WordPressのログイン・管理画面に表示される「保護されていません」警告を解消する方法

ハッキングの心配をせずに済んだら、どんなに安心でしょう。

ハッキングへの不安に悩まされず、ビジネスの成長だけに集中できる——そんな状態を想像してみてください。SSL証明書は、まさにそれを実現してくれるものです。一度導入すれば、ハッカーによるデータ悪用を心配する必要はなくなります。あとはアクセルを踏み込んで、ビジネスを拡大していくだけです。

しかし、ちょっと待ってください……

…実は、あなたのサイトの一部が、まだGoogle Chromeで「保護されていません」と表示されているかもしれません。

しかも警告が出ているのは、どこでもないログインページです。管理画面に表示されている方もいるでしょう。ログイン情報が保護されていないページ経由で送信されることがどれほど危険か、改めて説明するまでもありませんね。

私たちはこれまで10年以上にわたり、ハッキング被害を受けてビジネスの危機に瀕した多くのクライアントを支援してきました。この記事では、ログインページと管理画面を守るために必要な具体的な手順をご紹介します。

なぜSSL証明書を導入しても警告が消えないのか？

SSL証明書をインストールしたのに、まだGoogleに「安全ではない」と判定されるのは、本当にストレスが溜まるものです。しかし、これはむしろあなたのためを思ってのことだとご安心ください。

警告が消えない理由はシンプルです。証明書が正しく設定されていないからです。

考えてみてください。この警告がなければ、あなたやチームメンバーは何の疑いもなくログインを続けていたはずです。そして、そのログイン情報が第三者に取得されれば、悪用されるリスクを抱えたままになっていたでしょう。

あなたのログイン情報は今まさに危険にさらされています。Googleが注意を促してくれたのです。あとは、あなたがサイトを守るために行動する番です。

早く修正したい気持ちはよく分かりますが、まずはどのようなミスがこの問題を引き起こしたのかを理解しておきましょう。

WordPressのログイン・管理画面から「保護されていません」警告を削除する

すでにお察しの通り、通常はSSL証明書をインストールすれば警告は消えます。ところが、ログインページと管理画面ではそれが機能していません。両方とも「保護されていません」と表示されたままです。

この問題の解決策はひとつだけ。両方のページにSSLを強制適用することです。

その方法は2つあります。

• プラグインを使う方法（簡単な方法）
• サイトのバックエンドでファイルを編集する方法（難しい方法）

基本的には簡単な方法をおすすめします。ただし、すでに大量のプラグインで肥大化しているサイトにこれ以上プラグインを追加したくない場合は、手動の方法を選びましょう。

正直に申し上げると： 私たちは手動の方法はおすすめしません。リスクが高すぎるからです。失敗事例を何百件も見てきました。バックエンドでの操作ミスがもたらす結果は深刻です。新たなトラブルを抱え込みたくはないはずです。

とはいえ、手動の方法もご紹介します。バックエンドの操作に自信がある方や、冒険心のある方はどうぞお進みください。ただし、その前に必ずサイトの完全なバックアップを取ってください。このステップは絶対に省略しないでください。

どれほど手順に忠実に従える人でも、問題が起きたときにバックアップがあることは大きな助けになります。バックアッププラグインをまだ導入していない場合は、「おすすめWordPressバックアッププラグイン」の記事を参考に選んでみてください。

バックアップ選びの手間を省きたいなら、まずステージングサイトで修正を試すのはいかがでしょうか。

ステージングサイトとは、本番サイトの完全な複製です。ステージングサイトで問題なく動作すれば、本番サイトでも同じ結果が得られると安心できます。

ステージングサイトを作成する

a. WordPressサイトに「BlogVault」をダウンロードしてインストールします。

b. ダッシュボードのメニューにBlogVaultの項目が表示されるので、それを選択します。

c. メールアドレスを入力し、「Get Started」をクリックします。

d. BlogVaultのアカウント作成を求められるので、パスワードを入力します。

e. 次に、BlogVaultダッシュボードにサイトを追加するよう求められるので、「Add」をクリックします。

f. BlogVaultがサイトの完全なバックアップを開始します。処理が完了するまで待ちましょう。

g. BlogVaultダッシュボードで「Sites」をクリックし、対象のウェブサイトを選択します。

h. 次のページで「Staging」セクションまでスクロールし、「Add Staging ＞ Submit」を選択します。BlogVaultがステージングサイトの作成を開始します。

i. ステージングサイトの準備ができると、ユーザー名とパスワードが発行されます。次のステップで必要になるので、必ず控えておいてください。

j. 「Visit Staging Site」をクリックして、ステージングサイトを開きます。

k. 新しいタブでステージングサイトが開くと、先ほど控えたユーザー名とパスワードの入力を求められます。ステージングサイトは不正アクセスを防ぐためにパスワードで保護されています。

l. これでステージングサイトにアクセスできます。URLの末尾に「/wp-admin/」を追加すると、ログインページが開きます。

m. 本番サイトと同じ認証情報でステージングサイトにログインします。

準備が整ったら、次はプラグインを使ってログインページと管理画面の「保護されていません」警告を削除する方法を見ていきましょう。

方法1：プラグインで「保護されていません」警告を削除する

ステップ1：Easy HTTPS Redirectionを設定する

a. ステージングサイトにログイン後、「プラグイン ＞ 新規追加」に移動し、検索バーに「Easy HTTPS Redirection」と入力します。プラグインをインストールして有効化してください。

b. 管理画面の「設定」＞「HTTPS Redirection」に移動します。

c. 設定ページで以下の操作を行います。

まず、「Enable automatic redirection to the "HTTPS"（HTTPSへの自動リダイレクトを有効化）」というオプションを選択します。

次に「Apply HTTPS redirection on（HTTPSリダイレクトの適用範囲）」で「A few pages（一部のページ）」を選択し、以下のURLを入力します。

• wp-login.php
• wp-admin/

これで、ログインページと管理画面の両方がSSLで配信されるようになります。

ステップ2：ログイン・管理画面を確認する

a. 管理画面を再読み込みします。「保護されていません」の代わりに鍵マークが表示されていれば成功です。

b. サイトからログアウトし、ログインページを確認します。こちらにも鍵マークが表示されているはずです。

もし鍵マークが表示されなくても、慌てないでください！

おそらくキャッシュの問題です。「WordPressのキャッシュクリア方法」ガイドを参考に、キャッシュを削除してみてください。

c. 次に、サイト全体が正常に動作しているか確認しましょう。これはSSL証明書というより、インストールしたばかりのプラグインの影響をチェックする作業です。

新しいプラグインのインストールによって、サイトが壊れる可能性はゼロではありません。

重要なページと機能をすべて確認してください。ホームページ、ブログ記事、チェックアウト、カートページ、広告、登録フォーム、お問い合わせフォームなどが含まれます。

すべて問題ありませんか？

素晴らしい！次のステップに進みましょう。

ステップ3：本番サイトで同じ手順を実行する

ここからの進め方は2つあります。

• 本番サイトを開き、プラグインをインストールして、ステップ1の手順を実行する。
• または、BlogVaultの「Merge（マージ）」機能を使って、ステージングサイトを本番サイトに統合する。

マージ機能は簡単なので、ぜひ試してみてください。新しいツールを覚えるのが面倒な場合は、本番サイトに直接プラグインをインストールしても問題ありません。

方法2：手動で「保護されていません」警告を削除する

手動で警告を削除するには、wp-configファイルを編集してコードを挿入します。

wp-configファイルの編集は、何百回と経験があってもリスクを伴う作業です。

ミスの可能性を減らすため、ステージングサイト上で編集することをおすすめします。具体的な手順をご紹介します。

ステップ1：ステージングサイトを作成する

前述の「ステージングサイトを作成する」セクションを参照してください。3分以内にステージングサイトを作成できます。

ステップ2：SFTP情報を控える

a. BlogVaultダッシュボードを開き、対象のウェブサイトを選択します。

b. Stagingセクションから「＞」記号を選択します。

c. ユーザー名、パスワード、ホスト、ポートを含むSFTP情報を控えておきます。

ステップ3：SFTP接続情報を使ってconfigファイルを編集する

a. ローカルPCに「Filezilla」をダウンロードしてインストールします。

b. Filezillaを開くと、ウィンドウ上部に「ホスト」「ユーザー名」「パスワード」「ポート」の項目があります。

ここにSFTP接続情報を入力し、「Quickconnect」をクリックします。

Filezillaには「ローカルサイト」「リモートサイト」「ファイル名」のパネルがあります。

c. リモートサイトのパネルに「public_html」フォルダが表示されるので、クリックします。

d. リモートサイトの下のパネルにファイルやフォルダが表示されます。そこに「wp-config.php」ファイルがあるはずです。

e. wp-config.phpファイルを右クリックし、「View/Edit（表示/編集）」を選択します。

f. wp-configファイルに以下のコードを追記します：

define('FORCE_SSL_ADMIN', true);

重要： 必ず次のコメント文より前に挿入してください：/* That's all, stop editing! Happy blogging. */

g. ファイルを閉じます。保存するかどうか尋ねられるので、「Yes」を選択します。

ステップ4：ステージングサイトのログイン・管理画面を確認する

a. BlogVaultダッシュボードを開き、対象のウェブサイトを選択します。

b. Stagingセクションから、ユーザー名とパスワードを控えます。

c. 同じセクションで、ステージングサイトのURLをクリックします。新しいブラウザで開きます。

d. サイトを開くと、先ほど控えたユーザー名とパスワードの入力を求められます。ステージングサイトは不正アクセス防止のためパスワードで保護されています。

e. URLの末尾に「/wp-admin/」を追加して、ログインページを開きます。

• 「保護されていません」の代わりに鍵マークが表示されていることを確認します。
• サイトにログインし、管理画面にも鍵マークが表示されていることを確認します。

鍵マークが表示されない場合は、キャッシュの問題の可能性があります。「WordPressのキャッシュクリア方法」ガイドを参考に、キャッシュを削除してください。

f. 次に、サイト全体の重要なページと機能が正常に動作しているか確認します。ホームページ、ブログ記事、チェックアウト、カートページ、広告、登録フォームなどが含まれます。

ステップ5：本番サイトで同じ手順を実行する

本番サイトへの適用方法は2つあります。

1. BlogVaultの「Merge（マージ）」機能を使って、ステージングサイトを本番サイトに統合する（簡単な方法）

2. または、本番サイトのwp-config.phpファイルを直接編集する（「wp-config.phpファイルの編集方法」ガイド参照）

wp-configファイルを開き、以下のコードを追記します：

define('FORCE_SSL_ADMIN', true);

重要： 必ず次のコメント文より前に挿入してください：/* That's all, stop editing! Happy blogging. */

3. ファイルを閉じます。保存するかどうか尋ねられるので、「Yes」を選択します。

以上で完了です。WordPressログインページの「保護されていません」警告の削除に成功しました！

ログイン・管理画面に「保護されていません」と表示される原因

「なぜ自分のWordPressログインが安全ではないのか？」と不思議に思っている方へ。

一言でいうと： ブラウザがあなたのSSL証明書を信頼していないため、警告が表示されています。

「でも、サイトの他のページでは証明書は正常に機能しているのに！」と思われるかもしれません。

それは、ログインページと管理画面が、サイトの中でも最も重要なページだからです。ブラウザは、品質の低い証明書ではこれらのページを配信することを拒否します。

対策としては、次の方法があります。

SSLチェッカー「Qualys SSL Labs」を開き、サイトのURLを入力して送信してください。評価がA+未満だった場合、あなたはB級の証明書を使用しています。

自己署名SSL証明書を使用している場合は、そのリスクについて理解しておきましょう（「自己署名SSLのリスク」参照）。信頼できるベンダーからSSL証明書を取得する方が安全です。「良いSSL証明書の選び方」の包括的なガイドを参考にしてください。

SSL証明書の選定とインストールを一からやり直すのが大変だと感じたら、ホスティングプロバイダーからSSL証明書を取得し、インストールも依頼してしまうのが手軽です。

現在のSSL証明書がホスティングプロバイダーから取得したものである場合は、直接連絡してみましょう。ログインページと管理画面の警告について伝え、スクリーンショットを添えて送ってください。

10件中9件は証明書の設定ミスが原因です。前のセクションでご紹介した方法でまだ修正できていない場合でも、ホスティングプロバイダーなら簡単に解決してくれる可能性が高いです。

次にすべきこと

「保護されていません」警告の削除、おめでとうございます！

日常に戻る前に、少し考えてみてください——SSL証明書だけで、あなたのサイトはハッキングから守れるのでしょうか？

約10年間にわたり数千のWordPressサイトを支援してきた私たちが、この質問に自信を持ってお答えします。

率直に言えば：いいえ、SSLだけではサイトを守れません。

ハッカーからサイトを守るには、専用のセキュリティプラグインが必要です。

「MalCare」のようなプラグインなら、ログインページと管理画面を保護するだけでなく、毎日サイトをスキャンして不審なアクティビティを検出します。マルウェアが見つかった場合は、サイトのクリーンアップもサポートしてくれます。さらに、サイトを防御するための各種対策も実施可能です。

ぜひMalCareを試してみてはいかがでしょうか？