WordPressの不正ログインを防ぐ｜デフォルト設定のリスクと対策

デフォルト設定（初期状態）のままのWordPressサイトでは、ユーザー名が漏えいしている可能性があります。そのまま放置していると、不正ログインのリスクが高まります。

そこで当記事では、見落としやすい3つのリスク（ログインページ、投稿者情報、REST API）と対策をご紹介します。

WordPressテーマ「GLUE」

無料で高機能なWordPressテーマが手に入る。

デモサイト

ダウンロード

デフォルト設定で漏れやすい情報

WordPressサイトはデフォルト設定のままだと、以下の情報を誰でも確認できます。セキュリティ的には好ましくない状態です。

ログインページの存在（/wp-login.php）
投稿者ページのURL（/?author=1）
REST API経由で取得できるユーザー情報（/wp-json/wp/v2/users）

これらの情報は、漏えいしていることを見落としやすい部分でもあり、不正ログインやアクセスの入り口になり得ます。次のセクションで、確認方法と対策を詳しく解説します。

いずれもかんたんに対策できるのでご安心ください。

ログインページ（/wp-login.php）

デフォルト設定のWordPressでは、ログインページに誰でもアクセス可能です。

試しに、あなたのWordPressサイトのURLの末尾に「/wp-login.php」と書いてアクセスしてみてください。表示された場合は、ログインページが公開されていることになります。

リスク

悪意のあるユーザーは、このページに総当たり攻撃を仕掛け、ログイン情報を推測しようとしてきます。

ログインページが公開されていると、あらゆるパターンのユーザー名やパスワードを総当たりで試されるリスクがあるということです。

対策

対策	内容
ログインURLを変更する	「WPS Hide Login」などのプラグインで/wp-login.phpを別のURLに変更して、そもそもログインページを表示させない。
ログイン試行制限	「Limit Login Attempts Reloaded」などのプラグインで、一定回数以上の失敗をブロックする。
2段階認証を導入	「Google Authenticator」などのプラグインで、パスワードが破られてもアカウントを保護する。

一番上のログインURLを変更する対策がおすすめです。これだけで十分効果があります。

投稿者情報（/?author=1）

WordPressでは、「サイトのURL/?author=1」にアクセスすると、ユーザー名を確認できてしまいます。あなたのサイトでも確認してみてください。

リスク

ユーザー名が漏れていると、パスワードを総当たりすればいいだけなので、不正ログインのリスクが圧倒的に高まってしまいます。

対策

対策	内容
ユーザー名を隠す	「Edit Author Slug」などのプラグインで、投稿者ページのURLを変更してユーザー名を表示させない。
投稿者アーカイブを無効化	functions.phpにコードを追加して、/?author=1などのアクセスをリダイレクトまたは404にする。

初心者の方は、前者のプラグインがおすすめです。安全かつかんたんに対策できます。

REST APIのユーザー情報（/wp-json/wp/v2/users）

WordPressのREST APIを利用すると、ログインしていない状態でもユーザー情報を取得できてしまいます。

「あなたのサイトのURL/wp-json/wp/v2/users」にアクセスすると、文字や記号がずらっと並んで表示され、情報が公開されていることがわかります。

REST APIとは、サイトの情報を外部から取り出せる仕組みで、スマホやアプリからサイトを操作する際にも使われます。

リスク

REST API経由でユーザー情報が漏れていると、サイトに登録されているすべてのユーザー名が確認できてしまいます。これらを元に、パスワード総当たり攻撃や不正ログインを試される危険性があるわけです。

対策

REST API経由で取得できるユーザー情報を制限する機能は、多くのセキュリティ系プラグインに備わっています。次のプラグインを試してみてください。

2025.08.18

2026.10.23

国産のセキュリティ用WordPressプラグイン「CloudSecure WP Security」の使い方

CloudSecure WP Securityは、エックスサーバーが提供している無料のセキュリティプラグインです。ログイン画面への総当たり攻撃や、管理画面・設定ファイルへの不正なアクセスを防ぐ機能が、日本語の画面に15個そろっています。有効化すると、そのうち8つがその時点でオンになります。ログイ...

2025.06.29

2026.10.22

XO Securityとは？設定方法・使い方・ログインできない時の対処法も解説

WordPress（ワードプレス）のセキュリティ対策プラグインとして注目されている「XO Security（エックスオー・セキュリティ）」。本記事では、XO Securityの基本的な使い方から設定方法、ログインページの変更、ログイントラブルの対処法まで、初心者にもわかりやすく解説します。 ...

もしあなたが中級者以上なら、functions.phpに下記を追加するだけでも対策できます。テーマファイルを直接編集せずに済むので、プラグイン（Code Snippets）を使うのがおすすめです。

add_filter( 'rest_endpoints', function( $endpoints ){
    if ( isset( $endpoints['/wp/v2/users'] ) ) {
        unset( $endpoints['/wp/v2/users'] );
    }
    return $endpoints;
});

ログインまわり以外の対策は、こちらの記事でまとめています。

2015.09.27

2026.10.23

WordPressサイトの安全性を高めるセキュリティ対策15選

2026年10月、WordPressのまわりで大きな出来事が3つ続きました。PHPの緊急の脆弱性、SEOプラグイン「Rank Math PRO」の配布ファイルへの不正なコードの混入、バックアッププラグイン「UpdraftPlus」の開発元への不正アクセスです。 PHPの件は、更新すれば防げました。...

管理画面そのものを、許可した人しか開けないようにする方法もあります。Cloudflare Zero Trustを使うと、ログイン画面の手前で本人確認をはさめます。