私のような小さなブログにも、不審なアクセスがあったことをきっかけに、WordPressのセキュリティ対策を見直しました。
そこで、セキュリティプラグイン「Wordfence Security」を使い、パスキーに加えて2段階認証を導入しました。
2つの認証方法を取り入れることで、ログインの利便性を保ちながら、WordPressの不正ログイン対策を強化できます。
この記事では、Wordfence Securityを使った2段階認証の設定方法を、画像付きで初心者にも分かりやすく解説します。
ぜひ最後までご覧ください。
WordPressに2段階認証を設定する理由
WordPressのログインを保護する方法として、パスキーと2段階認証があります。
パスキーは、顔認証や指紋認証、PINコードなどを使ってログインできる便利な認証方法です。
しかし、パスキーを登録した端末が故障したり、紛失したりすると、ログインできなくなる可能性があります。
また、通常のパスワードだけでログインできる状態を残しておくと、パスワードが第三者に知られた場合、不正ログインのリスクがあります。
そこで、私はパスキーに加えて、Wordfence Securityの2段階認証も導入しました。
2段階認証とは、パスワードに加えて、認証アプリに表示される6桁の確認コードを入力してログインする方法です。
パスワードが漏洩した場合でも、認証アプリによる確認が必要になるため、不正ログインのリスクを減らせます。
ユーザー名とパスワードでログインする場合は、追加で6桁の認証コードを入力する必要があります。
一方、パスキーでログインする場合は、認証コードの入力は必要ありません。パスキー自体で本人確認を行います。
パスキーと2段階認証は、それぞれ異なる認証方法です。併用することで、ログインの利便性を保ちながら、WordPressのセキュリティをさらに強化できます。
大切なブログを守るためにも、複数の認証方法を組み合わせて対策しておきましょう。
Wordfence Securityの導入方法やパスキーの設定方法については、こちらの記事をご覧ください。
WordPressの2段階認証にはどんな方法がある？
WordPressの2段階認証を設定する方法は、ひとつではありません。
2段階認証に特化したプラグイン（Two-Factorなど）を利用する方法や、セキュリティ機能を備えたプラグインを利用する方法などがあります。
今回は、パスキーやファイアウォールなどのセキュリティ機能も備えている「Wordfence Security」を使用します。
すでにWordfence Securityを導入している方なら、新たに2段階認証専用のプラグインを追加する必要がなく、まとめてセキュリティ対策を進められます。
Wordfence Securityで2段階認証を設定する方法
ここからは、Wordfence Securityを使ってWordPressに2段階認証を設定する方法を解説します。
Google Authenticator をスマホにインストールする
まずは、2段階認証に使用する認証アプリ「Google Authenticator」をスマホにインストールしておきます。
今回は、Google Authenticatorを使用して設定を進めます。
Wordfenceのログインセキュリティを開く
WordPressの管理画面から、以下の順番で進みます。
「Wordfence」→「ログインセキュリティ」をクリック
画面上部の「自分の2FA」をクリック
「LOGIN SECURITYの設定を管理」をクリック
2段階認証を有効にする
設定画面を下にスクロールします。
「二要素認証」の項目にある「2FAを有効化」をONにします。
次に、「一般」の項目で猶予期間が10日になっていることを確認します。
猶予期間とは？
猶予期間とは、2段階認証を「必須」に設定されたユーザーが、設定を完了するまでに与えられる期間のことです。
猶予期間を過ぎても設定が終わっていない場合は、ログインできなくなってしまいます。
ただし、管理者には猶予期間が自動で適用されません。
そのため、先に自分の2段階認証を有効にしてから、管理者を「必須」に設定することが大切です。
この記事でも、この順番で設定を進めていきます。
確認できたら「変更を保存」をクリックします。
リカバリーコードを保存する
続いて、画面上部の「自分の2FA」タブをクリックします。
右側にあるリカバリーコードを「ダウンロード」をクリックして、リカバリーコードを保存します。
リカバリーコードは全部で5つ発行されます。
スマホを紛失したり、認証アプリが使えなくなったりした場合に、通常の6桁の認証コードの代わりに入力してログインできます。
リカバリーコードに有効期限はありませんが、それぞれ1回だけ使用できます。
私は念のため、ダウンロードしたファイルだけでなく、スマホで写真を撮ったりメモに残したりしました。
スマホを紛失したときに、リカバリーコードまで一緒に使えなくなってしまわないよう、保管場所を分けておくと安心です。
リカバリーコードは、いざというときに役立つ大切なものです。第三者に見られないよう、安全な場所に保管しておきましょう。
Google AuthenticatorでQRコードを読み取る
次に、スマホでGoogle Authenticatorアプリを開きます。
以下の手順でQRコードを読み取ります。
- 画面右下の「＋」マークをタップ
- 「QRコードをスキャン」を選択
- Wordfenceの設定画面に表示されている左側のQRコードを読み取る
読み取りが完了すると、AuthenticatorにWordPress用の認証コードが表示されます。
6桁の認証コードを入力して有効化する
Authenticatorに表示された6桁の認証コードを、Wordfenceの設定画面右下にある入力欄に入力します。
入力できたら「有効化」をクリックします。
これで、認証アプリとの連携が完了します。
管理者に2段階認証を必須にする
最後に、WordPressの管理者アカウントで2段階認証が必須になるように設定します。
画面上部の「設定」タブをクリック
「二要素認証」の項目を確認し、「Administrator」を「必須」にします。
右上の「変更を保存」をクリック
これで、管理者アカウントに2要素認証が有効になりました。
なぜ、Administrator（管理者）だけでいいの？
管理者はWordPressの設定変更やプラグインの操作、ユーザー管理など、サイト全体を操作できる権限を持っています。
そのため、まずは管理者アカウントを2段階認証で保護することが重要です。
| ユーザー権限 | 設定のおすすめ |
|---|---|
| Administrator（管理者） | 必須 |
| Editor（編集者） | 必要に応じて必須 |
| Author（投稿者） | 必要に応じて必須 |
| Contributor（寄稿者） | 必要に応じて必須 |
| Subscriber（購読者） | 通常は任意 |
ログインテストを行う
設定が完了したら、実際にログインできるかテストしておきましょう。
WordPressのログイン画面から、いつもどおりユーザー名とパスワードを入力し、ログインをクリックします。
すると、Wordfenceの2FAコードの入力が求められます。
Authenticatorアプリを開き、表示されている6桁のコードを入力してログインできることを確認しましょう。
パソコンだけでなく、スマホからもログインテストをしておくと安心です。
Wordfenceの2段階認証設定は完了！
お疲れさまでした！
これでWordPressの管理者アカウントに2段階認証を設定できました。
2段階認証を設定すると、ログイン時にパスワードだけでなく、認証アプリに表示されるコードも必要になります。
万が一パスワードが第三者に知られてしまった場合でも、不正ログインのリスクを減らすことができます。
大切なブログを守るためにも、ぜひ設定しておきましょう。
まとめ｜WordPressの2段階認証で不正ログイン対策を強化しよう
今回は、Wordfence Securityを使ったWordPressの2段階認証の設定方法を解説しました。
設定のポイントをおさらいしましょう。
- Authenticatorアプリをスマホにインストールする
- Wordfenceのログインセキュリティから2段階認証を有効にする
- リカバリーコードを保存する
- 管理者アカウントに2段階認証を必須にする
- 実際にログインできるかテストする
2段階認証を設定すると、通常のパスワードに加えて、認証アプリに表示される6桁のコードが必要になります。
パスキーと組み合わせて利用することで、ログインの利便性を保ちながら、WordPressの不正ログイン対策を強化できます。
大切なブログを守るためにも、Wordfence Securityを活用して、できることからセキュリティ対策を進めていきましょう。
ブログを不正なアクセスから守るWAF設定についてはこちらの記事で解説しています。
