目も多くなるため、必要なログだけを記録するように調整することが大切です。
3-3. SiteGuard WP Plugin
SiteGuard WP Pluginは、日本国内でもよく利用されているWordPress向けセキュリティプラグインです。ログインURLの変更、画像認証、ログインロック、ログイン通知など、管理画面への不正ログイン対策に役立つ機能を備えています。
WordPressログイン履歴の確認だけでなく、不正ログインを防ぐ対策をまとめて行いたい場合に便利です。特に、ログインページへの攻撃を減らしたい方や、ログイン試行回数を制限したい方に向いています。
ログイン関連のセキュリティを手軽に強化したい場合は、導入候補に入れておきたいプラグインです。
3-4. Wordfence Security
Wordfence Securityは、ファイアウォール、マルウェアスキャン、ログインセキュリティなどを備えた総合的なセキュリティプラグインです。
ログイン試行の監視、二段階認証、IPブロック、攻撃の検知など、WordPressのセキュリティを幅広く強化できます。ログイン履歴だけでなく、サイト全体の安全性を高めたい場合に適しています。
ただし、高機能なプラグインはサーバー環境によって負荷がかかる場合もあるため、導入後はサイトの表示速度や管理画面の動作も確認しましょう。
3-5. プラグインを選ぶときの比較ポイント
WordPressログイン履歴を確認するプラグインを選ぶときは、次のポイントを比較しましょう。
まず、ログイン成功とログイン失敗の両方を記録できるか確認します。次に、IPアドレス、日時、ユーザー名、操作履歴など、必要な情報が記録できるかを見ます。
また、通知機能の有無、ログの保存期間、管理者以外に履歴を見せない権限設定、サイトへの負荷、日本語対応の有無も重要です。
シンプルに履歴を確認したい場合はSimple History、詳細な監査ログを残したい場合はWP Activity Log、不正ログイン対策もあわせて行いたい場合はSiteGuard WP PluginやWordfence Securityが選択肢になります。
4. プラグインでWordPressログイン履歴を確認する設定手順
ここでは、WordPressプラグインを使ってログイン履歴を確認する基本的な流れを解説します。プラグインによって画面や項目名は異なりますが、基本的な手順は共通しています。
4-1. プラグインのインストール方法
まず、WordPress管理画面にログインし、「プラグイン」から「新規追加」を選択します。
検索窓に導入したいプラグイン名を入力し、対象のプラグインが表示されたら「今すぐインストール」をクリックします。インストールが完了したら「有効化」をクリックしてください。
有効化後、管理画面のメニューにプラグイン専用の項目が追加される場合があります。Simple Historyであれば履歴確認画面、WP Activity Logであればログビューア、SiteGuard WP Pluginであればセキュリティ設定画面などが表示されます。
4-2. ログイン履歴の記録を有効化する方法
多くのログ管理プラグインは、有効化するだけでログイン履歴の記録が開始されます。ただし、プラグインによっては、記録するイベントを設定画面で選択する必要があります。
設定画面で「ログイン」「ログアウト」「ログイン失敗」「ユーザー登録」「ユーザー情報の変更」などの項目が有効になっているか確認しましょう。
複数人で運営しているサイトでは、投稿の編集履歴やプラグインの変更履歴も記録しておくと、トラブルが発生したときに原因を調査しやすくなります。
4-3. 管理画面でログイン履歴を確認する方法
プラグインの設定が完了したら、管理画面からログイン履歴を確認します。
履歴画面には、ログイン日時、ユーザー名、IPアドレス、ログイン成功・失敗、操作内容などが一覧で表示されます。必要に応じて、ユーザー名や日付、イベント種別で絞り込みましょう。
不審な履歴を見つけた場合は、そのユーザーが本当にログインしたのか、IPアドレスに見覚えがあるか、ログイン後に不自然な操作が行われていないかを確認します。
4-4. 通知設定・保存期間・権限設定の確認方法
ログイン履歴を記録するだけでなく、通知設定や保存期間も確認しておくことが大切です。
管理者ログイン時にメール通知を送る、ログイン失敗が一定回数を超えたら通知する、不審なIPアドレスをブロックするなどの設定ができる場合があります。
また、ログの保存期間が長すぎるとデータベースが肥大化する原因になります。必要以上に長期間保存するのではなく、サイトの運用ルールに合わせて適切な保存期間を設定しましょう。
さらに、ログイン履歴にはIPアドレスやユーザー情報が含まれることがあります。管理者以外のユーザーが閲覧できないよう、権限設定も確認しておきましょう。
4-5. 不要なログを削除・整理する方法
ログを長期間保存し続けると、データベース容量が増え、サイトの表示速度や管理画面の動作に影響する場合があります。
プラグインによっては、古いログを自動削除する機能や、一定期間ごとにログを整理する機能があります。保存期間を設定できる場合は、必要な監査期間に合わせて調整しましょう。
たとえば、小規模な個人ブログであれば数週間から数か月程度、企業サイトや複数ユーザー運営サイトであれば運用ルールに応じて保存期間を決めるとよいでしょう。
不要なログを削除する前には、トラブル調査中の履歴まで消してしまわないよう注意してください。
5. ログイン履歴で不正アクセスを見分けるポイント
WordPressログイン履歴を確認するときは、単にログイン回数を見るだけでなく、不自然なパターンがないかを確認することが重要です。
ここでは、不正アクセスを疑うべき代表的なポイントを紹介します。
5-1. 見覚えのないIPアドレスからのログイン
普段使用しているIPアドレスや地域と異なる場所からログイン成功履歴がある場合は注意が必要です。
特に、管理者アカウントに対して見覚えのないIPアドレスからログインが成功している場合、第三者がパスワードを入手している可能性があります。
ただし、スマートフォンの回線や外出先のWi-Fiを使うとIPアドレスが変わることがあります。そのため、IPアドレスだけで不正ログインと断定するのではなく、ログイン日時や操作履歴も合わせて確認しましょう。
5-2. 深夜や海外からの不審なアクセス
サイト運営者が通常ログインしない時間帯にログイン履歴がある場合も、不正アクセスの可能性があります。
たとえば、日本国内で運営しているサイトにもかかわらず、深夜に海外IPからログイン試行が大量に発生している場合は、攻撃を受けている可能性があります。
海外からのアクセスを完全に遮断する必要があるかどうかはサイトの性質によりますが、国内向けサイトで管理者が海外からログインする予定がない場合は、IP制限や国別制限を検討してもよいでしょう。
5-3. 同じユーザー名への連続ログイン失敗
同じユーザー名に対して、短時間に何度もログイン失敗が記録されている場合は、パスワードを総当たりで試されている可能性があります。
特に「admin」や「administrator」など、推測されやすいユーザー名へのログイン試行が多い場合は注意が必要です。存在しないユーザー名であっても、攻撃者が管理者アカウントを探している可能性があります。
ログイン試行回数の制限やログインロック機能を導入し、一定回数失敗したIPアドレスを一時的にブロックする対策が有効です。
5-4. 管理者アカウントへの不自然なログイン
管理者アカウントは、WordPressサイト内で最も強い権限を持っています。そのため、管理者アカウントへのログイン履歴は特に注意して確認しましょう。
普段ログインしない管理者ユーザーが突然ログインしている、退職者や外部業者のアカウントが残ったままログインされている、複数の管理者アカウントに連続してログイン試行がある、といった場合は危険です。
不要な管理者アカウントは削除し、必要な場合でも権限を「編集者」や「投稿者」などに引き下げることを検討しましょう。
5-5. ログイン成功後に確認すべき操作履歴
不審なログイン成功履歴を見つけた場合は、ログイン後に何が行われたかを必ず確認しましょう。
確認すべき内容は、投稿や固定ページの改ざん、見覚えのないユーザー追加、プラグインやテーマのインストール、管理者メールアドレスの変更、外部リンクの挿入、不審なファイルのアップロードなどです。
ログイン成功だけでは被害の有無を判断できません。ログイン後の操作履歴を確認することで、実際に改ざんや情報変更が行われたかを把握できます。
6. 不審なログイン履歴を見つけたときの対処法
WordPressログイン履歴を確認して不審なログインを見つけた場合は、すぐに対処することが重要です。放置すると、サイト改ざんや情報流出につながる可能性があります。
6-1. すぐにパスワードを変更する
不審なログイン成功履歴がある場合は、まず管理者アカウントのパスワードを変更しましょう。
パスワードは、英大文字、英小文字、数字、記号を組み合わせた長い文字列にします。他のサービスで使い回しているパスワードは避けてください。
複数の管理者アカウントがある場合は、すべての管理者にパスワード変更を依頼します。必要に応じて、WordPressだけでなく、サーバー管理画面、FTP、データベース、メールアカウントのパスワードも変更しましょう。
6-2. 不審なユーザーアカウントを削除・権限変更する
管理画面の「ユーザー」から、見覚えのないアカウントが作成されていないか確認します。
不審なユーザーが存在する場合は、すぐに削除してください。削除時に、そのユーザーが作成した投稿の扱いを確認し、必要に応じて別の管理者に引き継ぎます。
また、必要以上に管理者権限を持っているユーザーがいないか確認しましょう。記事作成だけを担当するユーザーであれば、管理者ではなく編集者や投稿者の権限で十分な場合があります。
6-3. WordPress本体・テーマ・プラグインを更新する
古いWordPress本体、テーマ、プラグインには脆弱性が残っている場合があります。不正アクセスの原因になることもあるため、更新が溜まっている場合は速やかに対応しましょう。
更新前には必ずバックアップを取得し、更新後にサイト表示やフォーム動作に問題がないか確認します。
また、使用していないテーマやプラグインは削除しましょう。無効化しているだけのプラグインでも、ファイルがサーバー上に残っている場合はリスクになることがあります。
6-4. マルウェアスキャンを実行する
不審なログイン履歴がある場合は、サイト内に悪意あるファイルが設置されていないか確認しましょう。
セキュリティプラグインのマルウェアスキャン機能を使う、サーバー会社のセキュリティ診断機能を利用する、保守担当者に調査を依頼するなどの方法があります。
特に、見覚えのないPHPファイル、不審な外部リンク、改ざんされたfunctions.php、不自然な管理者ユーザーの追加がないか確認することが重要です。
6-5. サーバー会社や保守担当者へ相談する
自分だけで原因を特定できない場合は、サーバー会社やWordPressの保守担当者に相談しましょう。
不正ログインの可能性がある場合、アクセスログ、エラーログ、ファイル更新日時、データベースの変更履歴などを総合的に確認する必要があります。
被害が広がっている可能性がある場合は、早めに専門家へ相談することで、復旧や再発防止をスムーズに進められます。
7. WordPressの不正ログインを防ぐセキュリティ対策
WordPressログイン履歴を確認するだけでなく、不正ログインを防ぐ対策もあわせて行いましょう。ログイン履歴は異常の発見に役立ちますが、事前に攻撃されにくい状態を作ることが重要です。
7-1. ログインURLを変更する
WordPressのログイン画面は、標準ではwp-login.phpや/wp-admin/からアクセスできます。このURLは広く知られているため、攻撃者の標的になりやすいです。
ログインURL変更機能を持つプラグインを使うことで、ログインページへの不要なアクセスを減らせます。
ただし、ログインURLを変更しただけで安全になるわけではありません。URL変更はあくまで攻撃の入口を見つけにくくする対策であり、二段階認証やログイン試行制限などと併用することが大切です。
7-2. 二段階認証を導入する
二段階認証は、パスワードに加えて認証コードなどを求める仕組みです。仮にパスワードが漏えいしても、認証コードがなければログインされにくくなります。
管理者アカウントには、できるだけ二段階認証を導入しましょう。複数人で運営している場合は、管理者だけでなく編集権限を持つユーザーにも導入を検討してください。
二段階認証は、不正ログイン対策として非常に効果的な方法の一つです。
7-3. ログイン試行回数を制限する
ログイン試行回数を制限すると、短時間に何度もパスワードを試す攻撃を防ぎやすくなります。
一定回数ログインに失敗したIPアドレスを一時的にブロックする、ログイン画面に画像認証を追加する、ログイン失敗時に通知を送るなどの設定が有効です。
ブルートフォース攻撃やパスワードリスト攻撃を受ける可能性があるため、ログイン試行回数の制限は早めに設定しておきましょう。
7-4. 管理者ユーザー名を推測されにくくする
「admin」「administrator」「サイト名と同じユーザー名」など、推測されやすい管理者ユーザー名は避けましょう。
攻撃者は、まずユーザー名を推測し、次にパスワードを試すことがあります。ユーザー名が簡単に推測できると、攻撃の成功率が上がってしまいます。
すでに推測されやすいユーザー名を使っている場合は、新しい管理者アカウントを作成し、古いアカウントを削除する方法を検討してください。
7-5. 強固なパスワードを設定する
WordPressの不正ログイン対策では、強固なパスワードの設定が基本です。
短いパスワード、名前や誕生日を含むパスワード、他サービスと同じパスワードは避けましょう。英大文字、英小文字、数字、記号を組み合わせた長いパスワードを使用することが重要です。
パスワード管理ツールを使えば、複雑なパスワードも安全に管理しやすくなります。
7-6. IP制限やベーシック認証を設定する
管理画面にアクセスできるIPアドレスを制限すると、不正ログインのリスクを大きく下げられます。
特定のオフィスや固定回線からしか管理画面にアクセスしない場合は、サーバー側でIP制限を設定する方法が有効です。また、ログイン画面の前にベーシック認証を追加すれば、WordPressのログイン画面に到達する前に認証を求めることができます。
ただし、IPアドレスが変わりやすい環境では、正規ユーザーもログインできなくなる場合があります。運用状況に合わせて設定しましょう。
7-7. 定期的にバックアップを取得する
万が一、不正ログインやサイト改ざんが発生した場合に備えて、定期的なバックアップを取得しておきましょう。
バックアップ対象は、WordPressファイル、テーマ、プラグイン、アップロード画像、データベースです。バックアップはサーバー内だけでなく、外部ストレージにも保存しておくと安心です。
ログイン履歴の確認とバックアップを組み合わせることで、異常の発見から復旧までの対応がしやすくなります。
8. WordPressログイン履歴を確認する際の注意点
WordPressログイン履歴は便利ですが、記録方法や運用を誤ると、サイトの負荷や個人情報管理の問題につながることがあります。安全に運用するための注意点を確認しておきましょう。
8-1. ログ保存期間を長くしすぎない
ログイン履歴を長期間保存し続けると、データベース容量が増え、サイトの動作に影響する場合があります。
特に、アクセス数が多いサイトやログ記録項目が多いプラグインを使っている場合、ログが急速に増えることがあります。必要な保存期間を決め、古いログは自動削除する設定にしておくとよいでしょう。
ログは多ければ多いほどよいわけではありません。調査に必要な期間とサイトの負荷を考慮して管理することが大切です。
8-2. 個人情報やIPアドレスの取り扱いに注意する
ログイン履歴には、ユーザー名、メールアドレス、IPアドレスなど、個人情報に関係する情報が含まれる場合があります。
そのため、ログを閲覧できるユーザーは必要最小限にし、管理者以外が不用意に確認できないようにしましょう。
また、ログを外部に共有する場合は、IPアドレスやメールアドレスなどを必要に応じて伏せるなど、取り扱いに注意が必要です。
8-3. プラグインの入れすぎによる表示速度低下に注意する
ログ管理プラグインやセキュリティプラグインは便利ですが、複数入れすぎると機能が重複し、サイトの表示速度や管理画面の動作に影響する場合があります。
たとえば、複数のプラグインで同じようなログを記録していると、データベースへの書き込みが増える可能性があります。
導入するプラグインは必要最小限にし、ログイン履歴確認、ログイン制限、二段階認証など、目的に合った機能を整理して選びましょう。
8-4. ログだけで不正アクセスを完全に判断しない
ログイン履歴は不正アクセスを見つける重要な手がかりですが、ログだけで完全に判断できるとは限りません。
たとえば、正規ユーザーが外出先からログインした場合、見慣れないIPアドレスとして記録されることがあります。反対に、不正アクセスが行われても、ログが削除されたり、別の経路から侵入されたりする可能性もあります。
不審な履歴を見つけた場合は、アクセスログ、操作履歴、ファイル更新日時、ユーザー情報、セキュリティスキャンの結果などを総合的に確認しましょう。
8-5. 定期的な確認ルールを決めておく
ログイン履歴は、記録しているだけでは意味がありません。定期的に確認するルールを決めておくことが大切です。
個人ブログであれば週1回、企業サイトや複数ユーザー運営サイトであれば数日に1回、重要なサイトであれば毎日確認するなど、サイトの重要度に応じて頻度を決めましょう。
また、ログイン失敗が一定回数を超えた場合や、管理者ログインがあった場合に通知を受け取る設定にしておくと、確認漏れを防ぎやすくなります。
9. WordPressログイン履歴に関するよくある質問
ここでは、WordPressログイン履歴に関してよくある質問に回答します。
9-1. WordPress標準機能でログイン履歴は確認できますか？
WordPressの標準機能だけでは、ログイン履歴を一覧で確認する機能は基本的にありません。
そのため、管理画面からログイン成功・失敗、IPアドレス、ログイン日時などを確認したい場合は、ログ管理プラグインやセキュリティプラグインを導入するのがおすすめです。
サーバーのアクセスログから一部の情報を確認することはできますが、初心者には読み取りが難しい場合があります。
9-2. ログイン失敗履歴も確認できますか？
ログイン失敗履歴は、対応しているプラグインを導入すれば確認できます。
ログイン失敗履歴を確認できると、同じユーザー名に対して何度もパスワードが試されていないか、不審なIPアドレスから攻撃を受けていないかを把握できます。
不正ログイン対策を強化したい場合は、ログイン失敗履歴の記録に加えて、ログイン試行回数の制限やIPブロック機能も設定しましょう。
9-3. プラグインなしでログイン履歴を確認できますか？
プラグインなしで確認する場合は、サーバーのアクセスログを確認する方法があります。
wp-login.phpや/wp-admin/へのアクセスを調べることで、ログイン画面へのアクセス状況を把握できます。ただし、WordPress上のユーザー名やログイン成功・失敗の詳細を確認するには限界があります。
よりわかりやすく管理したい場合は、ログイン履歴を記録できるプラグインを利用するのが現実的です。
9-4. 不正ログインされたかどうかはどう判断できますか？
不正ログインの可能性を判断するには、ログイン履歴だけでなく、ログイン後の操作履歴も確認する必要があります。
見覚えのないIPアドレスから管理者アカウントにログイン成功している、深夜や海外から不自然なログインがある、ログイン後に投稿やプラグインが変更されている、見覚えのないユーザーが追加されている場合は注意が必要です。
不審な点がある場合は、すぐにパスワードを変更し、ユーザー一覧、投稿内容、プラグイン、テーマ、ファイル更新履歴を確認しましょう。
9-5. ログイン履歴はどのくらいの頻度で確認すべきですか？
確認頻度はサイトの規模や重要度によって異なります。
個人ブログであれば週1回程度、企業サイトや複数人で運営しているサイトであれば数日に1回、ECサイトや会員サイトなど重要な情報を扱うサイトであれば毎日確認するのが望ましいです。
また、管理者ログイン時やログイン失敗が続いたときに通知を受け取れるようにしておくと、異常に早く気づくことができます。
まとめ
WordPressログイン履歴を確認することは、不正アクセス対策の基本です。ログイン日時、ユーザー名、IPアドレス、ログイン成功・失敗などを把握できれば、不審なアクセスや攻撃の兆候に早く気づけます。
WordPressの標準機能だけではログイン履歴を確認しにくいため、Simple History、WP Activity Log、SiteGuard WP Plugin、Wordfence Securityなどのプラグインを活用するのがおすすめです。サーバーのアクセスログも確認できますが、初心者にはやや難易度が高いため、プラグインと併用すると管理しやすくなります。
不審なログイン履歴を見つけた場合は、すぐにパスワードを変更し、不審なユーザーの削除、WordPress本体やプラグインの更新、マルウェアスキャンを行いましょう。
また、ログイン履歴の確認だけでなく、ログインURLの変更、二段階認証、ログイン試行回数の制限、強固なパスワード設定、IP制限、定期バックアップなどを組み合わせることで、WordPressのセキュリティをより強化できます。
WordPressログイン履歴は、サイトを安全に運営するための重要な手がかりです。定期的に確認するルールを決め、不正アクセスを早期に発見できる体制を整えておきましょう。