WordPress のログイン URL を変更するには？

なぜ重要なのか

世界中のすべての WordPress サイトは、同じ 2 つのアドレス /wp-login.php と /wp-admin で応答します。ボットはそれを知っています。ログインページを探す必要すらなく、アクセスできるあらゆるサイトにそのままリクエストを送り、パスワードの推測を始めます。

ログインを自分だけが知っているパスに移せば、サイトはその群れから外れます。自動化された推測スクリプトは 404 にぶつかって去っていきます。ログは静かになり、サーバーの負担は減り、残った試行も読み取りやすくなります。

これでできないこと。 ログインを隠すのは「隠す」ための層です。狙われやすい標的を消してくれますが、何かに鍵をかけるわけではありません。WordPress には別の入口があり、最も重要なのが xmlrpc.php です。これは単独でユーザー名とパスワードを受け付けます。XML-RPC の入口が開いたままログインページだけを隠すのは、正門を隠しても横の通用口に鍵をかけていないようなものです。この手順は、いくつかある対策の最初の一つと考えてください:

• ログインの失敗回数を制限する
• 管理者に二要素認証のログインを追加する
• XML-RPC のログインとユーザー名の漏えいを塞ぐ
• 推測されにくい使い回さないパスワードを使い、WordPress を最新に保つ

よくある間違い

• テストする前にログアウトする。 新しいパスは、メインのタブでログインしたまま、必ずプライベートウィンドウでテストしてください。何かおかしくても、まだ修正できます。
• URL を保存しない。 「覚えておけば大丈夫」が、締め出しの最も多い原因です。パスワードマネージャーに入れておきましょう。
• わかりやすいパスを選ぶ。 /login、/admin、/secure は、ボットが真っ先に試すものです。一般的な単語をそのまま使うのは避けましょう。
• ほかの入口を忘れる。 XML-RPC のログインが開いたままなら、パスワードの推測がそちらに移るだけです。XML-RPC を安全に無効化する方法をご覧ください。
• 新しいパスをキャッシュする。 CDN やページキャッシュがログインページを保存すると、フォームが壊れることがあります。wp-login.php と同じように、そのパスをキャッシュの対象外にしてください。

プラグインを使わない方法

WordPress には、ログイン URL を変更する設定がありません。手作業での方法は次のとおりです。

wp-login.php の名前を変える。 wp-login.php を別のファイル名でコピーし、中の参照をすべて書き換える方法を紹介しているガイドもあります。しかしこれは、WordPress を更新した瞬間に壊れます。更新で元のファイルが復元され、コピーは古いまま取り残されるからです。おすすめしません。

サーバーでファイルへのアクセスを制限する。 Apache なら、.htaccess で wp-login.php へのアクセスを自分の IP アドレスだけに制限できます:

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

常に一つの固定アドレスから作業するなら堅実な方法です。ただし、IP が変わった日に自分が締め出され、対応するルールがない Nginx や LiteSpeed の環境では役に立ちません。wp-admin のリダイレクトも隠せません。

HTTP ベーシック認証を使う。 多くのホスティング会社では、コントロールパネルから wp-login.php にパスワードをかけられます。機能はしますが、全員に 2 つ目のログイン画面が加わり、適用範囲が広すぎるとフロントエンドからの admin-ajax.php の呼び出しが壊れることがあります。

正直にまとめると、手作業の方法は更新で壊れるか、固定 IP に依存するかのどちらかです。リクエストを途中で受け止めるプラグインのほうがシンプルで、更新にも耐えられます。

うまくいかないときは

• 新しいパスで 404 が表示される。 パスに入力ミスがないか確認し、ページキャッシュと CDN のキャッシュを削除してから、新しいプライベートウィンドウでもう一度試してください。

• 締め出された。 wp-config.php の “That's all, stop editing!” の行より上に、次の行を追加します:

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  すぐに yoursite.com/new-path でログインフォームが開きます。

• wp-config.php にアクセスできない？ FTP またはホスティングのファイルマネージャーで、/wp-content/plugins/ から hushfort-security フォルダーを削除します。WordPress はデフォルトのログインに戻ります。

復旧の詳しい手順は、ログイン URL を変更して締め出されたときにまとめています。

Hushfort なら

ログイン非表示は、無料の WordPress セキュリティプラグイン Hushfort Security に含まれています。

Hushfort のログイン非表示レイヤーは、パスを決めるまで何もしません。そのため、有効にしただけでうっかり締め出されることはありません。パスを設定すると:

• wp-login.php と wp-admin は 404 を返します (お好みで、ホームページや指定した URL へリダイレクトすることもできます)。
• admin-ajax.php、REST API、WP-Cron、XML-RPC は引き続き動作するため、テーマやプラグインはこれまでどおりに動きます。
• ダッシュボードには「アクセスできなくなったら」カードがあり、現在のログイン URL と緊急用の行が表示されます。
• プラグインを無効化すれば、WordPress は通常のログインに戻ります。

ログイン非表示は無料版プラグインに含まれます。Hushfort Pro ではログイン制限、二要素認証、XML-RPC 用のバックドアロックが加わるため、隠したログインは唯一の壁ではなく、いくつもある壁の一つになります。