サーバーのパスワード管理では、「複雑な文字列を覚えること」より、長く一意なパスワードを使い、使い回さず、2段階認証やパスワードマネージャーを組み合わせることが重要です。
特にサーバー管理画面、WordPress管理者、FTP・SSH、メールなどは、1つの認証情報が漏れるとサイト全体へ影響する可能性があります。初心者でも運用できるルールを決めて、属人的な管理を減らしましょう。
30秒でわかる結論
- サーバー用パスワードは他サービスと使い回さない
- 短く複雑な文字列より、長く一意なパスワードを優先する
- 覚えきれないパスワードはパスワードマネージャーで管理する
- 利用できるなら2段階認証・多要素認証を有効にする
- 共有アカウントを減らし、担当者ごとに個別アカウントを作る
- 定期変更を目的化せず、漏えい・退職・権限変更時に確実に変更する
- SSHではパスワードだけでなく公開鍵認証も検討する
サーバーのパスワードを安全に管理する基本
安全な管理の基本は、「長さ」「一意性」「追加認証」「権限分離」の4つです。
| 対策 | 目的 |
|---|---|
| 長いパスワード | 推測・総当たりを難しくする |
| 使い回し禁止 | 他サービスからの漏えい波及を防ぐ |
| 2段階認証 | パスワード漏えい時の防御層を増やす |
| 個別アカウント | 誰が操作したか分けて管理する |
一番危険なのは「同じパスワードを複数で使うこと」
たとえばメール、WordPress、サーバー管理画面で同じパスワードを使っていると、1か所から漏れた認証情報で他の管理画面へ侵入される可能性があります。
パスワードは何文字にすればいい？
現在のNIST SP 800-63B-4では、パスワード単独で認証する場合、最低15文字を要求する考え方が示されています。また、文字種を無理に組み合わせるルールより、長さと使い回し防止を重視しています。
弱くなりやすい例
Server123!
長さを取りやすい例
複数の無関係な単語を組み合わせた長いパスフレーズや、パスワードマネージャーで生成した20文字以上のランダム文字列。
文字数だけで絶対安全にはならない
20文字でも他サービスと同じなら、漏えい時に危険です。「長い＋一意」をセットで考えてください。
大文字・小文字・数字・記号は必須？
昔は「大文字・小文字・数字・記号を必ず混ぜる」といったルールがよく使われました。
しかし現在のNISTガイドラインでは、こうした複雑性ルールを強制しないことが推奨されています。人は複雑性ルールを課されると、「Password1!」のような予測可能な形へ寄せやすいためです。
「複雑さ」より「長さ＋一意性」
サービス側が文字種を要求する場合は従いますが、自分でルールを決めるなら、短い複雑文字列より長く一意なパスワードを優先してください。
パスワードは定期的に変更した方がいい？
「30日ごと」「90日ごと」など、理由なく定期変更することが必ず安全とは限りません。
NIST SP 800-63B-4では、侵害の証拠がないのに定期変更を強制しない考え方が示されています。
変更すべきタイミング
- 漏えいが疑われる
- 不審なログインがあった
- 退職者・外注先の権限を外す
- 共有パスワードを使ってしまった
- 同じパスワードを別サービスで使っていた
- 平文メールやチャットで共有してしまった
頻繁な変更より「漏れたら即変更」
毎月変更して「Server2026-10」「Server2026-11」のような予測可能な更新をするより、強い一意なパスワードを維持し、漏えい時にすぐ変更できる運用の方が実務的です。
パスワードマネージャーを使う
サーバー関連のアカウントが増えると、すべて異なる長いパスワードを覚えるのは現実的ではありません。
NISTは、パスワードマネージャーが各サービスで一意な複雑パスワードを使いやすくする点を評価しています。
管理例
サーバー管理画面：32文字ランダム
WordPress管理者：24文字ランダム
SFTP：32文字ランダム
メール管理画面：24文字ランダム
パスワードマネージャー側の対策
- マスターパスワードを長くする
- 2段階認証を有効にする
- 端末ロックを設定する
- 復旧コードを安全な場所へ保管する
- 会社では共有・退職時の権限回収ルールを決める
2段階認証を必ず組み合わせる
2段階認証・多要素認証は、パスワード以外の要素を追加して本人確認する仕組みです。
パスワードが漏れても、追加認証が通らなければログインを防げる可能性があります。
| 認証方法 | 例 |
|---|---|
| パスワード | 本人だけが知る情報 |
| 認証アプリ | 一時コード |
| セキュリティキー | 物理デバイス |
| パスキー | 端末・生体認証と組み合わせた認証 |
管理者アカウントはパスワードだけにしない
サーバー管理画面、ドメイン管理、WordPress管理者など、サイト全体を変更できるアカウントは、対応している限り2段階認証を有効にしてください。
共有パスワードは避ける
会社や制作チームで「admin」という1アカウントを全員で共有すると、退職・外注終了時の管理が難しくなります。
共有アカウントの問題
- 誰が変更したか分からない
- 退職者だけ権限を外せない
- パスワード変更のたび全員へ再共有が必要
- チャット・メールにパスワードが残りやすい
おすすめの運用
管理画面が複数ユーザーに対応しているなら、担当者ごとに個別アカウントを作り、必要最小限の権限を付与してください。
退職者・外注先のパスワード管理
セキュリティ事故は外部攻撃だけでなく、古いアカウントが残っていることでも起こります。
退職・契約終了日を決める。
WordPress・サーバー・メール等を無効化。
共通パスワード、APIキー、SSH鍵などを更新。
終了前後の不審操作がないか確認。
SSHはパスワードより公開鍵認証を検討
VPSや専用サーバーへSSH接続する場合、パスワード認証ではなく公開鍵認証を使う方法があります。
公開鍵認証では、サーバーへ公開鍵を登録し、手元の秘密鍵を持つ端末から認証します。
| 比較 | パスワード認証 | 公開鍵認証 |
|---|---|---|
| 覚える情報 | パスワード | 秘密鍵を保管 |
| 総当たり攻撃 | 対象になりやすい | パスワード推測の影響を受けにくい |
| 端末管理 | 比較的簡単 | 鍵管理が必要 |
秘密鍵を共有しない
複数担当者で同じ秘密鍵ファイルを使い回すと、誰の鍵か分からなくなります。担当者ごとに鍵を分け、不要になった公開鍵だけサーバーから削除できるようにします。
パスワードをメール・チャットで送っていい？
平文のパスワードをメールや一般的なチャットへ残す運用は避けた方が安全です。
どうしても共有が必要なら、パスワードマネージャーの共有機能や、期限付きの秘密情報共有機能などを使い、閲覧後に失効させます。
「URLとパスワードを同じ場所へ書く」を避ける
管理画面URL、ID、パスワードを同じメールへまとめると、1通の漏えいで必要情報がすべて揃います。情報を分離し、可能なら個別アカウントへ移行してください。
紙やExcelで管理してもいい？
個人利用で紙を物理的に安全な場所へ保管する方法は、状況によってはオンライン漏えいを避けられます。
一方、Excelファイルを暗号化せず共有フォルダへ置く、パスワード一覧をメール添付する、といった運用は避けるべきです。
信頼できるパスワードマネージャーを使い、マスターパスワードと2段階認証を強化。
チーム向けパスワードマネージャーと個別アカウントを併用。
期間限定アカウントを発行し、契約終了後に削除。
パスワード漏えいが疑われたら何をする？
- 対象アカウントのパスワードを変更する
- 同じパスワードを使っている他サービスも変更する
- 2段階認証を有効化・再設定する
- 不審なログイン履歴を確認する
- 不要なセッションをログアウトさせる
- WordPress管理者・SSH鍵・APIキーなど関連権限を確認する
- 不審なファイル・設定変更がないか確認する
変更だけで終わらせない
すでに侵入されている場合、攻撃者が新しい管理者アカウントやSSH鍵を追加している可能性があります。漏えい原因と侵入後の変更まで確認してください。
サーバー関連で管理すべき認証情報
| 対象 | 重要度 | 推奨管理 |
|---|---|---|
| レンタルサーバー管理画面 | ★★★★★ | 一意な長いパスワード＋2段階認証 |
| ドメイン管理画面 | ★★★★★ | 一意な長いパスワード＋2段階認証 |
| WordPress管理者 | ★★★★★ | 個別アカウント＋2段階認証 |
| SFTP・SSH | ★★★★★ | 個別アカウント・公開鍵認証 |
| データベース | ★★★★★ | 設定ファイルで安全に管理 |
| メール管理画面 | ★★★★☆ | 使い回し禁止＋2段階認証 |
安全な管理ルールを数字で決める
会社やチームでは「気をつける」ではなく、ルールを数字で決めると管理しやすくなります。
ルール例
- 管理者パスワードは15文字以上
- 同じパスワードの使い回しは0件
- 管理者アカウントの2段階認証率100％
- 退職・契約終了当日に権限削除
- 半年に1回、不要アカウントを棚卸し
管理者10人 × 2段階認証100％ ＝ 未設定0人
このように、「全員気をつける」より監査できる条件へ変えると、抜け漏れを見つけやすくなります。
安全なパスワード管理の判断フロー
はい → 最優先で変更。
はい → 長く一意なものへ変更。
はい → 有効化。
はい → 個別アカウントへ分離。
はい → パスワードマネージャーを利用。
教科書判定｜初心者はどう管理すればいい？
パスワードマネージャー＋2段階認証を基本形にする
サーバー管理画面、ドメイン、WordPress、メールごとに異なる長いパスワードを作り、パスワードマネージャーで保存してください。2段階認証が使える管理画面はすべて有効化します。
複数人で管理する場合は、共有パスワードを配るのではなく、個別アカウントと権限分離を優先してください。
初心者はこれでOK
「15文字以上・使い回しなし・パスワードマネージャー保存・2段階認証」の4つを最初に実施してください。これだけでも、短い共通パスワードを人手で管理する状態より大きく改善できます。
よくある質問
パスワードは毎月変更した方が安全ですか？
理由のない定期変更を必須にする必要はありません。漏えい、不審なログイン、退職・権限変更などリスクが発生したときに確実に変更し、普段は長く一意なパスワードを維持する方が実用的です。
記号をたくさん入れれば安全ですか？
記号の多さだけでは安全性は決まりません。短いパスワードより、長く、他サービスと重複しないパスワードを優先してください。
パスワードマネージャーは危険ではありませんか？
パスワード保管庫自体が重要な攻撃対象になるため、強いマスターパスワードと2段階認証が必要です。一方、サービスごとに一意な長いパスワードを使いやすくなる大きな利点があります。
SSHはパスワードでログインしてもいいですか？
利用できますが、VPS・専用サーバーでは公開鍵認証を使える場合があります。特にインターネットへ公開されたSSHでは、公開鍵認証と適切なアクセス制御を検討してください。
会社でパスワードを共有する一番安全な方法は？
可能なら共有パスワードそのものを減らし、個別アカウントを発行してください。共有が避けられない情報は、チーム向けパスワードマネージャーなどアクセス権を管理できる仕組みを使います。
まとめ｜長さ・一意性・2段階認証で守る
この記事の結論
- サーバー用パスワードは使い回さない
- 短い複雑文字列より長い一意なパスワードを優先する
- パスワードマネージャーで安全に保管する
- 2段階認証を有効にする
- 共有アカウントを減らして個別管理する
- 漏えい・退職・権限変更時にはすぐ変更する
- SSHでは公開鍵認証も検討する
結局、安全なパスワード管理は「覚えやすい複雑な1個を使い回す」ことではありません。各サービスで長く一意な認証情報を使い、パスワードマネージャーと2段階認証を組み合わせ、誰がどの権限を持つかまで管理してください。
次に読むなら
ログインをさらに強化したい場合は「二段階認証とは？」、サーバー全体の防御を整理したい場合は「レンタルサーバーに必要なセキュリティ対策」、VPSを使っている場合は「VPSのセキュリティ対策」を読むと対策をつなげやすくなります。