WordPressでセキュアなログイン制御を実装する方法

ログインURLを変更する

WordPressのデフォルトログインURL（/wp-login.php または /wp-admin）は広く知られており、攻撃の対象になりやすいです。セキュリティを高めるにはログインURLを変更するのが有効です。

プラグイン例：WPS Hide Login

• プラグインをインストールし有効化
• 「設定」→「一般」から新しいログインURLを設定可能

functions.php による対策（推奨はプラグイン）

独自の方法で wp-login.php を隠すのは非推奨ですが、リライトルールである程度制御できます。

// functions.php に記載（応用編）
add_action('init', function() {
    if (strpos($_SERVER['REQUEST_URI'], 'my-login') !== false) {
        include ABSPATH . 'wp-login.php';
        exit;
    }
});

ログイン試行の回数制限を設ける

総当たり攻撃（ブルートフォース）を防ぐには、ログイン試行回数の制限が必須です。

プラグイン例：Limit Login Attempts Reloaded

• 試行回数、ロックアウト時間、通知メールなどの設定が可能
• GDPR対応もあり安心

その他プラグイン例

• Login LockDown
• WP Cerber Security

reCAPTCHAの導入でボット対策

ログインフォームにGoogleのreCAPTCHAを導入することで、自動攻撃から守ることができます。

プラグイン例：Advanced Google reCAPTCHA

• v2（チェックボックス型）とv3（非表示型）に対応
• ログイン、コメント、登録フォームなど複数箇所に対応可能

Google reCAPTCHAキーの取得手順

1. https://www.google.com/recaptcha にアクセス
2. サイトを登録し、v2またはv3を選択
3. サイトキーとシークレットキーを取得
4. プラグイン設定画面にキーを入力

XML-RPC機能の無効化

XML-RPCは外部アプリとの連携に使われますが、不正アクセスの経路にもなり得ます。

無効化の方法

// functions.php に追加
add_filter('xmlrpc_enabled', '__return_false');

または、.htaccess に以下を追加：

<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

二要素認証（2FA）の導入

IDとパスワードに加えてスマートフォン認証を導入すると、さらに安全性が高まります。

プラグイン例：Two Factor

• メールコード、TOTP（Google Authenticator）、U2F（物理キー）に対応
• ユーザーごとに設定可能

管理画面へのIP制限

.htaccessやサーバー設定で、特定のIPアドレス以外からのアクセスを拒否する方法です。

.htaccessでの設定例

<Files wp-login.php>
    order deny,allow
    deny from all
    allow from xxx.xxx.xxx.xxx
</Files>

複数のIPを許可する場合：

allow from 111.222.333.444
allow from 123.456.789.012

All in One Security（AIOS）で一括対策

セキュリティ強化の設定を一括で管理したい場合、「All in One Security（旧：All in One WP Security & Firewall）」がおすすめです。

主な機能

• ログインURL変更、試行回数制限、CAPTCHAの設定
• XML-RPCの無効化やREST API制御
• 2FA、IPブロック、.htaccess自動編集
• セキュリティスコアで設定状況の可視化

メリット

• 多機能なのに直感的なUI
• 一部日本語化されており初心者でも扱いやすい
• 個別にプラグインを入れなくてもこれ1つでカバー可能

特に複数のセキュリティ対策をまとめて導入したい場合には非常に有効です。

まとめ：段階的な防御が鍵

セキュアなログイン制御は、単一の対策ではなく「多層防御（Defense in Depth）」が重要です。

• ログインURLの変更 → アクセス対象を減らす
• 試行回数制限 → 攻撃成功の確率を下げる
• reCAPTCHA → 自動化攻撃を防ぐ
• XML-RPC無効化 → 外部からの抜け道を塞ぐ
• 2FA → パスワード漏洩時の最終防衛線
• IP制限 → 管理者アクセスを限定
• All in One Security → 総合的なセキュリティ対策の一元管理

複数の対策を組み合わせて、あなたのWordPressサイトを守りましょう。