「WordPressサイトのセキュリティが心配」
「不正ログインされたらどうしよう」
「wp-adminやwp-login.phpを隠したいけど、どうすればいい?」
そんな不安を抱えていませんか?
実は、WordPressのログインURL(wp-adminやwp-login.php)は、デフォルトのままだと誰でも簡単にアクセスできてしまいます。これは大きなセキュリティリスクです。
この記事では、WordPressのログインURLを変更して、不正アクセスから守る方法を詳しく説明します。
この記事で分かること:
- なぜログインURLを変更すべきか
- デフォルトログインURLのリスク
- プラグインで簡単に変更する方法(3つ紹介)
- プラグインなしで変更する方法
- 変更後の注意点と追加のセキュリティ対策
それでは、順番に見ていきましょう!
なぜWordPressのログインURLを変更すべきか
WordPressのデフォルトログインURL
WordPressをインストールすると、ログイン画面のURLは必ず以下のいずれかになります。
https://あなたのドメイン/wp-admin
https://あなたのドメイン/wp-login.php
つまり、誰でも簡単にあなたのログイン画面にアクセスできてしまいます。
例えば:
- あなたのサイトが
example.comの場合 example.com/wp-adminまたはexample.com/wp-login.phpにアクセスすれば、ログイン画面が表示される
不正ログインのリスク
ログイン画面のURLが公開されていると、以下のような攻撃を受けやすくなります。
リスク1:ブルートフォースアタック(総当たり攻撃)
攻撃者が、様々なユーザー名とパスワードの組み合わせを自動的に試してログインを試みる攻撃です。
こんな風に攻撃されます:
- ログインURLにアクセス
- よくあるユーザー名(admin、user、管理者など)を入力
- よくあるパスワードを自動で何千通りも試す
- いずれかが当たればログイン成功
リスク2:不正ログインによる被害
もし不正ログインされてしまうと:
- サイトの改ざん
- コンテンツが書き換えられる
- 悪意のあるコードが埋め込まれる
- データの削除
- 記事、画像、設定がすべて削除される
- バックアップがないと復旧不可能
- マルウェアの配布
- あなたのサイトからウイルスを配布
- 訪問者のPCを感染させる
- スパムメールの踏み台
- あなたのサーバーからスパムメールを大量送信
- あなたが加害者になる
- SEOスパム
- 隠しリンクを大量に埋め込まれる
- Googleからペナルティを受ける
ログインURL変更の効果
ログインURLを変更すると:
- 攻撃者がログイン画面にたどり着けない
- ブルートフォースアタックを防げる
- サーバーの負荷が減る(無駄なログイン試行が減る)
- 不正ログインのリスクが大幅に減少
ただし、完璧ではありません。
高度なスキルを持つ攻撃者は、サイトを分析してログインページを見つけることもあります。そのため、パスワード強化やその他のセキュリティ対策も併用することが重要です。
【おすすめ】プラグインでログインURLを変更する方法
初心者の方には、プラグインを使った方法が最もおすすめです。
おすすめプラグイン3選
- WPS Hide Login(最もシンプル・初心者向け)
- SiteGuard WP Plugin(日本製・多機能)
- Login Rebuilder(上級者向け・権限別URL設定可能)
それぞれの特徴と設定方法を詳しく説明します。
方法1:WPS Hide Login(最もおすすめ)
WPS Hide Loginの特徴
メリット:
- 設定が非常に簡単
- 軽量で動作が速い
- インストール数が多く信頼性が高い
- 日本語対応
デメリット:
- ログインURL変更機能のみ(他のセキュリティ機能はない)
こんな人におすすめ:
- WordPressの初心者
- とにかく簡単にログインURLを変更したい人
- シンプルなプラグインが好きな人
WPS Hide Loginの設定手順
ステップ1:プラグインをインストール
- WordPress管理画面にログイン
- 左メニューから「プラグイン」→「新規プラグインを追加」をクリック
- 検索ボックスに「WPS Hide Login」と入力
- 表示されたプラグインの「今すぐインストール」をクリック
- 「有効化」をクリック
ステップ2:ログインURLを設定
- 左メニューから「設定」→「WPS Hide Login」をクリック
- 設定画面が開く
- 「Login url」の欄に、新しいログインURLにしたい文字列を入力
例:
my-secure-login
company-admin
login2024
注意:
- 推測されやすい単語は避ける(login、admin、wp-adminなど)
- 他人に推測されにくい文字列にする
- 記号や数字を組み合わせると良い
- 「Redirection url」(オプション)にリダイレクト先のURLを入力
デフォルトのログインURL(wp-adminやwp-login.php)にアクセスした人をどこに飛ばすか設定できます。
おすすめの設定:
- 404ページ(存在しないページ)
- サイトのトップページ
- 「変更を保存」をクリック
ステップ3:新しいURLを確認
- 設定が完了すると、新しいログインURLが表示される
例:https://あなたのドメイン/my-secure-login
- 必ずブックマークに保存する
新しいURLを忘れると、ログインできなくなります!
- 一度ログアウトして、新しいURLでログインできるか確認
ステップ4:古いURLが使えないか確認
- ブラウザで
https://あなたのドメイン/wp-adminにアクセス - 404エラーまたは設定したリダイレクト先に飛ばされればOK
- ログイン画面が表示されたら設定失敗(もう一度確認)
方法2:SiteGuard WP Plugin(日本製・多機能)
SiteGuard WP Pluginの特徴
メリット:
- 日本製で完全日本語対応
- ログインURL変更だけでなく、多くのセキュリティ機能がある
- 画像認証(CAPTCHA)機能
- ログイン履歴の記録
- 無料で使える
デメリット:
- 機能が多いため、設定項目も多い
- WPS Hide Loginより少し重い
こんな人におすすめ:
- 日本語のサポートが欲しい人
- ログインURL変更以外のセキュリティ対策もしたい人
- 画像認証を追加したい人
SiteGuard WP Pluginの設定手順
ステップ1:プラグインをインストール
- WordPress管理画面にログイン
- 左メニューから「プラグイン」→「新規プラグインを追加」をクリック
- 検索ボックスに「SiteGuard WP Plugin」と入力
- 表示されたプラグインの「今すぐインストール」をクリック
- 「有効化」をクリック
重要:
プラグインを有効化すると、自動的にログインURLが変更されます。
変更後のURLが記載されたメールが管理者アドレスに届くので、必ず確認してください。
ステップ2:ログインURLを確認・変更
- 左メニューから「SiteGuard」をクリック
- 「ログインページ変更」をクリック
- 現在のログインURLが表示される
初期設定では login_12345(5桁の乱数)のような形式です。
- 「変更後のログインページ名」を自分の好きな文字列に変更できます
例:
secure-entrance
my-dashboard
admin-portal-2024
- 「管理者ページからログインページへリダイレクトしない」をONにする
これが重要!
OFFのままだと、/wp-admin/にアクセスするとログインページにリダイレクトされ、URLを隠した意味がなくなります。
- 「変更を保存」をクリック
ステップ3:新しいURLをブックマーク
- 新しいログインURL:
https://あなたのドメイン/変更したURL - 必ずブックマークに保存
- 管理者宛のメールにもURLが記載されています
ステップ4:その他のセキュリティ機能を設定(任意)
SiteGuard WP Pluginには他にも便利な機能があります:
1. 画像認証(CAPTCHA)
- ログイン時に画像の文字を入力させる
- ボット(自動プログラム)による攻撃を防ぐ
2. ログイン詳細エラーメッセージの無効化
- ログイン失敗時に「ユーザー名が間違っています」などの詳細を表示しない
- 攻撃者にヒントを与えない
3. ログインロック
- 一定回数ログインに失敗すると、そのIPアドレスを一時的にロック
4. ログインアラート
- ログインがあると管理者にメールで通知
これらの機能も併せて有効にすると、さらにセキュリティが向上します。
方法3:Login Rebuilder(上級者向け)
Login Rebuilderの特徴
メリット:
- 権限ごとに異なるログインURLを設定できる
- 著者IDを隠せる
- ログ保存機能
- 細かいカスタマイズが可能
デメリット:
- 設定項目が多く、初心者には難しい
- 他のプラグインと競合する可能性
こんな人におすすめ:
- 複数のユーザーでサイトを運営している
- 権限別にログインURLを分けたい
- より高度なセキュリティ対策をしたい
Login Rebuilderの設定手順(基本編)
ステップ1:プラグインをインストール
- WordPress管理画面にログイン
- 左メニューから「プラグイン」→「新規プラグインを追加」をクリック
- 検索ボックスに「Login Rebuilder」と入力
- 表示されたプラグインの「今すぐインストール」をクリック
- 「有効化」をクリック
ステップ2:基本設定
- 左メニューから「設定」→「ログインページ」をクリック
- 設定画面が開く
ステップ3:ログインURLを設定
「無効な要求時の応答」
デフォルトのログインURLにアクセスされた時の動作を設定します。
おすすめ:「サイトトップへリダイレクト」
「ログインファイル」
新しいログインURLを設定します。
デフォルトは your-login.php ですが、推測されにくいものに変更してください。
例:
my-secure-access.php
admin-entrance-2024.php
company-portal.php
注意:
- 必ず
.phpで終わる - 英数字とハイフンのみ使用
ステップ4:変更を保存
- 「変更を保存」をクリック
- 新しいログインURL:
https://あなたのドメイン/設定したファイル名.php - 必ずブックマークに保存
ステップ5:権限別ログインURLの設定(任意)
Login Rebuilderの強力な機能です。
- 設定画面で「ステータス」を確認
- 各権限(管理者、編集者、投稿者など)ごとに異なるログインURLを設定できます
例:
- 管理者:
admin-login-secret.php - 編集者:
editor-access.php - 投稿者:
author-login.php
これにより、権限の低いユーザーが管理者のログインURLにアクセスできなくなります。
プラグインなしでログインURLを変更する方法
注意:上級者向け
プラグインなしの方法は、以下のような方がおすすめです:
- WordPressの構造を理解している
- PHPやサーバー設定の知識がある
- FTPやファイルマネージャーの操作に慣れている
初心者の方は、プラグインを使う方法を強く推奨します。
失敗すると、サイトが表示されなくなったり、管理画面にログインできなくなる可能性があります。
方法1:.htaccessを編集する
必要なもの:
- FTPソフト(FileZillaなど)またはサーバーのファイルマネージャー
- .htaccessファイルの編集権限
手順:
ステップ1:バックアップを取る
必ず.htaccessファイルのバックアップを取ってください。
ステップ2:.htaccessを編集
- FTPソフトまたはサーバーのファイルマネージャーでサーバーに接続
- WordPressがインストールされているディレクトリに移動
通常は public_html ディレクトリ
.htaccessファイルを探す- .htaccessファイルをダウンロード(バックアップ)
- .htaccessファイルを開いて編集
- ファイルの先頭(
# BEGIN WordPressの前)に以下のコードを追加
<IfModule mod_rewrite.c>
RewriteEngine On
# 新しいログインURLの設定
RewriteRule ^新しいログインURL/?$ /wp-login.php?あなたの秘密キー [QSA,L]
# wp-adminへのアクセスを制限
RewriteCond %{SCRIPT_FILENAME} !^(.*)admin-ajax\.php
RewriteCond %{HTTP_REFERER} !^(.*)あなたのドメイン/wp-admin
RewriteCond %{HTTP_REFERER} !^(.*)あなたのドメイン/wp-login\.php
RewriteCond %{HTTP_REFERER} !^(.*)あなたのドメイン/新しいログインURL
RewriteCond %{QUERY_STRING} !^あなたの秘密キー
RewriteCond %{QUERY_STRING} !^action=logout
RewriteCond %{QUERY_STRING} !^action=rp
RewriteCond %{QUERY_STRING} !^action=register
RewriteCond %{QUERY_STRING} !^action=postpass
RewriteCond %{HTTP_COOKIE} !^.*wordpress_logged_in_.*$
RewriteRule ^.*wp-admin/?|^.*wp-login\.php https://あなたのドメイン/? [R=302,L]
</IfModule>
設定項目:
新しいログインURL:あなたが設定したいログインURL(例:my-login)あなたの秘密キー:推測されにくいランダムな文字列(例:jK9mP3xQ7zR)あなたのドメイン:実際のドメイン(例:example.com)
- 編集したファイルをサーバーにアップロード
- 新しいログインURLでアクセスできるか確認
新しいログインURL:
https://あなたのドメイン/新しいログインURL
ステップ3:動作確認
- 新しいURLでログインできるか確認
- 古いURL(wp-admin、wp-login.php)でログインできないか確認
- 問題があれば、バックアップした.htaccessファイルに戻す
方法2:functions.phpとカスタムログインファイルを作成
さらに高度な方法です。
詳細な手順は省略しますが、大まかな流れは:
- 新しいログイン用のPHPファイルを作成
- functions.phpにカスタムコードを追加
- wp-login.phpへのアクセスを制限
この方法は、PHPの知識が必要です。
初心者の方は、プラグインを使うことを強くおすすめします。
変更後の重要な注意点
注意点1:新しいURLを忘れない
絶対にブックマークしてください!
新しいログインURLを忘れると、自分もログインできなくなります。
おすすめの保存方法:
- ブラウザのブックマークに保存
- パスワード管理ツール(LastPass、1Passwordなど)に保存
- 紙にメモして安全な場所に保管
- メールで自分に送信
注意点2:他の管理者に共有
複数人でサイトを管理している場合は、新しいログインURLを必ず共有してください。
セキュアな共有方法:
- 暗号化されたメッセージアプリで送る
- 対面で伝える
- パスワード管理ツールで共有
避けるべき方法:
- メールで平文で送る
- SNSのDMで送る
- 公開された場所に書く
注意点3:プラグインの削除に注意
WPS Hide LoginやSiteGuard WP Pluginを削除すると、ログインURLが元に戻ります。
プラグインを削除する前に:
- 新しいログインURLを確認
- 必要ならデフォルトのURLに戻す設定をする
- または、別のプラグインに切り替える
注意点4:キャッシュプラグインとの競合
キャッシュプラグイン(WP Super Cache、W3 Total Cacheなど)を使っている場合、ログインURLが正しく動作しないことがあります。
対処法:
- キャッシュをクリア
- ログインページをキャッシュ対象から除外
注意点5:サーバー移転時の注意
サーバーを移転する場合:
- プラグインの設定を確認
- .htaccessファイルも移行
- 新しいサーバーで動作確認
その他のWordPressセキュリティ対策
ログインURLの変更だけでは、完璧なセキュリティ対策にはなりません。
併せて実施すべきセキュリティ対策
1. 強力なパスワードを使う
弱いパスワードの例(絶対ダメ):
- password
- 123456
- admin
- 自分の名前や誕生日
強力なパスワードの条件:
- 12文字以上
- 大文字・小文字・数字・記号を組み合わせる
- 辞書にある単語を使わない
例:
G8#mK2$pL9@xR5!w
2. ユーザー名を”admin”から変更
デフォルトのユーザー名「admin」は攻撃されやすいです。
変更方法:
- 新しい管理者アカウントを作成
- 新しいアカウントでログイン
- 古い「admin」アカウントを削除
3. 二段階認証を導入
パスワード+スマホの認証コードでログイン。
おすすめプラグイン:
- Google Authenticator
- Two Factor Authentication
4. ログイン試行回数を制限
おすすめプラグイン:
- Limit Login Attempts Reloaded
一定回数ログインに失敗すると、そのIPアドレスを一時的にブロックします。
5. WordPressとプラグインを常に最新に
古いバージョンには脆弱性があります。
定期的に更新:
- WordPress本体
- すべてのプラグイン
- テーマ
6. SSL化(HTTPS)
通信を暗号化してデータの盗聴を防ぎます。
7. 定期的なバックアップ
万が一の時に備えて、定期的にバックアップを取りましょう。
おすすめプラグイン:
- UpdraftPlus
- BackWPup
8. ファイルのパーミッション設定
適切なパーミッションでファイルを保護します。
推奨設定:
- ディレクトリ:755
- ファイル:644
- wp-config.php:600
トラブルシューティング
問題1:新しいURLでログインできない
原因:
- URLの入力ミス
- プラグインの設定ミス
- .htaccessの記述ミス
- サーバーのmod_rewriteが無効
対処法:
- URLが正しいか確認(大文字・小文字、スペルミス)
- プラグインを一度無効化して再度有効化
- .htaccessファイルをバックアップに戻す
- サーバーのmod_rewriteが有効か確認(レンタルサーバー会社に問い合わせ)
問題2:ログインURLを完全に忘れた
対処法:
方法1:プラグインを無効化
FTPまたはファイルマネージャーで、プラグインを無効化します。
- FTPでサーバーに接続
/wp-content/plugins/に移動- ログインURL変更プラグインのフォルダ名を変更(例:
wps-hide-login→wps-hide-login-old) - デフォルトのログインURL(wp-admin)でログイン
- プラグインの設定を確認または削除
方法2:データベースから設定を削除
phpMyAdminで該当プラグインの設定を削除します。
上級者向けの方法です。
問題3:ログインはできるが、管理画面が表示されない
原因:
- キャッシュプラグインとの競合
- .htaccessの設定ミス
対処法:
- キャッシュをクリア
- .htaccessの該当コードを一時的にコメントアウト
- プラグインを一つずつ無効化して原因を特定
問題4:404エラーが表示される
原因:
- パーマリンク設定の問題
- .htaccessの問題
対処法:
- WordPress管理画面から「設定」→「パーマリンク設定」を開く
- 「変更を保存」をクリック(設定を変更しなくても再保存)
- これで.htaccessが再生成される
よくある質問(FAQ)
Q1. ログインURLを変更すると、SEOに影響はある?
A. いいえ、影響ありません。
ログインURLは管理画面用のURLなので、検索エンジンには関係ありません。
Q2. 複数のサイトで同じログインURLを使っても大丈夫?
A. 可能ですが、おすすめしません。
一つのサイトのログインURLがバレると、他のサイトも危険にさらされます。
サイトごとに異なるログインURLを設定することをおすすめします。
Q3. ログインURLを変更したら、ログイン履歴は残る?
A. はい、残ります。
ログインURLを変更しても、ログイン履歴やログイン試行のログは通常通り記録されます。
Q4. プラグインとプラグインなし、どちらがセキュアい?
A. 正しく設定されていれば、セキュリティレベルは同等です。
ただし、プラグインの方が:
- 設定ミスのリスクが低い
- メンテナンスが楽
- 初心者でも安全
プラグインなしの方法は、上級者向けです。
Q5. レンタルサーバーでも使える?
A. はい、ほとんどのレンタルサーバーで使えます。
対応レンタルサーバー(例):
- エックスサーバー
- ロリポップ
- さくらインターネット
- ConoHa WING
- mixhost
ただし、一部の格安サーバーでは.htaccessやmod_rewriteが使えない場合があります。
Q6. ログインURLを変更すると、アクセス解析に影響はある?
A. いいえ、影響ありません。
Google AnalyticsやSearch Consoleなど、アクセス解析ツールには影響しません。
Q7. ログインURLの変更だけで100%安全?
A. いいえ、100%安全ではありません。
ログインURLの変更は、セキュリティ対策の一つに過ぎません。
併せて実施すべき対策:
- 強力なパスワード
- 二段階認証
- ログイン試行回数制限
- WordPressの定期更新
- バックアップ
これらを組み合わせることで、より安全なサイトになります。
まとめ:WordPressのログインURLを変更してセキュリティ強化
WordPressのログインURL(wp-admin、wp-login.php)を変更する方法について、詳しく説明してきました。
この記事の重要ポイント
なぜログインURLを変更すべきか:
- デフォルトのログインURLは誰でも知っている
- ブルートフォースアタック(総当たり攻撃)のリスクがある
- 不正ログインされるとサイトが乗っ取られる
- ログインURL変更で攻撃を大幅に減らせる
おすすめの変更方法(プラグイン):
- WPS Hide Login(最もおすすめ・初心者向け)
- 設定が簡単
- 軽量で動作が速い
- ログインURL変更機能のみ
- SiteGuard WP Plugin(日本製・多機能)
- 完全日本語対応
- 画像認証やログイン履歴など多機能
- セキュリティ全般を強化したい人向け
- Login Rebuilder(上級者向け)
- 権限別にログインURLを設定可能
- 細かいカスタマイズができる
プラグインなしの方法:
- .htaccessを編集
- functions.phpとカスタムファイルを作成
- 上級者向け(失敗すると危険)
変更後の注意点:
- 新しいURLを必ずブックマーク
- 他の管理者に共有
- プラグイン削除時は元に戻る
- キャッシュプラグインとの競合に注意
その他のセキュリティ対策も併用:
- 強力なパスワード
- ユーザー名を”admin”から変更
- 二段階認証
- ログイン試行回数制限
- WordPressとプラグインの定期更新
- SSL化(HTTPS)
- 定期的なバックアップ
最後に
WordPressのログインURLを変更することは、セキュリティ対策の重要な第一歩です。
設定自体は、プラグインを使えば5分程度で完了します。
今すぐ実行すべきアクション:
- WPS Hide LoginまたはSiteGuard WP Pluginをインストール
- ログインURLを変更
- 新しいURLをブックマークに保存
- 動作確認(古いURLでログインできないか確認)
- 強力なパスワードに変更
- 二段階認証を導入
これらの対策を実施することで、あなたのWordPressサイトは格段に安全になります。
セキュリティは後回しにしがちですが、被害を受けてからでは遅いです。
特に、記事やデータが増えてからセキュリティ事故に遭うと、復旧が非常に困難です。
今日から、ログインURLの変更とその他のセキュリティ対策を実施して、安心してサイト運営を続けましょう!
この記事が、あなたのWordPressサイトのセキュリティ向上に役立てば幸いです。

コメント