WordPressの二段階認証｜中小企業が決めたい導入・復旧・引き継ぎのルール

管理画面のパスワードが長くても、別のサービスと使い回していたり、偽のログイン画面で盗まれたりすれば、不正ログインにつながるおそれがあります。サイトごとに異なるパスワードを使うことを基本に、追加の防御も用意したいところです。そこで有効なのがWordPressの二段階認証です。ただし、プラグインを入れて認証アプリを設定すれば終わり、とは限りません。担当者の退職、スマートフォンの故障、制作会社との契約終了といった場面でログインできなくなれば、更新も障害対応も止まります。

中小企業のホームページでは、セキュリティ対策と同じくらい「誰が、いつ、どう戻れるか」を決めておくことが大切です。二段階認証はログインを守る仕組みであると同時に、日々のWeb運用を整える機会にもなります。

WordPressの二段階認証は、なぜ必要なのか

ここでいう二段階認証は、パスワードに加え、認証アプリを設定した端末などを使って確認する二要素認証（2FA）を指します。仮にパスワードが第三者に知られても、追加の認証がなければ管理画面へ入りにくくなります。単に確認画面を二回表示することと、異なる要素で本人を確認することは別です。

企業サイトの管理画面には、会社概要、採用情報、問い合わせ導線、顧客に見せる資料、場合によってはECの受注情報まで集まっています。不正ログインによる改ざん、偽ページの設置、スパムメールの送信は、検索順位だけの問題ではありません。取引先や見込み客から見た会社の信用に関わります。

一方で、二段階認証だけですべての攻撃を防げるわけではありません。古いプラグインやテーマの脆弱性、不要な管理者アカウント、侵害されたサーバーアカウント、端末のマルウェアなどは別の対策が必要です。二段階認証は、WordPress保守の中でもログイン防御を一段強くする対策と考えるのが適切です。

導入前に決めたいのは「認証方法」より運用責任

導入を急ぐと、「どのプラグインが良いか」だけに目が向きます。しかし、先に整理したいのはアカウントと責任の所在です。管理者権限を持つ人が誰か、外部の制作・保守会社がどの権限で入るか、退職者のアカウントを誰が停止するかが曖昧なままでは、二段階認証を入れても管理は整いません。

まず、現在のユーザー一覧を確認します。見覚えのない管理者、共有メールアドレスで作られたアカウント、すでに関係が終わった外部担当者のアカウントが残っていないかを見ます。管理者アカウントを複数人で共有する運用も、責任の追跡が難しくなるため避けたいところです。原則として、一人につき一つのアカウントを用意します。

次に、役割ごとに二段階認証を必須にする範囲を決めます。管理者は必須、編集者や投稿者はサイトの更新頻度と扱う情報に応じて必須または推奨、と分ける方法があります。ECサイトでは、受注・顧客情報に触れる権限を持つアカウントを優先して保護します。

全員に一律で厳しいルールを課すことが、常に正解ではありません。短期間だけ記事を更新する外部ライターや、IT操作に不慣れな担当者がいる場合は、権限を必要最小限にしたうえで、初回設定を支援する方が運用は続きます。守るための仕組みが更新停止の理由にならないよう、現場に合う設計が必要です。

認証アプリ、SMS、メールの違いを理解する

認証アプリが一定時間ごとに発行するコード（TOTP）は、WordPress向けの認証機能で利用できる方式の一つです。設定済みのアプリは通信できない状態でもコードを生成できますが、認証を行う端末やサーバーの時刻が大きくずれると、正しいつもりのコードが通らないことがあります。利用するプラグインがこの方式に対応しているかを確認します。

SMS認証は、電話番号の変更やSIMの不正な再発行といったリスクを考える必要があります。メール認証は、メールアカウント自体が侵害されると追加の確認も突破されるおそれがあります。使える方式は製品ごとに異なるため、どのプラグインでもSMS・メール・認証アプリを選べるわけではありません。

なお、認証アプリのコードも、偽サイトへ入力してしまう攻撃には万能ではありません。NISTの認証ガイドラインでも、ワンタイムパスワード方式はフィッシング耐性を持つ方式とは区別されています。ログイン先のURLを確認し、依頼メールやチャットへ確認コードを返信しない運用は、導入後も必要です。

セキュリティキーやパスキーに対応できる環境なら、より強い認証方法を選べる場合もあります。ただし、端末の対応状況、紛失時の復旧、外部委託先の利用可否まで確認しなければ、かえって管理が複雑になります。会社の人数、更新頻度、担当者のIT環境によって適した方法は変わります。

バックアップコードは会社で管理する

二段階認証で備えておきたい実務上の問題に、認証用スマートフォンの機種変更、紛失、故障があります。このときに必要になるのがバックアップコードです。設定画面に表示されたコードを、個人のスマートフォンの写真フォルダだけに保存するのは避けましょう。

バックアップコードは、アクセス権を限定した会社のパスワード管理ツールや文書保管場所に保管し、代表者または責任者と保守担当者が所在を把握する形が現実的です。誰でも見られる共有フォルダや、平文のメール本文に置くこともおすすめできません。

復旧コードはログインを可能にする秘密情報です。通常の認証コードや登録用QRコードと同じく、チャット、作業チケット、AIへの質問に貼り付けないでください。たとえばWordfenceでは各復旧コードは一回限りで、新しいコード一式を生成すると以前のものは無効になります。利用製品の公式手順で、使用済み・再発行・紛失時の扱いを確認します。

同時に、緊急時の復旧手順を一枚の運用メモにしておくと安心です。そこには、サイトURL、ホスティング会社の契約情報の保管場所、ドメイン管理者、WordPressの管理責任者、保守会社への連絡方法を記載します。パスワードそのものは書かず、どこに安全に保管されているかだけを明記します。

プラグイン選定では相性と継続性を見る

二段階認証用プラグインは、機能の多さだけで選ばない方がよいでしょう。現在のWordPressのバージョンで継続的に更新されているか、日本語での設定・復旧を社内で扱えるか、利用中の会員機能やEC機能、独自ログイン画面と干渉しないかを確認します。

特に注意したいのは、ログインを使う周辺機能です。会員サイト、予約システム、WooCommerce、外部サービス連携、API連携、アプリケーションパスワードなどがある場合、管理画面の認証変更が想定外の影響を与えることがあります。テスト環境があれば、先に管理者と編集者のログイン、更新、注文処理、問い合わせ通知まで確認してから本番に反映します。

また、ブラウザのログインを二段階認証にしても、APIなどの連携経路まで同じ認証画面で守られるとは限りません。WordPressのアプリケーションパスワードは、プログラムから接続するための個別に失効できる認証情報です。発行先、用途、利用するユーザーの権限、停止時の影響を別に管理します。連携が止まったからといって、全員の二段階認証を一律に解除する運用にはしないでください。

プラグインを増やすほど安全になるわけでもありません。ログイン制限、WAF、バックアップ、マルウェア監視などの機能が重複すると、障害時に原因を切り分けにくくなります。現在入っている保守・セキュリティ系プラグインとサーバー側の機能を棚卸しし、役割を分けることが先です。機能全体の整理は、WordPressのセキュリティプラグインの選び方も参考にしてください。

導入時は、管理者を締め出さない順番で進める

本番サイトでいきなり全アカウントへ必須設定をかけると、更新担当者や外部委託先がログインできなくなることがあります。導入は、責任者の管理者アカウントから試し、復旧コードや承認済みの復旧担当者など、通常の認証が使えないときの経路を確保してから範囲を広げます。予備の管理者を用意する場合も個人別とし、そのアカウント自体を適切に保護してください。

進め方としては、管理者アカウントの整理、バックアップと復旧経路の確認、二段階認証の試験設定、復旧コードの保管、新しいログインの確認、編集者・外部担当者への展開という順番が分かりやすいでしょう。設定中の画面をすぐに閉じず、別のブラウザやプライベートウィンドウで新規ログインを確認すると、ログイン済みだから使えているだけ、という見落としを防げます。設定しただけでなく、担当者が実際に操作できたことを完了条件にします。

端末の機種変更は、利用製品の移行・再登録手順を確認してから行います。旧端末のアプリを消すだけでは、コピーされた認証情報を失効できるとは限りません。端末を紛失した場合は、単なる機種変更と分け、管理者による本人確認、必要な認証情報の再登録、セッションや復旧コードの見直しを進めます。復旧のために一時解除が必要なら、対象・承認者・実施時刻・再設定完了を記録し、解除したままにしないことが重要です。

導入後も、月次または四半期ごとにユーザー一覧を確認します。退職、担当変更、制作会社の切り替え、EC運用体制の変更があったタイミングでは必ず見直します。二段階認証は一度設定して終わる施策ではなく、アカウント管理の習慣とセットで機能します。

自社で進める範囲と、相談した方がよい範囲

管理者が少なく、一般的な企業サイトで、利用中のプラグイン構成も把握できているなら、自社で認証アプリの導入とバックアップコードの保管まで進められることがあります。その場合でも、導入前にバックアップが正常に取れているか、認証端末を失っても本人確認を経て復旧できる経路があるかは確認してください。

一方、管理者アカウントの由来が分からない、制作会社との連絡が取れない、EC・会員機能がある、ログイン障害が過去にあった、サーバーやドメインの契約者が不明といった場合は、先に全体を確認する方が安全です。認証プラグインだけを追加しても、根本的な管理不全は残るためです。

+STOCKのWordPress保守（Web／EC）では、認証だけでなく、バックアップ、権限、引き継ぎを含む運用の土台を整えます。リアルタイムの自動更新と日々の人的監査を組み合わせ、月次レポートでは実施内容と次の判断を共有します。月次の報告を待って異常確認や更新を始める運用ではありません。

被害の兆候はなく、アカウントや管理体制の整理から相談したい場合は、無料ホームページ診断をご利用ください。すでに不正な管理者操作や改ざんが疑われる場合は、二段階認証を追加して解決とせず、WordPressトラブル調査・復旧へ状況をご相談ください。無料診断と緊急の侵害調査では、目的と対応範囲が異なります。

まずは「管理者は誰か」「復旧コードはどこにあるか」「退職者のアカウントは残っていないか」の3点を確認してみてください。この小さな棚卸しは、不正ログイン対策だけでなく、担当者が変わっても止まりにくいWeb資産を育てる第一歩になります。