WordPressに2段階認証を設定する方法｜不正ログインを防ぐおすすめプラグインと導入手順
はじめに
WordPressは世界中で利用されているCMSであり、個人ブログから企業サイト、ECサイト、会員サイトまで幅広く使われています。その一方で、ログイン画面が攻撃対象になりやすく、管理者IDやパスワードが漏えいすると、不正ログイン、記事の改ざん、スパム投稿、マルウェア設置などの被害につながる可能性があります。
そこで重要になるのが、WordPressの2段階認証です。2段階認証を設定すると、ユーザー名とパスワードに加えて、スマートフォンアプリなどで発行される認証コードの入力が必要になります。仮にパスワードが第三者に知られても、認証コードがなければ管理画面にログインしにくくなるため、WordPressのログインセキュリティを大きく強化できます。
この記事では、WordPressに2段階認証を設定すべき理由、おすすめプラグイン、導入手順、認証アプリの使い方、トラブル時の対処法までわかりやすく解説します。
1. WordPressに2段階認証を設定すべき理由
WordPressに2段階認証を設定すべき最大の理由は、パスワードだけに依存したログインを避けられるからです。
通常のWordPressログインでは、ユーザー名またはメールアドレスとパスワードを入力すれば管理画面に入れます。しかし、パスワードが単純だったり、他サービスと使い回されていたり、過去の情報漏えいで流出していたりすると、第三者にログインされるリスクが高まります。
2段階認証を導入すれば、ログイン時に追加の認証コードが必要になります。つまり、攻撃者がパスワードを知っていても、スマートフォンの認証アプリやバックアップコードを持っていなければログインできません。WordPress公式のセキュリティ資料でも、パスワードだけのログインは「知っているもの」だけに依存する単一認証であり、追加の認証要素を使うことでログイン保護を強化できると説明されています。WordPress Developer Resources
1-1. 2段階認証とは？WordPressログインで追加認証を行う仕組み
2段階認証とは、ログイン時に2つ目の確認ステップを追加する認証方式です。
WordPressの場合、基本的な流れは次のようになります。
WordPressのログイン画面でユーザー名とパスワードを入力する
追加認証画面が表示される
認証アプリやメールで取得したワンタイムコードを入力する
コードが正しければ管理画面にログインできる
よく使われるのは、Google Authenticator、Microsoft Authenticator、Authy、1PasswordなどのTOTP対応アプリです。TOTPとは、一定時間ごとに変わるワンタイムパスワードの仕組みで、多くの場合は6桁の数字コードが30秒前後で切り替わります。
WordPressの2段階認証では、管理画面にログインするたびにこのコードを入力します。少し手間は増えますが、不正ログイン対策として非常に効果的です。
1-2. 2段階認証と2要素認証の違い
「2段階認証」と「2要素認証」は似た言葉ですが、厳密には少し意味が異なります。
2段階認証は、ログイン手順を2つのステップに分ける仕組みです。たとえば、パスワード入力後にメールで届くコードを入力する方法も2段階認証に含まれます。
一方、2要素認証は、異なる種類の認証要素を組み合わせる仕組みです。認証要素には主に次の3種類があります。
知識要素：パスワード、PINなど本人だけが知っているもの
所持要素：スマートフォン、認証アプリ、セキュリティキーなど本人が持っているもの
生体要素：指紋、顔認証など本人の身体的特徴
WordPressのログインで「パスワード」と「スマートフォンの認証アプリ」を組み合わせる場合、知識要素と所持要素を使うため、2要素認証に近い形になります。
実務上は「2段階認証」「2要素認証」「2FA」が近い意味で使われることも多いですが、セキュリティを強化するなら、メールだけに頼るよりも認証アプリを使う方法がおすすめです。
1-3. WordPressで不正ログインが起こる主な原因
WordPressで不正ログインが起こる原因はさまざまですが、特に多いのは次のようなケースです。
まず、パスワードが弱いケースです。「password」「123456」「admin123」のような単純なパスワードは、機械的な推測攻撃で突破される危険があります。
次に、パスワードの使い回しです。他のサービスで漏えいしたメールアドレスとパスワードの組み合わせを使って、WordPressにログインを試みる攻撃があります。これをクレデンシャルスタッフィングと呼びます。
また、初期設定のまま「admin」というユーザー名を使っている場合も注意が必要です。攻撃者にユーザー名を推測されやすくなり、あとはパスワードを総当たりで試される状態になります。
さらに、WordPress本体、テーマ、プラグインの脆弱性を放置していると、ログイン画面以外から侵入される可能性もあります。2段階認証は強力な対策ですが、それだけでWordPress全体を完全に守れるわけではありません。
1-4. 2段階認証で防げる攻撃と防げない攻撃
2段階認証で防ぎやすいのは、パスワード漏えい、総当たり攻撃、パスワードリスト攻撃による不正ログインです。攻撃者が正しいパスワードを入手しても、追加の認証コードがなければログインできないため、被害を防げる可能性が高まります。
一方で、2段階認証でも防げない攻撃があります。
たとえば、WordPress本体やプラグインの脆弱性を悪用した攻撃、サーバーへの不正アクセス、FTP情報の漏えい、管理者の端末がマルウェアに感染している場合などです。また、フィッシングサイトに認証コードまで入力してしまうと、攻撃者にリアルタイムで悪用される危険もあります。
つまり、WordPressの2段階認証はログイン保護として非常に有効ですが、セキュリティ対策の一部として考えることが大切です。あわせて、パスワード管理、更新、バックアップ、ログイン試行制限なども実施しましょう。
2. WordPressの2段階認証はプラグインで設定するのが簡単
WordPressに2段階認証を導入する方法はいくつかありますが、もっとも簡単なのはプラグインを使う方法です。
専門的なコードを書かなくても、プラグインをインストールして設定画面に沿って進めるだけで、認証アプリやメール認証、バックアップコードを利用できます。個人ブログでも企業サイトでも、まずは2段階認証プラグインの導入から始めるのがおすすめです。
2-1. プラグインを使うメリット
プラグインを使うメリットは、短時間で導入できることです。WordPressの管理画面から検索してインストールし、有効化するだけで設定を始められます。
また、多くの2段階認証プラグインは、QRコードの表示、認証コードの確認、バックアップコードの発行、ユーザーごとの設定などに対応しています。複数人で運営しているサイトでは、管理者や編集者など特定の権限グループに2段階認証を必須化できるプラグインを選ぶと便利です。
さらに、プラグインによってはログイン試行制限、CAPTCHA、XML-RPC保護、WooCommerce対応など、ログイン周りのセキュリティをまとめて強化できます。
2-2. プラグイン導入前に確認すべきこと
2段階認証プラグインを導入する前に、必ず確認しておきたいポイントがあります。
まず、サイト全体のバックアップを取得しておきましょう。プラグインの相性問題や設定ミスでログインできなくなった場合でも、バックアップがあれば復旧しやすくなります。
次に、自分が管理者権限を持っているか確認します。管理者権限がないと、プラグインのインストールや設定変更ができない場合があります。
また、現在使っているログイン関連プラグインとの相性も確認しましょう。ログインURL変更プラグイン、会員サイトプラグイン、WooCommerce、独自ログインフォームなどを使っている場合は、2段階認証が正しく表示されるかテストが必要です。
本番サイトでいきなり全ユーザーに必須化するのではなく、まずは管理者1人で設定し、ログアウト後に別ブラウザやシークレットウィンドウでログイン確認を行うと安全です。
2-3. 認証アプリ・メール認証・バックアップコードの違い
WordPressの2段階認証でよく使われる方法には、認証アプリ、メール認証、バックアップコードがあります。
認証アプリは、スマートフォンアプリに表示されるワンタイムコードを使う方法です。Google Authenticator、Microsoft Authenticator、Authyなどが代表的です。メールの遅延に影響されにくく、セキュリティ面でもおすすめしやすい方法です。
メール認証は、登録メールアドレスに届くコードを入力する方法です。スマートフォンに認証アプリを入れたくないユーザーにも使いやすい一方で、メールサーバーの遅延や迷惑メール判定の影響を受けることがあります。
バックアップコードは、スマートフォンの紛失や機種変更などで認証アプリが使えない場合に利用する緊急用コードです。設定時に必ず保存し、パスワード管理ツールや印刷した紙など、安全な場所で保管しておきましょう。
3. WordPressの2段階認証におすすめのプラグイン
WordPressの2段階認証プラグインは複数あります。選ぶときは、導入のしやすさ、対応する認証方法、ユーザーごとの必須化、WooCommerce対応、更新状況、サポート体制などを比較しましょう。
ここでは、代表的なプラグインを紹介します。
3-1. Two-Factor｜シンプルに導入したい人向け
Two-Factorは、WordPress.orgが提供しているシンプルな2要素認証プラグインです。パスワードに加えて別の認証方法を要求することで、WordPressログインの保護を強化できます。公式ページでは、各ユーザーが個別に2要素認証設定を行う必要があると説明されています。WordPress.org 日本語
Two-Factorでは、認証アプリ、メールコード、バックアップコードなどを利用できます。設定はユーザープロフィール画面から行えるため、余計な機能を増やさず、シンプルにWordPressの2段階認証を導入したい人に向いています。
個人ブログや小規模サイトで「まずは管理者アカウントだけ2段階認証を設定したい」という場合に使いやすいプラグインです。
3-2. WP 2FA｜複数ユーザーや法人サイト向け
WP 2FAは、複数ユーザーで運営するWordPressサイトや法人サイトに向いている2段階認証プラグインです。管理者だけでなく、すべてのユーザー、または特定の権限グループに対して2FAを適用できる点が特徴です。公式ページでは、認証アプリ、メールコード、バックアップコード、セットアップウィザード、2FAポリシーなどの機能が紹介されています。WordPress.org
WP 2FAは、ユーザーに設定猶予期間を設けたり、ロールごとに2段階認証を必須化したりできるため、複数人で管理しているメディア、企業サイト、会員サイトに適しています。
「管理者だけでなく、編集者や投稿者にも2段階認証を使わせたい」「社内ルールとして2FAを必須化したい」という場合は、WP 2FAを検討するとよいでしょう。
3-3. Wordfence Login Security｜ログイン保護を強化したい人向け
Wordfence Login Securityは、2要素認証、XML-RPC保護、ログインページCAPTCHAなどを備えたログイン保護向けプラグインです。TOTPベースの認証アプリに対応しており、Google Authenticator、Authy、1Password、FreeOTPなどを使えると説明されています。WordPress.org 日本語
ただし、WordPress.orgのプラグインページでは、Wordfence Login Securityは2026年7月1日前後に終了予定であり、同機能は無料で使えるメインのWordfenceプラグインに含まれているため、継続的な更新や機能面を考えるならWordfence本体の利用が推奨されています。WordPress.org 日本語
そのため、これから新規導入する場合は、Wordfence Login Security単体ではなく、Wordfence Security本体のログインセキュリティ機能も含めて検討するとよいでしょう。
3-4. Google Authenticator系プラグイン｜認証アプリで管理したい人向け
Google Authenticator系のプラグインは、スマートフォンの認証アプリでワンタイムコードを管理したい人に向いています。
代表的なものに、Two Factor Authenticationなどがあります。このプラグインは、TOTPやHOTPに対応し、Google Authenticator、Authyなどの認証アプリを利用できると説明されています。QRコードを読み取ってスマートフォンに登録できるため、認証アプリでWordPressの2段階認証を管理したい場合に便利です。WordPress.org
ただし、「Google Authenticator」と名前が付くプラグインは複数あります。選ぶ際は、最終更新日、対応WordPressバージョン、有効インストール数、レビュー、サポート状況を必ず確認しましょう。
3-5. プラグイン選びで比較すべきポイント
WordPressの2段階認証プラグインを選ぶときは、次のポイントを比較しましょう。
まず、対応している認証方法です。認証アプリ、メール認証、バックアップコードに対応しているかを確認します。特に管理者アカウントには、TOTP対応の認証アプリを使うのがおすすめです。
次に、ユーザー管理機能です。個人ブログならユーザーごとの手動設定でも十分ですが、複数人で運営するサイトでは、管理者、編集者、投稿者などの権限ごとに2段階認証を必須化できる機能が役立ちます。
さらに、WooCommerceや会員サイトとの相性も重要です。通常のWordPressログイン画面だけでなく、マイページや独自ログインフォームでも2段階認証を使いたい場合は、対応範囲を確認しましょう。
最後に、プラグインの更新状況を見ます。セキュリティ系プラグインは、更新が止まっているものを避け、WordPressの最新バージョンに対応しているものを選ぶことが大切です。
4. WordPressに2段階認証を設定する手順
ここからは、WordPressに2段階認証を設定する基本的な手順を解説します。プラグインによって画面や項目名は異なりますが、基本的な流れはほぼ共通です。
4-1. 事前準備：バックアップと管理者権限の確認
最初に、サイトのバックアップを取得します。バックアップ対象は、WordPressファイル、テーマ、プラグイン、アップロード画像、データベースです。
バックアッププラグインを使ってもよいですし、レンタルサーバーの自動バックアップ機能を確認しても構いません。設定ミスでログインできなくなった場合に備え、復旧できる状態を作っておきましょう。
次に、現在ログインしているユーザーが管理者権限を持っているか確認します。管理画面の「ユーザー」メニューや「プラグイン」メニューが表示されていれば、基本的には設定可能です。
4-2. プラグインをインストール・有効化する
WordPress管理画面にログインし、「プラグイン」→「新規追加」を開きます。
検索窓に「Two-Factor」「WP 2FA」「Wordfence」など、導入したいプラグイン名を入力します。目的のプラグインが表示されたら、「今すぐインストール」をクリックし、続けて「有効化」をクリックします。
有効化後、プラグインによってはセットアップウィザードが表示されます。画面の案内に沿って、2段階認証の対象ユーザーや認証方法を選択しましょう。
4-3. 管理者ユーザーのプロフィール画面を開く
Two-Factorのようにユーザーごとに設定するタイプのプラグインでは、「ユーザー」→「プロフィール」を開きます。
プロフィール画面を下にスクロールすると、「2要素認証」「Two-Factor Options」「2FA設定」などの項目が表示されます。ここで、利用する認証方法を選択します。
最初は、認証アプリとバックアップコードを有効にするのがおすすめです。メール認証も使える場合は、予備の認証方法として設定しておくと安心です。
4-4. 認証アプリでQRコードを読み取る
認証アプリを使う場合、設定画面にQRコードが表示されます。
スマートフォンでGoogle Authenticator、Microsoft Authenticator、Authyなどのアプリを開き、「追加」または「＋」をタップします。次に「QRコードをスキャン」を選び、WordPressの設定画面に表示されたQRコードを読み取ります。
読み取りが完了すると、アプリ内にサイト名やユーザー名が登録され、6桁前後の認証コードが表示されます。このコードは一定時間で切り替わるため、表示されている最新コードを入力します。
4-5. 認証コードを入力して2段階認証を有効化する
WordPressの設定画面に戻り、認証アプリに表示されているコードを入力します。
コードが正しければ、2段階認証を有効化できます。プラグインによっては、「有効化」「確認」「保存」「プロフィールを更新」などのボタンをクリックする必要があります。
ここで注意したいのは、QRコードを読み取っただけでは設定が完了していない場合があることです。必ず認証コードの確認と設定保存まで行いましょう。
4-6. バックアップコードを保存する
2段階認証を有効化したら、必ずバックアップコードを保存します。
バックアップコードは、スマートフォンの紛失、認証アプリの削除、機種変更失敗などで通常の認証コードが使えないときに必要になります。Wordfenceの説明でも、リカバリーコードは端末を失った場合などに使えるため、安全な場所に保存するよう案内されています。Wordfence
保存方法としては、パスワード管理ツールに登録する、印刷して金庫などに保管する、管理者だけがアクセスできる安全な場所に保存する方法があります。メール本文や共有チャットなど、第三者が見られる場所には保存しないようにしましょう。
4-7. ログアウトしてログイン動作を確認する
設定が完了したら、すぐに本番運用へ移るのではなく、ログイン動作を確認します。
おすすめは、現在の管理画面を開いたまま、別のブラウザまたはシークレットウィンドウでログインテストを行う方法です。通常どおりユーザー名とパスワードを入力し、その後に認証コードの入力画面が表示されるか確認します。
認証アプリのコードを入力してログインできれば、設定は完了です。ログインできない場合は、元のブラウザでログイン状態を維持したまま設定を見直せます。
5. 2段階認証アプリの使い方
WordPressの2段階認証では、認証アプリの使い方を理解しておくことが大切です。ここでは、代表的なアプリの特徴と注意点を解説します。
5-1. Google Authenticatorを使う方法
Google Authenticatorは、認証アプリとして広く使われている定番アプリです。
使い方はシンプルです。アプリをインストールし、右下や上部にある「＋」ボタンから「QRコードをスキャン」を選びます。WordPressの2段階認証設定画面に表示されたQRコードを読み取ると、アプリにサイト情報が追加されます。
ログイン時には、Google Authenticatorに表示されている6桁のコードをWordPressに入力します。コードは短時間で切り替わるため、残り時間が少ない場合は次のコードに変わるのを待ってから入力すると失敗しにくくなります。
5-2. Microsoft Authenticatorを使う方法
Microsoft Authenticatorも、WordPressの2段階認証に利用できる代表的なアプリです。
アプリを開き、「アカウントを追加」から「その他のアカウント」または「QRコードをスキャン」を選択します。WordPressの設定画面に表示されたQRコードを読み取ると、認証コードが表示されます。
Microsoft Authenticatorは、Microsoftアカウントの認証にも使えるため、すでに仕事用や個人用で利用している人にとって管理しやすい選択肢です。
5-3. Authyなど複数端末で使えるアプリの特徴
Authyのようなアプリは、複数端末で認証情報を管理できる点が特徴です。スマートフォンを機種変更したときや紛失したときに復旧しやすいメリットがあります。
ただし、複数端末で使えるということは、アカウント自体の保護も重要になるということです。Authyなどを利用する場合は、アプリのバックアップパスワード、端末ロック、アカウント保護設定を必ず確認しましょう。
複数のWordPressサイトを管理している人や、スマートフォンとタブレットの両方で認証コードを確認したい人には便利です。
5-4. 認証アプリを機種変更するときの注意点
認証アプリを使っている場合、機種変更時には注意が必要です。
古いスマートフォンを初期化する前に、新しいスマートフォンへ認証情報を移行しましょう。Google AuthenticatorやMicrosoft Authenticatorには、アカウント移行やバックアップ機能が用意されている場合があります。
移行後は、WordPressにログインできるか必ず確認します。確認が終わるまで、古い端末の認証アプリを削除したり、端末を初期化したりしないようにしましょう。
万が一、移行に失敗した場合はバックアップコードを使ってログインし、2段階認証を再設定します。
6. 2段階認証を導入したあとにやるべきセキュリティ対策
WordPressに2段階認証を設定しただけで、すべての攻撃を防げるわけではありません。ログインセキュリティをさらに高めるために、次の対策もあわせて実施しましょう。
6-1. 管理者IDとパスワードを見直す
まず、管理者IDとパスワードを見直します。
ユーザー名が「admin」のままになっている場合は、新しい管理者ユーザーを作成し、推測されにくいユーザー名に変更しましょう。その後、古いadminユーザーを削除または権限変更します。
パスワードは、英大文字、英小文字、数字、記号を組み合わせた長いものにします。自分で覚えやすい短いパスワードを使うより、パスワード管理ツールで長く複雑なパスワードを生成・保存する方法がおすすめです。
6-2. ログインURLを変更する
WordPressの標準ログインURLは「/wp-login.php」や「/wp-admin/」です。誰でも推測しやすいため、攻撃ボットの対象になりやすいという弱点があります。
ログインURL変更プラグインを使うと、ログイン画面のURLを任意の文字列に変更できます。これにより、無差別なログイン試行を減らせる可能性があります。
ただし、ログインURLを忘れると自分もログインできなくなるため、変更後のURLは安全な場所に保存しましょう。また、2段階認証プラグインや会員サイトプラグインとの相性も確認してください。
6-3. ログイン試行回数を制限する
ログイン試行回数の制限も重要です。
何度もパスワードを試せる状態だと、総当たり攻撃や辞書攻撃を受けやすくなります。一定回数ログインに失敗したIPアドレスを一時的にブロックする設定を行うことで、機械的な攻撃を減らせます。
セキュリティプラグインによっては、ログイン試行制限、reCAPTCHA、IPブロック、通知機能などをまとめて設定できます。2段階認証と組み合わせることで、WordPressのログイン保護をさらに強化できます。
6-4. WordPress本体・テーマ・プラグインを更新する
WordPress本体、テーマ、プラグインは常に最新状態に保ちましょう。
古いバージョンには脆弱性が残っていることがあります。攻撃者は公開された脆弱性情報をもとに、更新されていないWordPressサイトを狙うことがあります。
特に、使っていないテーマやプラグインは削除するのがおすすめです。無効化しているだけでもファイルが残っていればリスクになる場合があります。必要なものだけを残し、定期的に更新しましょう。
6-5. 定期的にバックアップを取得する
セキュリティ対策をしていても、トラブルを完全にゼロにはできません。万が一に備えて、定期的なバックアップを取得しましょう。
バックアップは、ファイルだけでなくデータベースも対象にします。記事、固定ページ、コメント、設定情報などはデータベースに保存されているため、データベースのバックアップがないと完全復旧できない場合があります。
バックアップの保存先は、サーバー内だけでなく、外部ストレージやクラウドにも分散させると安心です。また、バックアップが正常に復元できるかも定期的に確認しましょう。
7. WordPressの2段階認証でよくあるトラブルと対処法
WordPressの2段階認証は便利ですが、設定後にログインできない、認証コードが通らない、メールが届かないといったトラブルが起きることもあります。ここでは、よくある原因と対処法を解説します。
7-1. 認証コードが通らない場合
認証コードが通らない場合、まずスマートフォンとサーバーの時刻ずれを疑いましょう。
TOTP方式の認証コードは時刻をもとに生成されます。スマートフォンの時刻がずれていると、正しいように見えるコードでも認証に失敗します。スマートフォンの日時設定を自動設定にし、再度コードを入力してください。
また、複数のWordPressサイトを認証アプリに登録している場合、別サイトのコードを入力している可能性もあります。サイト名やユーザー名を確認してから入力しましょう。
コードの残り時間が少ない場合は、次のコードに切り替わるのを待ってから入力すると成功しやすくなります。
7-2. スマホを紛失・機種変更した場合
スマートフォンを紛失した場合や機種変更で認証アプリが使えなくなった場合は、バックアップコードを使ってログインします。
ログイン画面でユーザー名とパスワードを入力し、2段階認証コードの入力画面が表示されたら、保存しておいたバックアップコードを入力します。ログインできたら、すぐに認証アプリを再設定し、新しいバックアップコードを発行しましょう。
バックアップコードもない場合は、他の管理者に2段階認証を解除してもらうか、サーバー管理画面やFTPからプラグインを無効化する必要があります。
7-3. メール認証が届かない場合
メール認証が届かない場合は、迷惑メールフォルダを確認します。メールサーバーの遅延で、数分後に届くこともあります。
それでも届かない場合は、WordPressからのメール送信設定に問題がある可能性があります。SMTPプラグインを使って、メール送信元やSMTPサーバーを正しく設定しましょう。
企業サイトや会員サイトでは、メール認証だけに依存するとログインできないユーザーが出る可能性があります。認証アプリやバックアップコードも併用すると安心です。
7-4. 管理画面にログインできなくなった場合
2段階認証の設定ミスで管理画面にログインできなくなった場合、まずバックアップコードを試します。
バックアップコードがない場合は、別の管理者アカウントでログインし、対象ユーザーの2段階認証を解除できるか確認します。
それもできない場合は、サーバー管理画面、FTP、ファイルマネージャーなどから2段階認証プラグインを一時的に無効化します。無効化後にWordPressへログインし、設定を見直してください。
7-5. FTPやサーバー管理画面からプラグインを無効化する方法
FTPやサーバーのファイルマネージャーからプラグインを無効化するには、WordPressのインストール先にある「wp-content/plugins」フォルダを開きます。
その中から、2段階認証プラグインのフォルダを探します。たとえば「two-factor」「wp-2fa」「wordfence」などのフォルダ名になっている場合があります。
対象フォルダの名前を変更すると、WordPress側でプラグインが読み込めなくなり、一時的に無効化されます。たとえば「two-factor」を「two-factor_old」に変更します。
その後、WordPressのログイン画面にアクセスし、通常のユーザー名とパスワードでログインできるか確認します。ログインできたら、プラグイン名を元に戻すか、管理画面から再設定を行いましょう。
ただし、この方法は緊急時の対処です。作業前には可能な限りバックアップを取得し、操作するフォルダを間違えないよう注意してください。
8. WordPressの2段階認証に関するよくある質問
8-1. 2段階認証は無料で設定できる？
はい、WordPressの2段階認証は無料で設定できます。
Two-Factor、WP 2FA、Wordfenceなど、無料で使える2段階認証プラグインがあります。基本的な認証アプリ連携やバックアップコードであれば、無料版で十分なケースも多いです。
ただし、複数ユーザーへの強制適用、詳細なポリシー設定、WooCommerce連携、ホワイトラベル化、サポート強化などは有料版で提供される場合があります。サイトの規模や運用体制に合わせて選びましょう。
8-2. 全ユーザーに2段階認証を必須化できる？
プラグインによっては可能です。
WP 2FAのようなプラグインでは、すべてのユーザー、または特定の権限グループに対して2段階認証を必須化できます。管理者、編集者、投稿者など、サイト運営に関わるユーザーには必須化するのがおすすめです。
一方で、購読者や一般会員まで必須化すると、ログインの手間が増えて離脱につながる可能性があります。会員サイトやECサイトでは、ユーザー体験とのバランスを考えて設定しましょう。
8-3. 2段階認証を設定するとログインが面倒になる？
ログイン時に認証コードの入力が増えるため、多少の手間は増えます。
しかし、管理者アカウントが乗っ取られた場合の被害を考えると、2段階認証の手間は十分に許容できるものです。特に、企業サイト、メディアサイト、ECサイト、会員サイトでは、管理画面の保護を優先すべきです。
ログインの手間を減らしたい場合は、信頼済み端末を一定期間記憶できる機能を持つプラグインを検討してもよいでしょう。ただし、共有端末や外出先のPCでは記憶機能を使わないよう注意が必要です。
8-4. WooCommerceや会員サイトでも使える？
WooCommerceや会員サイトでも、2段階認証を使える場合があります。
ただし、すべてのプラグインが独自ログインフォームに対応しているわけではありません。Wordfenceのヘルプでも、2要素認証は標準のWordPressログインページとWooCommerceでは利用できる一方、テーマや他プラグインが生成するカスタムログインフォームでは動作しない場合があると説明されています。Wordfence
WooCommerceや会員サイトで使う場合は、本番適用前にテスト環境でログイン、会員登録、パスワード再設定、購入フローに問題がないか確認しましょう。
8-5. 複数人で管理しているWordPressではどう運用すべき？
複数人で管理しているWordPressでは、管理者だけでなく、編集者や投稿者にも2段階認証を設定するのがおすすめです。
特に、記事の公開権限やプラグインの管理権限を持つユーザーは、乗っ取られるとサイト全体に影響が出ます。権限が高いユーザーから優先的に2段階認証を必須化しましょう。
また、退職者や外部委託先のアカウントを放置しないことも重要です。不要になったユーザーは削除または権限変更し、定期的にユーザー一覧を見直しましょう。
運用ルールとして、次の内容を決めておくと安心です。
管理者と編集者は2段階認証を必須にする
バックアップコードの保存方法を統一する
機種変更時の再設定手順を共有する
ログインできない場合の連絡先を決める
不要なユーザーアカウントを定期的に削除する
まとめ
WordPressの2段階認証は、不正ログインを防ぐために非常に有効なセキュリティ対策です。ユーザー名とパスワードだけのログインでは、パスワード漏えい、総当たり攻撃、パスワードリスト攻撃に弱くなります。2段階認証を設定すれば、認証アプリやメールコードなどの追加確認が必要になり、第三者による管理画面への侵入リスクを大きく下げられます。
導入はプラグインを使うのが簡単です。シンプルに始めたいならTwo-Factor、複数ユーザーや法人サイトで運用したいならWP 2FA、ログイン保護全体を強化したいならWordfence系の機能を検討するとよいでしょう。
設定時には、事前バックアップ、認証アプリの登録、認証コードの確認、バックアップコードの保存、ログインテストを必ず行ってください。特にバックアップコードを保存していないと、スマートフォンの紛失や機種変更時にログインできなくなる可能性があります。
また、2段階認証だけに頼らず、強力なパスワード、ログイン試行制限、ログインURL変更、WordPress本体・テーマ・プラグインの更新、定期バックアップもあわせて実施することが大切です。
WordPressの管理画面は、サイト運営の中心です。まだ2段階認証を設定していない場合は、まず管理者アカウントから導入し、不正ログインに強いWordPress環境を整えましょう。