WordPress管理画面のIP制限：テレワークでの続け方と締め出し時の戻し方

保守会社から「WordPress の管理画面に IP 制限をかけましょう」と勧められたが、テレワークの社員が自宅から更新できなくなるのではと心配している。会社の回線だけを許可したら、外出先からお知らせを直せなくなった。制作会社にも作業してもらうが、どう許可すればよいか分からない。管理画面の IP 制限は、こうした場面で判断に迷いやすい対策です。

結論から言うと、WordPress の管理画面の IP 制限は、許可した接続元以外からはログイン画面にもたどり着けなくして不正ログインのリスクを下げる対策で、テレワークや外出先から使う人がいるなら、全員が同じ固定 IP アドレスを経由する仕組みを用意し、制作会社の接続元も含めて登録を管理し、締め出されたときに戻す経路を残してから有効にします。パスワード・二要素認証・更新の代わりにはならないため、ほかの対策と組み合わせて使います。

この記事では、IP 制限の効果と限界、固定 IP がない場所で起きる問題と解決方法、エックスサーバーの「WordPressセキュリティ設定」での手順、制作会社に許可する方法、締め出されたときの戻し方を、2026年10月時点の公式情報で解説します。WordPress のセキュリティ対策の全体と優先度はWordPressのセキュリティ対策チェックリストで扱っています。

WordPress の管理画面の IP 制限とは

管理画面の IP 制限は、/wp-admin（管理画面）と /wp-login.php（ログイン画面）へのアクセスを、登録した IP アドレスからだけに限る設定です。

IP アドレスは、インターネットに接続している機器の「接続元の番号」です。会社の回線で固定の IP アドレスを契約していれば、社内からのアクセスはいつも同じ番号になるため、その番号だけを許可すれば、ほかの場所からはログイン画面が表示されなくなります。WordPress の公式ドキュメントの総当たり攻撃への対策でも、wp-login.php へのアクセスを特定の IP アドレスに限る設定の例が、Webサーバーの種類ごとに示されています。

エックスサーバーと XServerビジネスでは、サーバーパネルのWordPressセキュリティ設定にある「IPアドレス制限」で、設定ファイル（.htaccess）を編集せずに設定できます。初期状態は OFF で、設定はドメインごとです。

IP 制限の効果と限界

IP 制限は、許可していない場所からのログインの試みを入口で止めるため、パスワードの総当たりや漏れたパスワードによる不正ログインのリスクを大きく下げますが、許可した場所から入られた場合や、管理画面以外の入口を使う攻撃は防げません。

XServer 固定IPアクセスの公式コラムも、IP 制限は、社内スタッフや外部パートナーに「編集者」や「投稿者」など必要な最小限の権限だけを与える管理と併用するよう勧めています。二要素認証や更新の進め方は、冒頭で紹介したチェックリストの記事を参照してください。

もう1つ確かめたいのが、サイトの表側の機能への影響です。WordPress の公式ドキュメントのセキュリティ強化は、/wp-admin を保護するだけだと、/wp-admin/admin-ajax.php を使う機能など、一部が動かなくなることがあると注意しています。問い合わせフォームや絞り込み検索などがこの仕組みを使っている場合があるため、IP 制限を ON にしたあとは、許可していない回線からもサイトの表側の動作を確かめます。

固定 IP がないテレワーク・外出先で起きる問題

固定 IP の契約がない自宅の回線やスマートフォンの回線は IP アドレスが変わるため、会社の固定 IP だけを許可すると、テレワークや外出先からは管理画面に入れなくなります。

そのたびに IP アドレスを登録し直したり、広い範囲をまとめて許可したり、作業のたびに制限を OFF にしたりすると、管理の手間が増えるうえ、消し忘れや戻し忘れで制限の意味が薄れます。前述の公式コラムも、メンバーの自宅の IP アドレスが変わるたびに設定を書き換える手間を挙げ、社外のライターや制作会社に作業を委託している場合は、全員の接続元を正確に把握し続けるのは現実的ではないとしています。

テレワークでも IP 制限を続ける方法の比較

テレワークでも IP 制限を続けるには、全員が「決まった出口」を通ってから管理画面に入る形にするのが基本で、方法は会社の VPN を使うか、固定 IP を提供するサービスを使うかに分かれます。

BASIC認証は、エックスサーバーではサーバーパネルのアクセス制限で、指定したフォルダーにかけられます。社内に VPN の機器がない中小企業では、3つ目の固定 IP のサービスが導入しやすい方法です。

XServer 固定IPアクセスでの解決

XServer 固定IPアクセスは、端末から専用のネットワーク（VPN）を通ってインターネットに出ることで、自宅や外出先からでも契約ごとに割り当てられた同じ固定 IP アドレスを使えるサービスで、機器の設置や工事はいりません（2026年10月時点）。

公式サイトの説明では、固定 IP アドレスは契約ごとに専用で割り当てられ、ほかのユーザーとは共用しません（アドレスは指定できず、自動で割り当てられます）。サーバーの設置国は日本で、1つの固定 IP にライセンスを追加すると複数の人が同時に使えます。1つのライセンスは複数の端末に設定できますが、同時に接続できるのは1台です。

• 接続方法は2つ：専用アプリの WireGuard（Windows・macOS・iOS/iPadOS・Android・Linux など。管理画面で決めた接続先だけを固定 IP 経由にすることもできる）と、OS に標準で入っている VPN 機能を使う IKEv2（Windows・macOS・iOS/iPadOS。すべての通信が固定 IP 経由になる）。1つの固定 IP の中で両方を混ぜて使うことはできない
• 管理の機能：接続状態の確認、ライセンスごとの接続の許可・停止（退職や端末の紛失のときにすぐ止められる）、接続・操作のログの月ごとのダウンロード、このサービスを使える接続元の制限
• 契約：最短1か月、支払いはクレジットカードのみ。初めて使う人は30日間の無料お試しがあり、お試し中は最大10ライセンスまで使える
• 通信はベストエフォートで、速度や品質は保証されない

機能はどのプランも同じで、違いは1ライセンスあたりの料金と最小のライセンス数だけです（よくある質問）。例：社員3人と制作会社の担当者1人で使う場合、ライトプランの4ライセンスで月額3,520円です。IP アドレス制限を ON にすると国外アクセス制限より優先されるため、海外の出張先からでも、固定 IP を経由すれば同じ条件で管理画面に入れます。

エックスサーバーの「WordPressセキュリティ設定」で IP 制限をかける手順

設定は、全員が許可する経路で接続できることを確かめてから、サーバーパネルでホワイトリストを登録し、IP アドレス制限を ON にする順に進めます。

1. 管理画面に入る人と接続元を一覧にする：社員、制作会社、保守会社ごとに、使う接続元（会社の固定 IP、固定IPアクセスの IP、制作会社の固定 IP など）と、作業の目的、許可する期限を書き出します
2. 全員が許可する経路で接続できるかを確かめる：固定IPアクセスを使う場合は、管理者がライセンスごとの設定ファイルを渡し、各自の端末に WireGuard を入れて読み込み、接続を有効にします。接続中の IP アドレスが契約した固定 IP になっているかも確かめます
3. サーバーパネルにログインし、「WordPressセキュリティ設定」を開いて、対象のドメインを確かめる
4. 「IPアドレス制限」のホワイトリストのペンアイコンから、許可する IP アドレスを1行に1つ登録する（CIDR 形式で範囲をまとめて指定することもできます）
5. 制限を ON にする：ホワイトリストを登録しているときだけ ON にできます
6. 動作を確かめる：許可した接続でログイン、記事の保存、プラグインの更新ができること。許可していない接続（例：固定IPアクセスを切ったスマートフォンの回線）ではログイン画面が表示されないこと。サイトの表側の問い合わせフォームや検索が動くこと
7. 記録する：登録した IP アドレスとその持ち主、登録した日、見直す日を管理表に残します

公式コラムは、メンバーの設定が終わる前に IP アドレス制限を ON にすると、一時的に管理画面へ入れなくなると注意しています。手順2を全員分済ませてから手順5に進みます。

あわせて知っておきたい点は次のとおりです。

• IP アドレス制限を ON にすると、リストにない IP アドレスは国内外を問わず遮断されるため、国外アクセス制限は実質的に無効になり、設定もできなくなります
• 設定はドメインごとなので、テスト用のサイトや別のドメインの WordPress には、それぞれ設定が必要です
• ログイン試行回数の制限（初期状態は ON）は別の機能で、IP 制限と一緒に使えます
• XServerビジネスでも、同じ名前の機能で設定できます。ほかのサーバー会社の場合は、管理画面の機能か設定ファイルでの設定になるため、保守会社と方法を決めます

制作会社や保守会社にアクセスを許可する方法

制作会社や保守会社には、作業に必要な期間だけ、自社で管理できる接続元を許可し、WordPress のアカウントも担当者ごとに分けて渡します。

WordPress のアカウントは担当者ごとに作り、記事の更新だけなら「編集者」など必要な権限にとどめ、社内の管理者のパスワードを共有しません。サーバーパネルの作業も頼む場合、エックスサーバーのビジネスプランと XServerビジネスには、複数人でサーバーを管理し、権限（すべての機能・サイトの運用・メール）を分けて渡せる管理者ユーザー設定があります。契約者のアカウントのログイン情報は渡さず、契約を終えるときに止めるものを一覧にしておきます。制作会社を変えるときの引き継ぎの手順はホームページの引き継ぎ手順で解説しています。

締め出されたときの戻し方

IP 制限で管理画面に入れなくなっても、この制限が止めるのは WordPress の /wp-admin と /wp-login.php だけなので、サーバーパネルからホワイトリストに今の IP アドレスを加えるか、制限を一時的に OFF にすれば戻せます。

1. サーバーパネルにログインし、「WordPressセキュリティ設定」で対象のドメインを開く
2. 今の接続元の IP アドレスをホワイトリストに加える。原因が分からないときは、IP アドレス制限を一時的に OFF にする
3. 管理画面に入れることを確かめ、必要な作業を済ませる
4. 一時的に加えた IP アドレスを削除し、OFF にした場合は ON に戻して、だれが・いつ・何を変えたかを記録する

締め出しに備えて、許可する経路を2つ用意しておくと安心です（例：会社の固定 IP と固定IPアクセスの IP）。サーバーパネルに入れる人と XServer アカウントのログイン情報を会社で把握しておくことも、戻すための前提です。WAF や国外アクセス制限で記事を保存できないときの切り分けは、WAFとは：中小企業のサイトに必要かで解説しています。

よくあるご質問

IP 制限をかければ、パスワードの強化や二要素認証はいりませんか？

必要です。許可した接続元の端末が乗っ取られた場合や、許可した回線をほかの人と共用している場合は、パスワードと二要素認証が最後の守りになります。IP 制限は入口を絞る対策、パスワードと二要素認証は本人であることを確かめる対策として、両方を使います。

自宅の回線の IP アドレスを登録してはいけませんか？

固定 IP の契約がない回線は、IP アドレスが変わったときに入れなくなり、使わなくなった番号が登録に残りやすくなります。在宅で更新する人がいる場合は、会社の VPN や固定 IP のサービスなど、変わらない経路を通す方法をおすすめします。

スマートフォンから記事を更新できますか？

XServer 固定IPアクセスは、WireGuard なら iOS/iPadOS と Android のアプリで、IKEv2 なら iOS/iPadOS の標準機能で接続できます（Android は追加のアプリが必要）。1つのライセンスで同時に接続できるのは1台なので、パソコンとスマートフォンを同時に使う人は2ライセンスが必要です。

エックスサーバー以外のサーバーでも IP 制限はできますか？

多くのサーバーで、管理画面の機能か設定ファイル（.htaccess など）で設定できます。WordPress の公式ドキュメントにも、Webサーバーの種類ごとの設定例があります。固定IPアクセスはアクセスする側に固定 IP を用意するサービスなので、サーバー会社にかかわらず使えます。

まとめ

WordPress の管理画面の IP 制限は、/wp-admin と /wp-login.php へのアクセスを許可した接続元だけに限り、不正ログインのリスクを下げる対策です。固定 IP のない自宅や外出先から使う人がいるなら、会社の VPN か固定 IP のサービスで全員が同じ出口を通る形にし、制作会社には期間を決めて自社で管理できる接続元を許可します。設定は全員の接続を確かめてから ON にし、締め出されたときはサーバーパネルからホワイトリストを直して戻します。パスワード・二要素認証・更新・権限の管理とは組み合わせて使います。

当社のWEBサイト運用保守では、保守スタンダード（月3万円〜・税別）で、ログイン保護・改ざん検知・WAF の設定を含むセキュリティ強化と、フォームの月次動作確認を行っています。他社で制作した WordPress サイトもご相談いただけます。

関連記事：会社のサーバー・ドメイン・セキュリティの基礎（まとめ）／WordPressのセキュリティ対策チェックリスト／ホームページが改ざん・乗っ取りされたときの対処／エックスサーバーとXServerビジネスの違い