WordPress ログイン 対策は二段階認証を「入れて終わり」にしない──管理者の絞り込み、試行の制限、顧客への説明、ロックアウト時の解除手順

この記事は、WordPress のログイン対策と、二段階認証を顧客サイトに導入して運用する手順を扱います。

二段階認証を入れた翌週、電話が鳴る

「ログインできなくなりました。スマホを機種変更したんです」

WordPressの管理画面に二段階認証を入れると、しばらくして、こうした電話がかかってきます。
対策としては正しいのに、制作会社は解除の作業に追われます。

二段階認証は、入れることより、運用の決め事のほうが難しいのです。

WordPressのログイン対策とは、管理画面に入れる人を絞り、入る試みを制限し、パスワードの外にもう一つの確認を置き、締め出されたときの戻り方まで決めておくことである

黒字化の外科医です。WordPressのログイン対策を、導入と運用の両面から解剖します。

決め事まで用意すべき理由は、三つあります。

第一に、WordPressの本体には、二段階認証が標準で入っていないから。
WordPress.orgの公式ドキュメント（Advanced Administration Handbook の Brute Force Attacks）は、管理者には二段階認証を有効にするよう勧め、本体には含まれていないため、プラグインやIDプロバイダーで導入するよう案内しています。どの仕組みを使うかは、制作会社が決めて、記録に残す必要があります。

第二に、二段階認証だけでは、試行の負荷は止まらないから。
同じ公式ドキュメントは、ログインの試行の制限を、可能ならアプリケーションの手前（サーバーやWAFなどの段階）で行うよう勧めています。プラグインでの制限はPHPの処理を使うため、大量の試行には向かない、という説明です。

第三に、締め出された顧客を戻す手順がないと、対策そのものが外されるから。
解除のたびに混乱が起きると、「二段階認証を外してほしい」という依頼が来ます。戻り方を決めておくことが、対策を続ける条件です。

今すぐ試せる：二段階認証の導入計画を作るプロンプト

私はWeb制作会社の経営者です。顧客のWordPressサイトに、二段階認証を導入する計画を作ってください。

【前提】
・サイト名と、管理画面にログインする人の一覧（名前・役割・権限）：〔　〕
・それぞれが使っているスマートフォンの有無：〔　〕
・保守契約の範囲（ロック解除の対応が含まれるか）：〔　〕
・導入したい時期：〔　〕

1. 権限を見直す（管理者が本当に必要な人だけにする）案を出す。
2. 二段階認証を必須にする人と、任意にする人を分ける。
3. 導入当日の手順と、顧客への案内文（専門用語なし）を書く。
4. ロックアウトしたときの解除の手順と、本人確認の方法を書く。

WordPressログイン対策工場：導入から解除まで

1. 入れる前に、入れる人を絞る

□ 管理者（Administrator）権限の人を、必要な人だけにする
□ 記事を書くだけの人は、編集者・投稿者の権限に下げる
□ 「admin」というユーザー名を使っていない（使っていれば、新しい管理者を作って移す）
□ 退職者・契約終了した外注先のアカウントを削除する
□ 1人1アカウントにする（共有をやめる）

公式ドキュメントも、「admin」というユーザー名を使わないこと、管理者の数を絞り、日常の作業は最小限の権限で行うことを挙げています。

2. 試行を制限する

□ ログイン画面（wp-login.php）への試行を、サーバーやWAFの段階で制限する
□ 使っていなければ、XML-RPC（外部からの投稿などの入口）を無効にする
□ ログインの失敗を記録し、急な増加に気づけるようにする

公式ドキュメントは、ログインのURLを分かりにくくすることは雑音を減らせても、それだけを守りにすべきではない、という趣旨を述べています。

3. 二段階認証を導入する

□ 使う仕組み（プラグイン・IDプロバイダーなど）を決め、記録する
□ 管理者は必須、それ以外は任意から始める
□ 認証アプリの登録は、顧客と画面を共有しながら一緒に行う
□ 予備の確認手段（バックアップコードなど）を、本人が保管する
□ 予備の確認手段の保管場所を、本人に確認する（制作会社は預からない）

公式ドキュメントは、パスキーを使う場合は管理者1人につき2つ以上の認証器を登録するよう勧めています。機種変更や紛失に備えるためです。

4. 顧客への案内文

件名：管理画面のログインに「確認コード」を追加します

〇〇様

いつもお世話になっております。〇〇の〇〇です。

〇月〇日から、〇〇様のサイトの管理画面に、ログインのときの確認コードを追加します。
パスワードが他から漏れた場合でも、確認コードがなければログインできなくなるため、乗っ取りを防ぐ効果があります。

ログインの流れ：
1. いつものIDとパスワードを入力します
2. スマートフォンのアプリに表示される6桁の数字を入力します

設定は、〇月〇日〇時から15分ほど、画面を共有しながら一緒に行います。
あわせて、スマートフォンをなくしたときに使う「予備のコード」を、お手元で保管していただきます。

5. ロックアウトの日の解除手順

1. 本人確認：登録済みの連絡先に折り返し、本人であることを確かめる
2. 予備のコードがあれば、それでログインしてもらう
3. 予備のコードがなければ、制作会社が管理側から二段階認証を一時的に解除する
4. 本人がログインしたら、その場で再登録してもらう
5. 解除した日時・理由・対応者を記録する

本人確認を飛ばして解除すると、二段階認証の意味がなくなります。

計算例：導入の工数

（例）時間単価：7,645円（K32の計算例の数字）
管理者3人 × 設定の同席20分 ＝ 60分
手順書と案内文の作成 ＝ 30分
合計 90分

7,645円 × 90 ÷ 60 ≒ 11,468円

導入は1回ですが、解除の対応は続きます。解除を保守の範囲に含めるか、1回ごとの料金にするかを、先に決めておきます。

▶ 保守料金をセキュリティ込みで決め直す──「月1万円で全部」をやめ、工数の積み上げ・松竹梅・緊急対応の別料金で組む料金設計と計算例

構造的なリスク

逆説を指摘しておきます。

二段階認証を入れると、顧客も制作会社も「もう安全だ」と思いがちです。
けれど、更新されていないプラグインの脆弱性を突かれれば、ログイン画面を通らずに入られることがあります。

ログインの対策は、入口の一つを守るものです。更新と監視を続けて、はじめて意味を持ちます。

▶ WordPress 脆弱性のたびに社長が夜中に更新している制作会社へ──更新の方針、検証、緊急時の判断基準、お客様との取り決めで「体制」にする

よくあるQ&A

Q. 顧客が「面倒だから入れたくない」と言ったら？

管理者だけに絞って必須にし、それ以外は任意にします。それでも断られたら、断られた事実と日付を記録に残してください。

Q. 制作会社のアカウントにも必要か？

必要です。多くのサイトの管理者権限を持つ、一番狙われやすい鍵です。

Q. 予備のコードを、制作会社で預かってもよいか？

おすすめしません。預かった鍵は、制作会社が漏えいの入口になります。本人が保管し、なくしたときは本人確認のうえで解除する流れにします。

最後に

WordPressのログイン対策は、二段階認証を入れることではなく、入れる人を絞り、試行を制限し、締め出されたときの戻り方まで決めることです。

解除の手順まで保守に組み込んだ会社だけが、顧客に不便を押し付けずに、管理画面の鍵を強くし続けられるのです。

不正ログインの全体像は、こちらにまとめました。

▶ 不正ログイン対策、管理画面は「パスワードを強く」だけでは守れない──総当たり・リスト型攻撃・退職者のIDに、制限・二要素・棚卸しの3つで備える

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #WordPress #ログイン対策 #二段階認証 #不正ログイン #セキュリティ保守 #制作会社経営 #中小企業 #不正アクセス対策 #保守運用