WordPressの二段階認証：ログインを守る方式の選び方と締め出し時の戻し方

WordPress の管理画面は、ユーザー名とパスワードが分かれば誰でもログインを試せる入り口です。パスワードが漏れたり推測されたりすると、サイトを書き換えられるおそれがあります。この記事は、会社のホームページを担当する方が、WordPress のログインを二段階認証で守るときに知っておきたいことをまとめたものです。

結論から言うと、WordPress の本体には二段階認証の機能が標準では入っていないため、プラグインなどで追加します。導入する前に、使う方式、対象のユーザー、締め出されたときの戻し方を社内で決めておくことが大切です。設定そのものより、スマートフォンの機種変更や担当者の退職のときに困らない運用を先に考えます。

内容は、WordPress の公式ドキュメント、IPA（情報処理推進機構）と総務省の公開情報をもとに、2026年11月時点で確認したものです。特定のプラグインはおすすめしません。製品ごとの画面や手順は、それぞれの説明書で確かめてください。

二段階認証の仕組みと「多要素認証」との違い

二段階認証は、パスワードを入れたあとに、もう 1 回別の方法で本人かどうかを確かめる仕組みです。WordPress の場合、ログイン画面でユーザー名とパスワードを入れると、次の画面でスマートフォンのアプリに表示された数字などの入力を求められます。パスワードだけが漏れても、2 回目の確認を通れなければログインできません。

似た言葉に「多要素認証」があります。IPA の情報セキュリティ10大脅威 2026の解説書［組織編］は、多要素認証を、認証の 3 要素である「知識情報」「所持情報」「生体情報」のうち 2 つ以上を組み合わせて認証すること、と説明しています。総務省の国民のためのサイバーセキュリティサイトも、知っているもの（パスワードなど）、持っているもの（スマホなど）、本人自身に関するもの（指紋や顔など）の 3 つを挙げています。

IPA の「情報セキュリティ10大脅威 2023 知っておきたい用語や仕組み」では、認証を 2 回以上に分けて行うことを「多段階認証」、複数の要素で認証することを「多要素認証」と区別しています。パスワードを 2 つ入れるだけなら、段階は 2 つでも要素は「知識」の 1 つだけです。WordPress のプラグインの多くは「二段階認証」や「2FA（二要素認証）」と呼んでいますが、大切なのは、2 回目の確認がパスワードとは別の要素（手元のスマートフォンや指紋など）になっているかどうかです。

WordPress 本体には二段階認証が標準で入っていない

WordPress の公式ドキュメント（Brute Force Attacks、2026年10月に更新）は、WordPress の本体（コア）には二段階認証が含まれておらず、プラグインか、社内で使っている ID の管理の仕組み（シングルサインオン）と連携して追加する必要があると説明しています。同じ文書は、管理者と強い権限を持つユーザーのすべてに二段階認証を有効にするよう勧めています。公式の Hardening WordPress も、強いパスワードに加えて二段階認証を有効にすることを勧めています。

2026年11月時点の最新版は WordPress 7.1.4 です。本体のプロフィール画面には、パスワードの変更、ほかの端末からのログアウト（「他のすべての場所でログアウト」）、「アプリケーションパスワード」の項目はありますが、二段階認証の設定はありません。プラグインを入れると、プロフィール画面などに設定の項目が加わる形が一般的です。

WordPress.org の公式のプラグインディレクトリには、二段階認証のタグが付いたプラグインが多数あります。二段階認証だけの製品もあれば、ログインの試行の制限やファイアウォールなどとまとめた総合的なセキュリティのプラグインもあります。すでにセキュリティのプラグインを使っている場合は、その製品に二段階認証の機能がないかを先に確かめます。同じ働きのプラグインを重ねて入れると、ログインの画面で競合する場合があります。

二段階認証の方式の種類と比べ方

二段階認証の 2 回目の確認には、いくつかの方式があります。プラグインによって使える方式が違うので、社内で使いやすい方式に対応しているかを確かめて選びます。

認証アプリの数字が 30 秒ほどで変わる理由

認証アプリの多くは、時刻をもとにワンタイムパスワードを作る TOTP という方式を使っています。この方式の標準の文書（RFC 6238）は、数字が切り替わる間隔として 30 秒を推奨しています。時刻をもとに計算するので、スマートフォンの時計とサーバーの時計が大きくずれていると、正しく入力しても通りません。「コードが合わない」というときは、スマートフォンの日付と時刻の自動設定を確かめます。

パスキーとフィッシングへの強さ

先の IPA の用語の解説は、SMS で送られるワンタイムパスワードを窃取しようとするフィッシングの手口もあると注意しています。IPA の 2026 年の解説書［組織編］は、パスキーなどの FIDO の方式が提供されていれば利用することを勧め、ログインの途中に割り込んで情報を盗む攻撃への対策として、こうした強固な多要素認証の採用の検討を挙げています。WordPress の公式ドキュメントも、パスキーをフィッシングに強いログインの方法として紹介し、管理者ごとに少なくとも 2 つの認証の手段を登録するよう案内しています。社内のパソコンやスマートフォンが指紋や顔の認証に対応していれば、候補に入れます。

導入の手順の考え方

二段階認証は、いきなり全員に有効にすると、設定に戸惑った人がログインできなくなります。次の順で、管理者の 1 人から始めて広げます。

1. 対象のユーザーを決める：管理者は必ず対象にします。編集者も、他人の記事や固定ページを公開・削除でき、コードを書き込める強い権限なので、対象に含めます。投稿者や寄稿者にも広げるかは、人数と運用の手間で決めます。
2. 方式を決める：社員が会社のスマートフォンを持っているか、個人のスマートフォンに認証アプリを入れてもらえるかで、使える方式が変わります。どの方式でも、予備のコードを使えるようにします。
3. プラグインを選ぶ：公式のプラグインディレクトリで、更新が続いているか、今の WordPress のバージョンで検証されているか、使いたい方式と予備のコードに対応しているか、権限グループごとに二段階認証を必須にできるかを確かめます。
4. 入れる前に備える：サイトのバックアップを取ります。サーバーの管理画面に入れる人（社内か制作会社）を確かめておきます。テスト用の環境があれば、先にそこで試します。
5. 管理者 1 人で試す：管理者の 1 人が設定し、ログアウトしてから、二段階認証でログインできることを確かめます。予備のコードを保管します。このあいだ、別の管理者がログインした状態を保っておくと、問題が起きたときにすぐ戻せます。
6. ほかのユーザーに広げる：設定の手順書を作り、期限を決めて各自に設定してもらいます。全員の設定が済んでから、必須にする設定を有効にします。

ログインの守りは、二段階認証だけで完結するものではありません。管理画面を社内の回線からだけ開けるようにする方法はWordPress 管理画面の IP 制限、更新やバックアップを含めた全体の優先度はWordPress のセキュリティ対策チェックリストで説明しています。

締め出されたときの戻し方

二段階認証で一番多い困りごとは、正しい担当者がログインできなくなることです。状況ごとに、試す順番を決めておきます。

管理者の全員が入れないときは、サーバー側での作業になります。WordPress の公式ドキュメント（Common WordPress Errors）には、管理画面に入れないときに、FTP でプラグインのフォルダ（wp-content/plugins）の名前を変えてプラグインを停止する方法が載っています。サーバー会社のファイルの管理画面でも同じ操作ができる場合があります。ただし、止めている間はログインの守りが外れます。バックアップを取り、設定をした制作会社などと一緒に進め、ログインできたらすぐにプラグインを元に戻して設定を確かめます。パスワードを忘れた場合など、ほかの原因でログインできないときの確認はWordPress にログインできない原因と対処にまとめています。

社内での運用のルール

二段階認証は、入れたあとの運用で効果が変わります。次の点を社内のルールとして決め、更新の手順書に書いておきます。

アカウントと端末の決め方

• アカウントは 1 人に 1 つ：IPA の解説書は、同一のアカウントを複数人で共用しないことを挙げています。共用のアカウントに二段階認証を入れると、1 台のスマートフォンを回したり、コードを口頭で伝えたりすることになり、守りの意味が薄れます。
• 登録する端末を決める：会社のスマートフォンか、個人のスマートフォンかを決めます。個人の端末を使う場合は、退職のときに登録を消してもらう手順も決めます。
• 制作会社のアカウントにも入れる：保守を任せている会社の管理者アカウントも、二段階認証の対象にします。担当者ごとにアカウントを分けてもらいます。

パスワードと予備のコードの扱い

• パスワードは使い回さない：総務省のサイトは、パスワードを複数のサービスで使い回さないこと、流出した事実がなければ定期的な変更は必要ないこと、パスワード管理のツールの活用を挙げています。二段階認証を入れても、パスワードは推測されにくいものにします。
• 予備のコードの保管場所を決める：スマートフォンの中だけに保存すると、端末をなくしたときに一緒に使えなくなります。パスワード管理のツールや、鍵のかかる場所など、端末とは別の場所に保管します。

人の入れ替わりのとき

• 機種変更の前に移し替える：古い端末が使えるうちに、新しい端末で設定し直します。
• 退職・異動のとき：WordPress のアカウントを削除するか権限を外し、二段階認証の登録も無効にします。サーバーやドメインの管理画面など、ほかのサービスの二段階認証の登録先も確かめます。引き継ぎの全体の流れはホームページの引き継ぎ手順を参考にしてください。
• 定期的に点検する：二段階認証を設定していないユーザーが残っていないかを、ユーザーの一覧と合わせて確かめます。点検の項目はWordPress セキュリティ診断の記事も参考になります。

制作会社・保守会社に任せる場合

プラグインの選定や、締め出されたときのサーバー側の作業は、社内だけでは進めにくい部分です。制作会社や保守会社に依頼する場合は、次の点を最初に決めておきます。

• どのプラグインを入れ、どの方式を使い、どの権限グループに必須にするか
• 社内の誰が予備のコードを保管するか
• 担当者が締め出されたときに、誰に連絡し、誰が解除するか
• プラグインの更新と、更新後のログインの確認を誰が行うか

フェニックスデザインのWEBサイト運用保守では、保守スタンダード（月30,000円〜、税別）にログイン保護・改ざん検知・WAF設定などのセキュリティ強化を含めています。他社が制作したサイトは、初回に現状診断（別途お見積り）を行ってから引き継ぎます。社内で設定と運用を続けるのが難しい場合の選択肢として検討してください。

よくあるご質問

二段階認証を入れれば、パスワードは簡単なものでもよいですか？

よくありません。二段階認証は、パスワードが漏れたときの被害を防ぐための追加の守りです。パスワードが簡単だと、2 回目の確認だけに頼ることになります。推測されにくく、ほかのサービスと使い回さないパスワードにしたうえで、二段階認証を組み合わせます。

編集者や投稿者にも二段階認証は必要ですか？

WordPress の公式ドキュメントは、管理者と強い権限を持つユーザーのすべてに有効にするよう勧めています。編集者は他人の記事や固定ページを公開・削除できるので、管理者と同じく対象にするのが安全です。投稿者や寄稿者は、人数や運用の手間を見て決めます。

社員の個人のスマートフォンに認証アプリを入れてもらってもよいですか？

社内のルールで認められていれば使えます。その場合は、本人の同意、機種変更や退職のときの手順、予備のコードの保管を決めておきます。個人の端末を業務に使うことの扱いは会社ごとに違うので、情報システムの担当や総務の規程に合わせてください。

二段階認証を入れていれば、乗っ取られることはありませんか？

ないとは言えません。偽のログイン画面でコードまでだまし取る手口や、プラグインの脆弱性を突かれる場合があります。本体とプラグインの更新、使っていないプラグインの削除、バックアップと組み合わせて守ります。乗っ取りが疑われる場合は、ホームページ改ざん・WordPress 乗っ取りの対処の手順で対応します。

まとめ

• WordPress の本体には二段階認証が標準で入っていないため、プラグインなどで追加します。公式ドキュメントは、管理者と強い権限を持つユーザーのすべてに有効にするよう勧めています。
• 方式は、認証アプリ・メール・SMS・パスキー・セキュリティキーなどがあり、どの方式でも予備のコードを用意します。
• 導入は管理者 1 人で試してから広げ、別の管理者がログインした状態を保って進めます。
• 締め出されたときは、予備のコード、別の管理者による解除、サーバー側でのプラグインの停止の順に試します。解除の依頼は本人からかを確かめます。
• アカウントの共用をやめ、端末・予備のコード・退職のときの手順を社内のルールにしておきます。