Hara Daizo 
WordPressの標準ログインURLは推測されやすいため、SiteGuard WP PluginやWPS Hide Loginを使って別のURLへ変更できます。自動攻撃が標準URLへ到達する回数を減らす効果は期待できますが、URL変更だけで不正ログインや脆弱性を防げるわけではありません。
この記事では、WordPressのログインURLを安全に変更する手順、2つのプラグインの違い、新URLを忘れてログインできなくなった場合の戻し方、変更と併用すべきセキュリティ対策を解説します。
WordPressの標準ログインURL
一般的なWordPressサイトでは、ドメインの末尾へ /wp-login.php を付けるとログイン画面を開けます。未ログイン状態で /wp-admin/ へアクセスした場合も、通常はログイン画面へ移動します。
| 用途 | 一般的なURL例 | 補足 |
|---|---|---|
| ログイン画面 | https://example.com/wp-login.php | ユーザー名・パスワードを入力する画面 |
| 管理画面 | https://example.com/wp-admin/ | 未ログインならログイン画面へ転送される |
| サブディレクトリ設置 | https://example.com/wp/wp-login.php | WordPressを設置した場所によって変わる |
サイトURLとWordPress設置場所が違う場合や、すでにセキュリティプラグインで変更済みの場合は、上記と異なります。ログイン画面の探し方や管理メニューの基本は、管理画面とログインURLの基本で確認してください。
ログインURLを変更する効果と限界
ログインURLを変更すると、wp-login.php や wp-admin を機械的に探すアクセスを、実際のログインフォームへ到達しにくくできます。ログには不要な試行が減り、単純な総当たり攻撃の入口を狭められる場合があります。
ただし、ログインURLは秘密鍵ではありません。管理者がメールやチャットで共有したURLが漏れる、ブラウザー履歴やアクセスログに残る、別の経路からユーザー情報を推測される可能性があります。また、古いプラグインや弱いパスワード、権限設定の不備はURLを変えても直りません。
| 期待できること | 期待できないこと |
|---|---|
| 標準URLを狙う自動アクセスの削減 | 脆弱なプラグインへの攻撃防止 |
| ログイン画面への単純な到達を難しくする | 漏えいしたパスワードの無効化 |
| 不要なログ・通知の減少 | マルウェア感染や改ざんの完全防止 |
| 他の認証対策を補助する | URL変更だけで安全を保証する |
ログインURL変更は、更新、強いパスワード、権限管理、ログイン試行制限、二段階認証などと組み合わせる補助策として使います。
ログインURL変更プラグインを比較
代表的な2つは、複数の防御機能をまとめたSiteGuard WP Pluginと、URL変更へ機能を絞ったWPS Hide Loginです。すでに導入しているセキュリティ機能との重複で選びます。
| 項目 | SiteGuard WP Plugin | WPS Hide Login |
|---|---|---|
| 主な役割 | ログインURL変更、画像認証、ロック、通知など複数対策 | ログインURLと転送先の変更に特化 |
| 向いているサイト | 基本的なログイン防御をまとめて設定したい | 別のセキュリティ対策がありURLだけ変えたい |
| コアファイル変更 | 通常はWordPress本体ファイルを直接改変しない | コアファイルを改名・改変せずリクエストを処理 |
| 復旧時 | プラグイン無効化後に標準URLを確認 | 無効化すると通常は標準URLへ戻る |
| 主な注意 | 他のログインURL変更機能との重複、マルチサイト対応 | キャッシュ・CDN・会員機能との相性 |
SiteGuardを含む候補全体は、SiteGuard等のプラグインで機能を比較できます。ログインURL変更プラグインを2つ同時に有効化しないでください。どちらがURLを処理しているか分からなくなり、ログイン不能や転送ループの原因になります。
ログインURLを変更する前の準備
最も多い事故は、新URLを記録しないままログアウトすることです。設定前に、管理者以外の人でも復旧できる情報を残します。
- WordPress全体のバックアップと復元手段
- サーバー管理画面またはFTP・ファイルマネージャーのログイン情報
- 現在有効なセキュリティ・キャッシュ・会員プラグイン
- 新しいログインURLを保存するパスワード管理ツール
- 管理者メールアドレスと別の管理者アカウント
- メンテナンス時間と動作確認用の別ブラウザー
新しいパスは、サイト名や admin だけの短い文字列を避け、推測されにくく入力ミスしにくいものにします。ただし、長いランダム文字列をメール本文へ平文でばらまくのではなく、組織のパスワード管理ルールに沿って共有してください。
SiteGuard WP PluginでログインURLを変更する手順
SiteGuard WP Pluginは、ログインページ変更以外の機能も持ちます。最初にすべてを一括で有効化せず、ログインURL変更だけを設定して動作を確認します。
- 「プラグイン」→「新規プラグインを追加」でSiteGuard WP Pluginを検索する
- 開発元と公式ディレクトリのプラグインであることを確認し、インストール・有効化する
- 管理メニューのSiteGuardから「ログインページ変更」を開く
- 変更機能を有効にし、表示された新しいログインパスを確認・必要に応じて変更する
- 設定を保存し、新URLをパスワード管理ツールへ登録する
- ログイン中の画面を閉じず、別ブラウザーのプライベートウィンドウで新URLを開く
- ログイン成功と標準URLの挙動を確認してから、現在のセッションをログアウトする
画像認証、ログインロック、ログインアラートを追加する場合は、1機能ずつ有効化し、スマートフォン、複数管理者、パスワード再設定、外部連携への影響を確認します。SiteGuard公式の対応環境ではマルチサイトに制約があるため、該当サイトでは導入前に現在の公式説明を確認してください。
WPS Hide LoginでログインURLを変更する手順
WPS Hide Loginは、WordPress本体の wp-login.php を改名せず、指定したURLでログイン画面を開くようリクエストを処理するプラグインです。URL変更だけを小さく導入したい場合に向きます。
- 「プラグイン」→「新規プラグインを追加」でWPS Hide Loginを検索する
- 公式ディレクトリの開発元と更新状況を確認し、インストール・有効化する
- 「設定」→「一般設定」のWPS Hide Login項目へ移動する
- 「Login url」に新しいログインパスを入力する
- 標準ログインURLへ来た人の「Redirection url」を確認する
- 変更を保存し、新URLを安全な場所へ記録する
- 別ブラウザーで新URLからログインできることを確認する
ログイン画面を使う会員プラグイン、EC、キャッシュ、CDN、Web Application Firewallがある場合は、ログイン・ログアウト・パスワード再設定を一通り試します。キャッシュ対象からログイン関連URLを除外する必要がある構成もあります。
ログインURL変更後に行うこと
新URLへ入れることだけで完了ではありません。管理者全員が復旧方法まで共有できているかを確認します。
- 新URLから管理者・編集者がログインできるか確認する
- ログアウト、パスワード再設定、メール内リンクを確認する
- 標準の
/wp-login.phpと/wp-admin/の挙動を確認する - キャッシュ・CDN・WAFの除外設定を確認する
- 監視サービスや保守手順書のログインURLを更新する
- 古いURLをブックマーク・社内資料・自動化ツールから削除する
- バックアップと復旧手順へプラグイン名を記録する
新URLを検索結果へ載せたり、一般公開ページへ書いたりする必要はありません。サイト管理者へは、URLだけでなく利用するアカウント、二段階認証、緊急時の連絡先をまとめて伝えます。
ログインできなくなった場合の戻し方
新URLを忘れた、転送ループが起きた、設定後に画面が開かない場合は、URLを推測し続けずプラグインを一時停止します。作業前にサーバーのバックアップやスナップショットがあることを確認してください。
サーバー管理画面・FTPからプラグインを無効化する
- サーバーのファイルマネージャーまたはFTPへ接続する
wp-content/plugins/を開く- 対象プラグインのフォルダー名を一時的に変更する
- 標準の
/wp-login.phpを別ブラウザーで開く - ログイン後に原因となった設定、キャッシュ、競合を確認する
- フォルダー名を元に戻し、必要なら設定をやり直す
SiteGuardとWPS Hide Loginではフォルダー名が異なります。別のセキュリティプラグインやサーバー側WAFもログインURLを制御している場合は、同時に複数設定を変えず、1つずつ切り分けます。
標準URLへ戻ってもログインできない場合
URL変更以外に、パスワード、Cookie、ユーザー権限、プラグイン競合、サーバー障害が考えられます。症状別の確認はWordPressにログインできない場合へ進み、同じ操作を繰り返してアカウントロックを悪化させないでください。
ログインURL変更と併用すべきセキュリティ対策
URLを隠すより優先度が高いのは、認証情報とソフトウェアを安全に保つことです。WordPressのセキュリティ対策に沿って、次の対策を組み合わせます。
- WordPress本体・テーマ・プラグインを対応範囲内で更新する
- 使っていないテーマ・プラグイン・ユーザーを削除する
- 管理者ごとに個別アカウントを作り、強い固有パスワードを使う
- ログイン試行制限と不審なアクセスの記録を有効にする
- サーバー外を含むバックアップと復元テストを行う
- 管理者に二段階認証の設定を導入する
- WAF、ファイル改ざん検知、通知先を運用に合わせて設定する
対策を増やしすぎると、管理者自身が入れない、APIやフォームが止まる、ログが分散するといった問題も起きます。役割が重複するプラグインを避け、誰が通知を確認し、異常時に何を戻すかまで決めてください。
よくある質問
完全には防げません。標準URLを狙う自動アクセスを減らす補助策です。強いパスワード、二段階認証、更新、試行制限、バックアップと併用してください。
推奨しません。WordPress本体の更新や内部参照を壊す可能性があります。コアファイルを改名せずURLを処理する対応プラグインを使い、復旧手順を確保してください。
サーバーのファイルマネージャーまたはFTPで、ログインURL変更プラグインのフォルダー名を一時変更して無効化します。その後、標準のwp-login.phpを確認し、ログイン後に設定をやり直します。
まとめ
WordPressのログインURLは、SiteGuard WP PluginまたはWPS Hide Loginで変更できます。設定前にバックアップ、サーバーへの接続手段、新URLの保存先を用意し、ログイン中の画面を残したまま別ブラウザーで新URLを確認してください。
URL変更は標準URLを狙うアクセスを減らす補助策であり、単独では十分ではありません。更新、強いパスワード、二段階認証、試行制限、バックアップを組み合わせ、ログイン不能時にプラグインを無効化できる復旧手順まで共有しましょう。