WordPressの二段階認証はどう設定する？家の鍵でわかる仕組みと導入手順

ホームページの更新に使うWordPress。管理画面のログインを、パスワードだけに頼っていませんか。二段階認証は、パスワードが知られた場合にも、追加の確認を求めるための対策です。

この記事では、家の鍵にたとえて仕組みを説明し、Wordfence Securityを使った設定の流れを紹介します。PHPの脆弱性修正とは別の対策であり、PHPやWordPress等の更新と組み合わせて運用します。

「PHPの更新以外に、何をしておけばよい？」

PHPなどのソフトウェアの弱点を直すことと、正規の管理者になりすましたログインを防ぐことは、守っている場所が異なります。今回のPHPの注意喚起については、前の記事をご覧ください。

家の鍵に、もう一つ「本人の確認」を足すイメージ

パスワードだけのログインを、家の鍵一つで玄関を開けることにたとえてみましょう。もし鍵のコピーを他人に持たれたら、その鍵だけで入られるおそれがあります。

二段階認証では、その鍵に加えて、手元のスマートフォンの認証アプリに表示される確認コードも使います。パスワードが漏れても、それだけでは通常ログインを完了できなくする考え方です。

一般に「二段階認証」と呼ばれますが、今回紹介するパスワード＋認証アプリの方式は「二要素認証（2FA）」です。家の二つの鍵はあくまでイメージで、異なる種類の確認を組み合わせる点がポイントです。

ただし、認証コードを偽サイトに入力させる手口や、ログイン済みの状態を盗む攻撃などもあるため、これであらゆる侵入を防げるわけではありません。URLの確認や端末の管理も続けましょう。

設定の例：Wordfence Securityの認証アプリ方式

ここでは、WordPress公式ディレクトリで提供されている「Wordfence Security – Firewall, Malware Scan, and Login Security」を例にします。2FAは無料版でも利用できます。以下は標準のWordPressログイン画面を使うサイトを想定した一般的な流れです。画面の日本語訳やメニュー名は、バージョンによって異なる場合があります。

すでに別の二段階認証機能を利用している場合は、まず既存の機能を確認してください。Wordfenceはログイン認証以外の機能も含むため、既存のセキュリティ対策との重複や、サイト・サーバーとの相性を保守担当者と確認してから導入します。

なお、似た名前の「Wordfence Login Security」単独プラグインは、2026年10月22日の確認時点では公式ディレクトリで新規ダウンロードできません。本記事の新規導入例は、上記の「Wordfence Security」です。出典：単独版の公式掲載ページ

1．スマートフォンと、管理画面へのアクセスを用意する

パソコンではWordPress管理画面を開き、スマートフォンにはGoogle AuthenticatorやMicrosoft Authenticatorなど、TOTP方式に対応する認証アプリを用意します。TOTPは、一定時間で変わる確認コードを作る方式です。会社で使う場合は、会社の端末・アプリ利用ルールに合わせましょう。

2．プラグインを導入し、ログイン設定を開く

管理者権限で「プラグイン」→「新規プラグインを追加」を開き、「Wordfence Security」を検索します。公式掲載ページと名前・提供元を確認してインストールし、有効化します。初期案内が出たら、利用条件等を確認し、無料ライセンスの案内に沿って設定を進めます。すでに導入済みであれば、重ねてインストールする必要はありません。

管理メニューの「Wordfence」→「Login Security（ログインセキュリティ）」から、自分の「My 2FA」または「Two-Factor Authentication」の設定を開きます。メニューが見つからない場合は、権限やバージョンを確認してください。

3．表示されたQRコードを、認証アプリで読み取る

認証アプリの追加ボタンを押し、パソコンの設定画面に表示されているQRコードを読み取ります。アプリに対象サイトの項目と6桁のコードが表示されることを確認しましょう。同じスマートフォンで設定画面も開いている場合は、QRコードの下の設定用キーを手動で登録する方法もあります。

QRコードと設定用キーは、認証コードを作るための大切な情報です。スクリーンショットを公開したり、説明を求められたからと他人に送ったりしないでください。

4．先に「復旧コード」を安全に保管する

設定画面の「Download recovery codes」などの項目から復旧コードを保存します。これは、スマートフォンの紛失・故障などで認証アプリを使えない場合のログインに備えるものです。

スマートフォンの中だけに保存すると、端末を失ったときに一緒に読めなくなる可能性があります。社内で承認されたパスワード管理ツールや、管理された印刷物など、権限のある人だけがアクセスできる保管先を決めましょう。通常の認証コードと同じく、他人に渡さない情報です。

5．6桁のコードを入力して、有効にする

認証アプリに表示されている6桁のコードをWordPress側の入力欄へ入れ、「Activate（有効化）」を押します。コードは短い間隔で変わるため、期限が切れた場合は次のコードで試します。プラグインを有効にしただけでは、個人アカウントの2FA登録が完了しているとは限りません。

6．今の画面は残し、別ウィンドウでログインを試す

最初に設定した管理画面からは、まだログアウトしません。別のブラウザーやシークレットウィンドウでログイン画面を開き、ユーザー名・パスワードの後に認証コードが求められること、コードを入れてログインできることを確認します。

独自のログイン画面、会員機能、他のプラグイン等を利用している場合は、表示や連携が異なることがあります。コード欄が出ない、認証が通らない場合は、元の管理画面を残したまま保守担当者に確認しましょう。手順の根拠：Wordfence公式2FAガイド

翌日からのログインは、何が変わる？

1. いつも通り、ユーザー名とパスワードを入力する。
2. 追加の認証画面が出たら、認証アプリを開く。
3. 対象サイトのコードを入力してログインする。

一人の設定だけで、会社全体が完了するわけではない

2FAは基本的にアカウントごとの設定です。管理者が複数いるなら、各自のアカウントで登録状況を確認します。まず管理者など権限の強い利用者から着手し、編集者や外部の制作担当者も含めて、必要な範囲を決めましょう。

Wordfenceには権限ごとに2FAを必須にする設定もありますが、いきなり全員に必須化せず、登録・復旧手段・ログインの動作確認を済ませてから進めます。スマートフォンの機種変更時の引き継ぎ、退職者の権限削除、緊急時の連絡先も、会社として決めておきたい点です。外部サービスからの記事投稿など、通常と異なる認証経路がある場合は、その経路も別に確認します。

玄関の鍵と、建物の修理。両方を続ける

二段階認証は、管理画面への不正ログインのリスクを減らす対策です。PHP・WordPress本体・テーマ・プラグインの脆弱性を修正する作業の代わりにはなりません。不要なアカウントや過大な権限の整理、更新、バックアップ等と組み合わせて運用します。

更新もログイン管理も、続けられる運用へ

セキュリティ対策は、設定を一度入れて終わるものではありません。誰が更新情報を受け取り、誰に確認し、誰が作業を判断するか。担当者の交代やスマートフォンの機種変更があっても続けられる運用が必要です。

株式会社いざなうでは、不動産・住宅業界の業務を踏まえ、Webサイトの保守体制や管理ルール、外部パートナーとの役割分担の整理を支援しています。自社のどこから見直せばよいか、まずは一緒に整理しませんか。

参考情報

• WordPress公式：Wordfence Security
• Wordfence公式：二要素認証の有効化・ログイン・復旧コード
• Wordfence公式：ログインセキュリティ設定
• Wordfence公式：無料版の機能
• WordPress公式：Wordfence Login Security単独版の掲載状況

公式情報の確認日：2026年10月22日。公開後に案内・画面・仕様が変更される場合があります。漫画と会話に登場する株式会社まちみらい不動産および人物は架空で、実在の企業の被害・対応状況を示すものではありません。

記事の企画・監修

DXコンサルタント　蓼沼 康之（たでぬま やすゆき）
株式会社いざなう　代表取締役社長
不動産業務の理解を基盤に、生成AIの活用、業務改善、DX推進を支援。