WordPress公式のHardening資料でも、強いパスワードと二段階認証は重要な対策として紹介されています。ただし、強いパスワードは「入口のひとつ」を守る対策です。
たとえば、古い管理者アカウントが残っている、共有アカウントを複数人で使っている、すでに不審な管理者が作られている、という状態では、あなたのパスワードだけ強くしても不安は残ります。
ログイン保護は、何層かに分けて考える
推測されにくいパスワード
屋号、サイト名、誕生日、電話番号、短い単語を含むパスワードは避けます。ブラウザやパスワード管理ツールで生成した長い文字列を使うほうが安全です。
二段階認証
パスワードが漏れても、追加の認証がなければ入れない状態にします。管理者アカウントには特に有効です。
ログイン試行の制限
何度もパスワードを試す攻撃に対して、回数制限や通知を設定します。サーバー側のWordPressセキュリティ設定で制限される場合もあります。
管理者権限の最小化
普段の記事更新だけなら、管理者ではなく編集者で足りることがあります。必要な人だけに強い権限を渡すことが大切です。
「admin」や屋号そのままのユーザー名は避けましょう。
攻撃者は、よく使われるユーザー名から試します。既存サイトですぐ変更できない場合もありますが、新しい管理者を作る時は、推測されにくいユーザー名にしておくと入口をひとつ減らせます。
管理者ユーザーの見直しポイント
ログインできる場合は、まず「誰が管理者なのか」を確認してください。小規模サイトでは、制作時のアカウント、退職者、昔の外注先、テスト用ユーザーが残っていることがあります。
- 覚えのない管理者ユーザーがいないか
- 使っていない古いアカウントが管理者のまま残っていないか
- 複数人で同じ管理者アカウントを共有していないか
- メールアドレスが現在使えるものになっているか
- 記事更新だけの人に管理者権限を渡していないか
削除する時は、投稿者の引き継ぎやバックアップ確認が必要です。分からない場合は、いきなり削除せず相談してください。
ログインできない時に、まずやること
ログインできない時は、焦って何度も試すより、状況を残すことが大切です。サーバー会社のセキュリティ設定により、管理画面アクセスが制限されることもあります。
エラー文、URL、時間、届いたメールを残す
原因がパスワード違いなのか、アクセス制限なのか、プラグインエラーなのかを切り分ける材料になります。
パスワード再発行メールが届くか見る
メールが届かない場合、登録メールの問題、メール送信設定、ユーザー情報の異常などが考えられます。
DB直接編集、管理者追加、復旧PHP実行
正当な所有者・管理者でも、手順を誤るとサイトが止まります。バックアップと本人確認を前提にした作業にしてください。
AI時代は、ログイン攻撃も「雑に大量」が増えやすい
AIによって、文章作成や調査だけでなく、攻撃の試行や偽メール作成も効率化されます。小さなサイトだから関係ない、ではなく、小さなサイトほど基本対策を自動化・習慣化しておくことが大切です。
みまもりサポートでは、異常の整理、危険度の判定、クライアント向け説明文の作成をAIで効率化しながら、管理者復旧のような危険作業は確認済みの流れに限定します。
ログインまわりに少しでも不安がある方へ
ログインできない、知らないユーザーがいる、警告メールが届いた。そんな段階で大丈夫です。まずは無料診断で、危険度と次の一手を整理します。
ログイン不安を無料診断するよくある質問
パスワードを強くすれば十分ですか？
十分とは言い切れません。二段階認証、管理者ユーザーの見直し、不要ユーザー削除、ログイン試行の確認まで合わせると安心につながります。
管理者ユーザーが複数あるのは危険ですか？
必要な人だけなら問題ありません。ただし、使っていない管理者や共有アカウントが残っている場合は見直しが必要です。
ログインできない時に復旧ツールを使ってもいいですか？
正当な所有者・管理者であっても、復旧ツールは危険操作です。バックアップ、本人確認、実行後の削除確認ができる状態で進めるべきです。
参考資料
Next reading
同じテーマで読みたい記事
同じテーマの記事を中心に、次に読むと判断しやすくなる内容を選びました。
