HTTP認証でWordPressのログインページをパスワード保護する方法

HTTP認証によるログインページのパスワード保護：世界には約6,000万ものWordPressサイトが存在し、WordPressは世界で最も人気のあるウェブサイト構築プラットフォームとなっています。しかし、その人気には代償が伴います。WordPressサイトへのハッキング試行は、1分あたり約90,978件にも上ります。ハッカーがサイトに侵入する手法はさまざまですが、特に広く使われているのが「ブルートフォース攻撃（総当たり攻撃）」です。この攻撃では、ボットを使ってログイン情報を自動的に推測し続けるため、WordPressのログインページをしっかりと保護することが不可欠です。

以前のログイン保護に関する記事では、固有のユーザー名の設定と強力なパスワードの運用について解説しました。これはハッカーボットを防ぐ効果的な手段ですが、セキュリティにおいて絶対的な保証はありません。インターネットは決して安全な場所とは言えず、どれだけ対策しても十分だとは言えません。だからこそ、サイトには多層的な防御を施すことが重要です。固有のユーザー名とパスワードも大切ですが、ログインページ自体をロックすることも、セキュリティ向上のための重要な一歩です。その方法の一つが、HTTP認証によるログインページのパスワード保護です。本記事では、その具体的な実装方法をご紹介します。

HTTP認証とは？

HTTP認証（HTTP Basic認証／BA）は、ログインページへのアクセスを制限する仕組みです。簡単な例え話をしましょう。ウェブサイトを「家」に見立てます。玄関ドアがログインページに相当し、家に侵入しようとする人がいるため、強固な鍵が必要です。この鍵がログイン情報（ユーザー名とパスワード）です。さらに、玄関の外側には敷地を囲う「フェンス」があり、家に追加の保護を与えています。HTTP認証は、まさにこのフェンスのような役割を果たします。つまり、ログインページにアクセスしたい人は、まずHTTP認証（フェンス）を通過し、その後ログイン情報（玄関ドア）を突破する必要があるのです。

HTTP認証でログインページをパスワード保護する手順

HTTP認証でWordPressサイトを保護するには、まず「.htpasswdファイル」を作成します。次に、サイトの「.htaccessファイル」に対して、その.htpasswdファイルの場所を伝えます。これだけでログインページがロックされます。

.htpasswdファイルの作成方法

このファイルには、ログインページへのアクセスを許可したいユーザーのユーザー名とパスワードを保存します。イメージとしては、家を囲うフェンスの門に鍵をかけるようなものです。サイトへのアクセスを許可したい人にだけ、門の鍵を渡すことができます。それでは、.htpasswdファイルの作成方法を見ていきましょう。

新しい.htpasswdファイルを作成するには、「.htpasswdコマンドラインツール」を使用します。オンラインにはいくつかのツールがあります。使いたいツールを見つけたら開き、コマンドラインに以下のコードを入力してください。

htpasswd -c .htpasswd harini

このコマンドラインの「-c」はcreate（作成）を意味し、「harini」はここで指定したユーザー名です。このコードを入力してEnterキーを押すと、このユーザー名専用のパスワードを作成するよう求められます。ご安心ください。パスワードは暗号化されます。

すでに.htpasswdファイルが存在する場合は、新しいユーザー名とパスワードを追加するだけです。その場合は、以下のコマンドラインを使用します。

htpasswd .htpasswd rahul

新しいファイルを作成するわけではないため、ここでは「-c」を使用していない点に注目してください。

通常、.htpasswdファイルは「username:encrypted_password」という形式になります。たとえば、ユーザー名が「harini」、パスワードが「dummy123pass」の場合、ファイルの内容は次のようになります。

harini:$apr1$50r17zis$lNbFJs4rQFfkp4ToO2/ZS/

パスワードは暗号化されています。このファイルこそが、HTTP Basic認証の認証情報となります。

ツールの使い方がわからない場合や、コマンドラインを使いたくない場合は、「.htpasswdジェネレーター」を利用できます。リンクを開くと、下記の画像のような画面が表示されるはずです。

任意のユーザー名とパスワードを入力してください。ランダムなパスワードを生成するオプションもあります。入力が完了したら、「Generate .htpasswd file」ボタンをクリックすると、出力結果が表示されます。

.htaccessファイルの編集

.htaccessファイルは、WordPressサイトの中でも最も重要なファイルの一つです。このファイルに対して行うことは2つあります。1つ目は、何を制限するかを指定すること。2つ目は、前の手順で作成したHTTP Basic認証の認証情報をどこから取得するかを伝えることです。

.htaccessファイルはpublic_htmlフォルダ内にあります。アクセスするには、まずホスティングアカウントにログインし、cPanelを開きます。そこに「File Manager（ファイルマネージャー）」というオプションがあるので選択すると、ページが開き、ファイルを確認できます。

場合によっては、.htaccessファイルが非表示になっていて、public_htmlフォルダに表示されないことがあります。その場合は、cPanelに戻り、File Managerをクリックします。ポップアップが表示されるので、「Show Hidden Files（隠しファイルを表示）」を選択してください。

次に、ファイルをダウンロードして開き、以下のコードを追加します。

<Files wp-login.php>

AuthUserFile /path/to/.htpasswd

AuthName "Private access"

AuthType Basic

require valid-user

</Files>

このコードを挿入する際に注意すべき点：「AuthUserFile /path/to/.htpasswd」は、作成した.htpasswdファイルへのパスです。パスが正しいことを必ず確認してください。「valid-user」は、.htpasswdファイルに記載されたすべてのユーザーにログインページへのアクセスを許可する設定です。アクセスを許可するユーザーを限定したい場合は、「valid-user」の代わりに特定のユーザー名を直接記載することもできます。

編集が完了したらファイルを保存し、ダウンロード元と同じ場所にアップロードします。これで完了です。次回ログインページにアクセスすると、認証情報の入力を求める小さなウィンドウが表示されるはずです。

HTTP認証に加えて、二要素認証（2FA）の導入もおすすめです。これにより、WordPressのログインページにさらなるセキュリティ層が追加されます。

また、サイトをHTTPからHTTPSへ移行する、セキュリティプラグインをインストールするなど、他のセキュリティ対策も併せて実施しましょう。ログインページの保護は有効な手段ですが、ハッカーがサイトに侵入する経路は他にもあります。包括的なセキュリティ対策として、ぜひ「WordPress完全セキュリティガイド」も参考にしてください。