夜のオフィスで、WordPressのログイン画面を見ながらパスワードのメモを片手に、乗っ取りが心配で少し不安そうにしている企業のWEB担当者
サイト運用・更新約10分

WordPressのログインを守る基本｜管理者アカウントとパスワード対策

「うちみたいな小さな会社のサイトが、わざわざ狙われることなんてあるのかな」——正直、そう思いますよね。ニュースになるのは大企業の情報漏えいばかりで、自分ごとにはなりにくい。でも、管理画面のログインを守る話になると、急に「何をどこまでやればいいのか分からない」と手が止まってしまう。一人でサイトを預かっていると、この「見えない不安」はけっこう重いものです。

先にお伝えすると、その心配は的外れではありません。ただし理由は「あなたの会社が狙われているから」ではなく、乗っ取りの多くが、相手を選ばずログイン画面を自動で叩き続けるプログラム（総当たり）によるものだからです。つまり、規模の大小ではなく「入口が開いているかどうか」で決まる。逆に言えば、入口の守りは特別な知識がなくても、今日いくつか設定するだけで大きく変わります。今日はその基本を、一緒に順番に整えていきましょう。

結論：WordPressのログインを守る近道は、①管理者アカウントを見直す（"admin"をやめる・権限を絞る）→ ②パスワードを長く固有のものにする → ③ログイン画面そのものに鍵をかける（試行回数の制限・二段階認証など）、の3つを順に整えることです。
全部を今日やらなくて大丈夫。まずは「①"admin"というユーザー名を使っていないか確認する」だけでも、いちばん狙われやすい入口をひとつ塞げます。

何が起きているのか

ログインの乗っ取りが起きるとき、たいていは「ユーザー名」と「パスワード」の組み合わせを、機械が延々と試している状態です。人が手で打っているわけではありません。世界中のサイトの wp-login.php（WordPressのログイン画面）を自動で巡回し、ありがちな組み合わせを1秒に何回も試す——これを総当たり攻撃（ブルートフォース）と呼びます。

ここで攻撃側が最初に試すのが、"admin" というユーザー名です。WordPressの初期設定でよく使われてきた名前なので、「とりあえず admin で試せば当たる確率が高い」と知られている。パスワードも同じで、password や 123456、会社名＋年号のような推測しやすいものから順に試されます。つまり狙われているのは「あなた」ではなく、「開いたままの、ありがちな入口」なんですね。

大事なのは、これは意識が低いから起きるのではないということです。制作会社に作ってもらったまま、ユーザー名やログインの守りまでは引き継ぎ資料に書かれていなかった、という現場はとても多い。むしろ、ここまで気にして調べているだけで、もう一歩前に進んでいます。だから私たちがやるべきは、身構えて全部を作り直すことではなく、「入口の3つのゆるみ」を順番に締めていく——それだけです。

手順を小さく分ける

WordPressのログインを「アカウントを見直す→パスワードを固有にする→ログイン画面に鍵をかける」の3ステップで守る流れの図
守りは「名前 → 鍵 → 扉」の順に。一気に固めず、入口のゆるみをひとつずつ締める

一度に完璧を目指さず、上流から順に締めていきます。最初のひとつを終えるだけでも、狙われやすさはぐっと下がります。

  1. 管理者ユーザー名を確認する（"admin"をやめる）：まず「ユーザー」の一覧を開き、ログインに使うユーザー名が admin や administrator、会社名そのままになっていないかを見ます。当てはまるなら、新しい管理者ユーザーを別名で作り、記事の投稿者を新ユーザーに付け替えてから、古い admin を削除します。いきなり消すと記事の投稿者表示が変わることがあるので、新ユーザーを作る → 記事を引き継ぐ → 旧ユーザー削除の順が安全です。あわせて、画面上に表示される名前（ニックネーム）と、ログインに使う名前を分けておくと、外から本名のユーザー名が見えにくくなります。
  2. パスワードを「長く・固有」にする：ポイントは複雑さより長さと使い回さないことです。目安は12文字以上、できれば意味のない語や記号を混ぜる。そして何より、他のサービスと同じパスワードを使い回さない——これがいちばん効きます。どこか別のサービスから漏れた組み合わせが、そのまま試されることが多いからです。覚えきれなくて当然なので、パスワード管理ツール（ブラウザの保存機能でも可）に任せてしまって構いません。「強いパスワードを暗記する」より「固有のパスワードを安全に保管する」ほうが、現実的で安全です。
  3. ログインの試行回数を制限する：総当たりは「何回でも試せる」から成り立ちます。そこで、一定回数まちがえたら一時的にロックする仕組みを入れます。日本語で使いやすい定番プラグインなら SiteGuard WP Plugin、海外製で高機能なものなら Wordfence Security などがあります（いずれも無料版で基本機能が使えます）。導入したら、まず「ログイン試行回数の制限」と、機械的なアクセスを弾く「画像認証（ひらがな認証・CAPTCHA）」を有効にするところから。プラグインは入れすぎも管理が大変になるので、役割が重なるものは1つに絞るのがおすすめです。
  4. できれば二段階認証を足す：パスワードに加えて、スマホアプリの確認コードなどをもう1つ求める仕組みです。上のプラグインの機能や専用プラグインで設定できます。ここは「余裕が出てきたら」で大丈夫。まずは1〜3を終えてから、いちばん大事なサイトに足す、という順番で構いません。
  5. ログイン画面のURLを変えるのは"任意"：wp-login.php を別のアドレスに変える機能もあり、機械的なアクセスを減らせます。ただしURLを忘れると自分が入れなくなるので、やるなら新しいURLを引き継ぎ資料に必ず控えること。無理に手を出さず、1〜3のほうを優先してください。

まずは「1. admin という名前を使っていないか確認する」を今日の一手にできれば十分です。名前と鍵を整えるだけで、総当たりのいちばん当たりやすい組み合わせは外せます。

補足：設定を変える前に、一度バックアップを取って「戻せる状態」にしておくと安心です。とくにプラグイン導入やURL変更は、まれに管理画面に入れなくなることがあります。戻せる備えについてはサイトのバックアップと復元の基本を先に見ておくと、落ち着いて設定できます。

もし「もう入られたかも」と思ったら

ここは、不安なときに落ち着くための備えです。次のような心当たりがあれば、いったん立ち止まって確認します。

こうしたときは、あわてて全部消そうとせず、順番に。①まず管理者全員のパスワードを変更 → ②見覚えのない管理者ユーザーを削除 → ③プラグインで不正ログインの履歴を確認 → ④心配なら制作会社やサーバー会社に相談、の流れが基本です。表示が真っ白になった・開かなくなった場合は、サイトが表示されないときの切り分け手順も合わせてどうぞ。一人で全部を判断しなくて大丈夫。「戻せる備え」と「相談先」があるだけで、この場面はずっと軽くなります。

明日やること

今日いきなり全部を設定しなくて大丈夫です。まずは確認だけなら5分で終わります。

  1. ユーザー一覧を開いて、admin という名前がないか見る：あれば「別名の管理者を作って付け替える」を今週のタスクにメモ。
  2. 管理者パスワードを、他サービスと使い回していないか思い出す：使い回していたら、今日ひとつだけ、固有のものに変える。
  3. ログイン制限のプラグインが入っているか確認する：入っていなければ、SiteGuard など定番を1つだけ候補にメモ（導入前にバックアップ）。
  4. ログイン情報の保管場所を決める：ユーザー名・パスワード・（変えたなら）ログインURLを、引き継ぎ資料に安全に控える。担当が変わっても回るようにしておきます。

チェックリスト

まずはこの3つを確認できれば、いちばん狙われやすい入口は締められます。最低ラインはここに絞ります。

残りは「余裕があれば」の任意項目です。当てはまらなければ、空欄のままで問題ありません。

ログインまわりの守りを整え終えて、安心した表情でパソコンに向かい、静かに前を向いている企業のWEB担当者

セキュリティと聞くと、専門家だけの難しい話に思えて、つい後回しにしてしまいますよね。 でも、今日やったのは「名前を見直す」「鍵を固有にする」「扉に錠をかける」という、とても地味な3つだけです。派手さはないけれど、これが乗っ取りのいちばん多い入口を静かに塞ぎます。全部を一度に完璧にする必要はありません。今日ユーザー名をひとつ確認できたなら、あなたのサイトは、昨日より確実に守られています。

よければ、こちらも

設定変更の前に戻せる備えを整えたいなら、サイトのバックアップと復元の基本。プラグインやテーマの更新で事故らせたくないときは、WordPressの更新で事故らない手順。「サイトが急に開かない」と言われたときの落ち着いた動き方は、サイトが表示されないときの切り分け手順。期限切れという防げるトラブルを先に潰しておきたいときは、SSL証明書の有効期限切れを防ぐ確認とリマインドの作り方も合わせてどうぞ。「これ、どこまで自分でやっていい？」と迷ったら、お問い合わせからいつでも声をかけてくださいね。

関連用語