WordPressのログインURLを簡単に変更してセキュリティを強化する方法

WordPressユーザーならご存知の通り、デフォルトのログインURLは「/wp-login.php」です。この標準設定は便利ですが、セキュリティの観点からは変更した方がよいケースもあります。本記事では、ログインURLを変更すべき理由と、誰でもできる簡単な変更手順をわかりやすく解説します。

なぜデフォルトのログインURLを変更すべきなのか

WordPressサイトのログインURLを変更すべき最大の理由は、セキュリティ対策です。まず、「/wp-login.php」というURLがそのまま残っていると、攻撃者に対してあなたのサイトがWordPressで構築されていることを容易に教えてしまうことになります。他の手段でも判別可能とはいえ、わざわざヒントを与える必要はありません。WordPress特有の脆弱性に精通した攻撃者にとって、標準設定のままのサイトは格好のターゲットになってしまうのです。

さらに、WordPressでは管理者ユーザー名の初期値が「admin」になっていますが、これを変更していないサイト管理者は少なくありません。そして攻撃者はそれを知っています。ユーザー名さえ分かれば、残るはパスワードの特定だけです。推測されにくいパスワードを設定していれば総当たり攻撃（ブルートフォースアタック）を突破される可能性は低いものの、攻撃が続いている間、サーバーには大きな負荷がかかり続けます。

もちろん、ログインURLを変更しても攻撃を完全に防げる保証はありません。しかし、攻撃者にとっての難易度は大幅に上がり、彼らはより攻略しやすい他のサイトへと移っていく可能性が高まります。

ログインURLを変更する手順

1. 必ずバックアップを取る

作業を始める前に、必ずサイト全体のバックアップを作成してください。ログインURLの変更自体は通常トラブルなく完了しますが、プラグイン同士の互換性問題などが発生した場合、バックアップがないと復旧が極めて困難になります。この一手間は絶対に省略しないでください。

2. プラグインをインストールする

バックアップが完了したら、「Custom Login URL」プラグインをダウンロードしてインストールします。インストール後、「設定 → パーマリンク設定」の画面を下へスクロールすると、ログイン関連URLの設定項目が表示されます。

3. URLを書き換える

ここには現在のデフォルトURLが表示されているため、自由に変更できます。例えば、以下のように置き換えることができます。

• 「/wp-login.php」→「/user/login/」（ログインページ）
• 「/wp-login.php?action=register」→「/user/register/」（新規登録）
• 「/wp-login.php?action=lostpassword」→「/user/remind/」（パスワード再発行）
• 「/wp-login.php?action=logout」→「/user/logout/」（ログアウト）

4. 推測されにくいURLにするコツ

上記はあくまで一例であり、任意の文字列に変更できます。むしろ「/go」や「/enter」のような短い単語、さらには「/cucumber（きゅうり）」のような一見無関係な単語にする方が効果的です。法則性のないURLにすることで、攻撃者がログインページを突き止めることはほぼ不可能になります。英語以外の言語の文字列を使えば、推測の難易度はさらに高まります。

5. 保存して動作確認を行う

変更が完了したら「変更を保存」をクリックし、新しいURLで正しくアクセスできるか必ずテストしてください。

重要な注意点：管理画面からログアウトする前に、必ず新しいURLをメモしておきましょう。万が一忘れてしまうと、検索エンジンで調べても見つけることができず、自分自身が管理画面に入れなくなってしまいます。

代替として使えるプラグイン

プラグインを利用する方法は、コーディングやファイル編集を一切必要としないため、最も手軽なログインURL変更手法といえます。もし「Custom Login URL」が環境に合わない場合でも、「Move Login」や「WPS Hide Login」など、同様の機能を持つプラグインが複数存在するため、安心して試すことができます。