- WordPressでブログ記事を投稿している方
- サイトのセキュリティを高めたい方
こんにちは。zawato（@zawato7）です
WordPressは世界中で広く利用されている便利なCMSですが、その人気ゆえに不正アクセスの標的にもなりやすいという側面があります。
初期設定では、管理画面のログインURLが「/wp-admin/」または「/wp-login.php」に固定されており、このURLさえ知っていれば誰でもログイン画面にアクセスすることができてしまいます。
このままでは、 総当たり攻撃 （ブルートフォース攻撃）などのセキュリティリスクが高まってしまいます。
そこで本記事では、セキュリティ対策の第一歩として「SiteGuard WP Plugin」を使ったWordPress管理画面ログインURLの変更方法を、初心者の方にもわかりやすく解説します。
WordPress管理画面ログインURLの初期設定
WordPressを新規インストールすると、管理画面にログインするためのURLはあらかじめ決まった形で設定されています。
具体的には、次の2つのURLが使えます。
https://<あなたのドメイン>/wp-admin/https://<あなたのドメイン>/wp-login.php
どちらを入力しても同じログイン画面が表示され、ユーザー名とパスワードを入力して管理画面に入れる仕組みになっています。
/wp-admin/ と /wp-login.php の違い
- /wp-admin/ ：管理画面そのものを指すURL
ログイン済みの場合は直接ダッシュボードが表示されます。
ログインしていない場合は、自動的に/wp-login.phpにリダイレクトされます。 - /wp-login.php：ログイン専用のページ
ここからユーザー認証を行い、正しい情報が入力されると/wp-admin/にアクセスできるようになります。
初期設定に潜むリスク
このWordPress管理画面のログインURLの初期設定には、実はセキュリティの観点から大きなリスクがあります。
その理由は、初期状態では全世界のWordPressサイトで同じURLパターン（/wp-admin/ や /wp-login.php）が使われており、このURLさえ知っていれば、誰でもあなたのサイトのログイン画面にアクセスできてしまうからです。
- 公式ドキュメント（リンク）
つまり、悪意のある第三者は、特別な技術がなくてもすぐに入口を見つけられ、総当たり攻撃やパスワードリスト攻撃といった不正ログインのきっかけを与えてしまうことになります。
見つかったからといってすぐ侵入されるわけではありませんが、パスワード総当たり攻撃（ブルートフォース攻撃）や辞書攻撃を試みられるリスクが一気に高まります。
特に、
- パスワードが短い・単純
- ユーザー名が推測されやすい
- ログイン試行回数の制限がない
といった場合、攻撃に成功されてしまうリスクがあります。
セキュリティ対策の第一歩
このリスクを軽減するための方法のひとつが、初期状態のログインURLを変更することです。
これにより、ログインページそのものが見つかりにくくなるため、不正アクセスの試行回数を減らす効果が期待できます。
管理画面ログインURLの変更方法
WordPressのログインURLを変更する方法はいくつかありますが、比較的手軽に行う方法はプラグインを利用することです。
今回は、「SiteGuard WP Plugin」というプラグインを使ったWordPress管理画面ログインURLの変更方法をご紹介します。
①プラグインをインストール・有効化する
WordPress管理画面の左側サイドバーから「プラグイン」→「プラグインを追加」をクリックします。
「プラグインを追加」画面が表示されたら、画面右上の検索ボックスに「SiteGuard WP Plugin」と入力し、対象のプラグインの「今すぐインストール」をクリックします。
プラグインがインストールされたら「有効化」ボタンが表示されるので、クリックします。
これでプラグイン「SiteGuard WP Plugin」をインストール・有効化することができました。
プラグインが問題なくインストール・有効化されていれば、管理画面の左側サイドバーに「SiteGuard」という設定項目が追加されているはずです。
また、「SiteGuard WP Plugin」はインストール・有効化した際にログイン画面のURLが自動的に変更されるかと思います。
※ただし、このタイミングで変更されたログインURLはプラグイン側で勝手に決められたものになっているので、これを任意の文字列に変更した方が管理しやすいです。
管理画面ログインURLを任意の文字列に変更する
左側サイドバーに追加された「SiteGuard」→「ログインページ変更」をクリックします。
ここで「変更後のログインページ名」に入力欄があるので、この欄に任意の文字列を設定することで、次回以降WordPressサイトにログインする際「https://<ドメイン名>/<設定した文字列>」でログインページにアクセスすることができるようになります。
※この設定により、「https://<ドメイン名>/wp-login.php」を使ったログインページへのアクセスはできなくなります。
ただし、「https://<ドメイン名>/wp-admin」でアクセスした場合は、リダイレクトされてログインページが表示されてしまうため、「管理者ページからログインページへリダイレクトしない」にチェックを入れて「変更を保存」をクリックします。
これで「変更後のログインページ名」で設定したURL以外からはログイン画面にアクセスできないようになりました。
ログインページ名を変更したら、変更したログインURLを忘れないようにブックマークをしておくことをオススメします。
おわりに
今回は、WordPressの管理画面にアクセスするためのログインURLを変更する方法をご紹介しました。
WordPressの管理画面ログインURLは初期状態では、/wp-admin/または/wp-login.phpとあらかじめ決められたURLになっており、誰でもWordPressのログイン画面にアクセスできる状態となっています。
不正アクセスのリスクを軽減するためのセキュリティ対策として、ぜひ参考にしてみてください。
お問い合わせは、こちら！
コメント