本記事にはプロモーション（PR）が含まれます。
個人ブログを立ち上げて数週間、Wordfence（WordPress用のセキュリティプラグイン）の通知メールに「ロシアのIPから12回ログイン失敗」と並び始めて手が止まった、という相談をよく受けます。まだ実害は出ていない段階でも、放っておくと管理画面（WordPressの編集画面）へのパスワード総当たりは1日で数百回に達します。守り方の基準はシンプルで、お金をかける前に、無料でできる「入口を狭める」設定を先に3つ済ませ、そのうえでWAF（不正なアクセスを自動で弾く仕組み）を重ねるという順番です。プラグインを増やすより、サーバー側の設定で入口そのものを閉じる方が軽く、確実です。
管理画面が狙われるのは「入口が全世界に開いている」から
WordPressの管理画面は、初期状態だと「/wp-login.php」または「/wp-admin/」という決まったURLに、世界中のどこからでもアクセスできます。攻撃側はこの2点（URLが共通・アクセス元が無制限）を突いて、自動化したプログラムで延々とログインを試します。逆に言えば、この「共通URL」と「無制限のアクセス元」のどちらかを崩すだけで、機械的な総当たりの大半は届かなくなります。
ここで大事なのは、対策を難しい順ではなく効果が高くて手間が少ない順に並べることです。以下の3段はすべて多くのレンタルサーバーの管理画面（コントロールパネル）から無料で設定でき、うまくいかなければすぐ元に戻せます。
無料でできる3段の守り方
1段目：国外IPアクセス制限で海外からの侵入をまとめて断つ
個人や国内向けのサイトなら、管理画面へアクセスするのは基本的に日本国内のあなた自身だけです。そこで「国外IPアクセス制限」を有効にすると、日本以外のIPアドレスからの管理画面・投稿・コメントへのアクセスをサーバー側でまとめて遮断できます。攻撃の多くは海外の踏み台サーバーから来るため、この1段だけで不正ログインの試行が体感で大きく減ります。
設定はコントロールパネルのセキュリティ関連の項目にあることが多く、対象サイトを選んでオンにするだけで反映されます。旅行や出張で海外からログインする予定があるときだけ一時的に解除する運用にしておけば、普段は閉じたままで問題ありません。
2段目：ログインURLの変更で総当たりの的をずらす
2段目は、共通URLである「/wp-login.php」を別の文字列に変えることです。攻撃プログラムは決まったURLを叩きに来るので、入口の場所を変えるだけで、そのURLを知らない自動アクセスは404（ページが存在しない）で終わります。専用のプラグインを使う方法のほか、一部のサーバーはコントロールパネルの管理画面保護機能として、URLの変更や管理画面へのBasic認証（アクセス時にIDとパスワードをもう一枚要求する仕組み）を無料で提供しています。
注意点として、変更後のURLは自分でブックマークしておくこと、そして変更前に必ず現在のログイン情報でログインできる状態を確認しておくことです。新URLを忘れると自分も入れなくなります。その場合の戻し方はWordPressにログインできないときの手順と同じで、サーバーのファイルマネージャーから該当プラグインを無効化すれば元に戻せます。
3段目：IPアドレス制限で「自分だけ」に絞る
3段目は最も強く、管理画面に入れるIPアドレスを自分のものだけに限定します。自宅やオフィスの回線が固定IP（常に同じ番号）なら、そのIPだけを許可すれば、他のすべてのアクセスは弾かれます。設定は「.htaccess」（サーバーの動作を指示する設定ファイル）に数行書くのが基本形です。
- 自分のグローバルIPアドレスを確認する（「確認くん」などのIP表示サイトで分かる）
- 「/wp-admin/」フォルダに「.htaccess」を置き、許可するIPだけを記述する
- 別回線（スマホの回線など）からアクセスして、弾かれることを確認する
ただし個人宅の多くは変動IP（再接続で番号が変わる）です。番号が変わるたびに書き換える手間が現実的でない場合は、3段目は見送り、1段目と2段目で止めるのが無理のない落としどころです。
WAFを合わせて「弾き漏らし」を拾う
3段の入口対策は「誰が入れるか」を絞る守りですが、WAFは「どんな通信を通すか」を見る守りです。WordPressの脆弱性を突く攻撃や、コメント欄からの不正な書き込みなど、入口の絞り込みだけでは防ぎきれないものを、通信の中身を見て自動で遮断します。多くのレンタルサーバーがWAFを標準機能として無料で持っており、コントロールパネルからオン・オフを切り替えられます。
ConoHa WINGを例にすると、WAFはコントロールパネルのサイトセキュリティ関連の項目にあり、対象サイトごとにオンにできます。プラグインの管理画面やテーマ編集など、正規の操作までWAFが誤って弾く（誤検知）ことがまれにあるため、更新作業でエラーが出たら一時的にWAFをオフにして切り分けるのが定番です。
どこまでやるかの判断フロー
手間と効果は段ごとに違うので、自分の回線と運用に合わせて選びます。
- とにかく最短で減らしたい→ 1段目（国外IP制限）だけ先に有効化。数分で効果が出る
- 国内から自動攻撃も来ている→ 1段目＋2段目（ログインURL変更）。的をずらして404で終わらせる
- 固定IPで、確実に締めたい→ 1〜3段すべて＋WAF。自分以外は入口で弾く
- 変動IPで自宅から作業→ 1段目＋2段目＋WAF（3段目は見送り）
下の表は3段とWAFの位置づけを、手間・効果・元に戻しやすさで整理したものです。
| 対策 | 守る対象 | 手間 | 効果 | 戻し方 |
|---|---|---|---|---|
| 国外IPアクセス制限 | アクセス元（海外を遮断） | 小（オンにするだけ） | 大 | 設定をオフに戻す |
| ログインURL変更 | 入口の場所 | 中（新URLの管理が必要） | 中〜大 | プラグイン無効化 |
| IPアドレス制限（.htaccess） | アクセス元（自分だけ許可） | 大（固定IP前提） | 大 | .htaccessを削除・編集 |
| WAF | 通信の中身 | 小（標準機能を有効化） | 中〜大 | 一時オフで切り分け |
これらはサーバーを借り直さなくても今日から設定できます。もし現在のサーバーにWAFや国外IP制限が見当たらず、機能面で乗り換えを検討する段階なら、料金と機能をまとめて確認したレンタルサーバーおすすめ比較の記事で自分の使い方に合う会社を見比べてから決めると無駄がありません。
よくある質問
プラグインとサーバーの機能、どちらで対策すべきですか
入口を絞る国外IP制限とIP制限は、サーバー側（コントロールパネルや.htaccess）で行う方が軽くて確実です。プラグインは動作のたびにPHPを読み込むため、同じことをするならサーバー側が優先です。ログインURL変更のようにサーバー機能で用意がない場合だけプラグインを使う、と切り分けると入れすぎを防げます。
WAFをオンにすると表示が遅くなりますか
多くのレンタルサーバーのWAFはサーバー側で処理されるため、体感できるほどの速度低下はほとんど報告されていません。むしろプラグイン型のセキュリティ対策を大量に入れる方が重くなりがちです。気になる場合は、有効化の前後で表示速度を測って比較すると判断しやすくなります。
国外IP制限を入れたら自分も海外から入れなくなりました
それが正しい動作です。海外からログインする必要があるときだけ、コントロールパネルで一時的に解除し、作業後に再び有効化してください。VPN（通信を国内経由に見せる仕組み）で日本のIPを経由する方法もありますが、運用が固定できないなら都度解除が安全です。
ログインURLを変えたら自分もログインできなくなりました
新しいURLを忘れた場合は、サーバーのファイルマネージャーやFTPから、URLを変更しているプラグインのフォルダ名を変えて無効化すれば、初期の「/wp-login.php」に戻ります。作業前に新URLを控え、別のブラウザでログインできることを確認してから本運用に移してください。
ログイン試行回数の制限も必要ですか
あると有効です。一定回数パスワードを間違えたIPを一時的にブロックする機能で、総当たりの速度を落とせます。サーバー標準で用意されている場合と、プラグインで補う場合があります。各社の対応状況は公式サイトのセキュリティ項目で確認してください。
無料の対策だけで十分ですか
個人サイトなら、ここで挙げた3段とWAF、そして強いパスワードと二段階認証（ログイン時にもう一つの確認を挟む仕組み）で、機械的な攻撃の大半は防げます。会員データや決済を扱うサイトは、加えてバックアップと復元の体制まで含めて考える必要があります。
参考・出典
- エックスサーバー 機能一覧（公式）: https://www.xserver.ne.jp/functions/
- ConoHa WING 機能・WAF（公式）: https://www.conoha.jp/wing/function/
- ロリポップ 機能・セキュリティ（公式）: https://lolipop.jp/service/function/
- さくらのレンタルサーバ プラン・機能（公式）: https://rs.sakura.ad.jp/plan/
