WordPressでは、標準のログインURLとして /wp-login.php が使われます。そのため「ログインURLを変えないと危険なのでは？」と不安になる人もいます。
結論からいうと、ログインURL変更は必須ではありません。Botによる機械的なアクセスを減らす補助策にはなりますが、強いパスワード、2段階認証、ログイン試行制限、WAF、WordPress・プラグイン更新の代わりにはなりません。
30秒でわかる結論
30秒でわかる結論
- WordPressの標準ログインURLは通常
/wp-login.php /wp-admin/へアクセスしても、未ログインならログイン画面へ移動する- ログインURL変更は必須ではない
- URL変更は、標準URLを狙うBotアクセスを減らす補助策にはなる
- URLを変えても、パスワード漏えい・脆弱なプラグイン・管理者アカウント侵害は防げない
- 優先すべきは、強いパスワード・2段階認証・ログイン試行制限・WAF・更新・バックアップ
- 変更する場合は、新URLを忘れたときの復旧手順を確認してから行う
WordPressの標準ログインURLはどこ？
WordPress公式では、ログイン画面は通常、サイトURLの末尾に /wp-login.php を付けた場所にあります。
例
サイトURL：https://example.com/
ログインURL：https://example.com/wp-login.php
また、ログアウト状態で /wp-admin/ へアクセスすると、通常はログイン画面へリダイレクトされます。
標準URLであること自体は脆弱性ではない
/wp-login.php が広く知られていることはWordPressの標準仕様です。ログインURLが分かるだけで管理画面へ入れるわけではなく、認証情報が必要です。
ログインURLを変更する必要はある？
一般的なWordPressサイトでは、ログインURL変更は必須ではありません。
URL変更は、標準の /wp-login.php を機械的に探してアクセスするBotの一部を避けられる可能性があります。しかし、これは「入口の場所を分かりにくくする」対策であり、認証そのものを強くする対策ではありません。
| 対策 | 守れる主な範囲 |
|---|---|
| ログインURL変更 | 標準URLへの機械的アクセスを減らす補助 |
| 強いパスワード | パスワード推測への耐性 |
| 2段階認証 | パスワード漏えい後の追加防御 |
| ログイン試行制限 | 大量のログイン試行を抑制 |
| WAF | 不正なWebリクエストの遮断 |
| アップデート | 既知の脆弱性対策 |
ログインURL変更で期待できる効果
標準URLを狙うBotアクセスを減らせる場合がある
自動化されたBotの中には、WordPressサイトを見つけると機械的に /wp-login.php へアクセスするものがあります。
ログインURLを変更すると、単純に標準URLだけを狙うBotからのアクセスが減る場合があります。
ログインページへの不要アクセスを減らせる場合がある
大量のログイン試行が発生しているサイトでは、URL変更によって一部リクエストを減らせることがあります。
効果は「補助」と考える
ログインURL変更は、不正ログイン対策の主役ではありません。Botアクセスを減らす補助策として使うのが適切です。
ログインURLを変えても防げないこと
ログインURLを変えても、次のようなリスクは残ります。
- パスワードが漏えいした
- 同じパスワードを他サービスと使い回している
- 管理者アカウントのメールが侵害された
- WordPress本体・テーマ・プラグインに脆弱性がある
- 別の経路から管理者権限を奪われる
- サーバーやFTP・SFTPアカウントが侵害される
URL変更だけで「安全になった」と考えない
ログインURLを秘密にするだけでは、認証情報漏えいやソフトウェア脆弱性を防げません。ログインURL変更は、強い認証や更新管理と組み合わせる必要があります。
優先すべきログイン対策
1．強く使い回さないパスワード
他サービスと同じパスワードを使わず、十分に長く推測されにくい文字列を使います。パスワード管理ツールを利用すると管理しやすくなります。
2．2段階認証
パスワードだけでなく、追加の認証要素を要求します。パスワードが漏えいした場合の防御として有効です。
3．ログイン試行回数制限
短時間に大量のパスワードを試す攻撃を抑えるため、ログイン試行回数や一定時間の制限を設定します。
4．WAF・ファイアウォール
不審なWebリクエストをWordPressへ到達する前に遮断できる場合があります。レンタルサーバーに標準搭載されていることもあります。
5．WordPress・テーマ・プラグインの更新
ログイン画面だけを守っても、古いプラグインなどに既知の脆弱性が残っていれば別経路から攻撃される可能性があります。
6．不要アカウントの削除
退職者や使っていない管理者アカウントを残さず、必要最小限のユーザーだけを維持します。
URL変更より、認証と更新を優先する
初心者は、まず強いパスワード＋2段階認証＋ログイン試行制限＋WAF＋更新を整えてください。そのうえでBotアクセスを減らしたい場合に、ログインURL変更を追加策として検討します。
ログインURL変更が向いているケース
標準URLでも問題ありません。まず2段階認証やログイン試行制限を優先します。
Botアクセス削減の補助として検討できますが、管理者の2段階認証と権限管理を優先します。
試行制限・WAFと組み合わせ、標準URLへの不要アクセスを減らす目的で検討できます。
URL変更より、IP制限やBasic認証などアクセス制御の方が強い対策になる場合があります。
ログインURL変更が不要なケース
次のような場合は、ログインURL変更を急ぐ必要はありません。
- 2段階認証・ログイン試行制限・WAFがすでに整っている
- 管理者が1～2人で、強い認証を徹底できている
- ログイン攻撃が特に問題になっていない
- プラグイン追加によるトラブルを増やしたくない
- 保守担当者が標準URLを前提に運用している
ログインURL変更は「必須対策を全部終えたあとに追加する補助策」と考えると、優先順位を間違えにくくなります。
ログインURLを変更する方法
WordPress標準の管理画面には「ログインURLを変更」という設定項目はありません。一般には、対応するセキュリティプラグインなどを使って変更します。
wp-login.phpを直接改変しない
WordPress本体の wp-login.php を直接編集してURLを変える方法はおすすめしません。WordPress更新で上書きされたり、ログイン処理を壊したりする可能性があります。
変更前に確認すること
- 現在のバックアップがある
- FTP・SFTPまたはファイルマネージャーへアクセスできる
- 使用するプラグインの復旧方法が分かる
- 新しいログインURLを安全な場所へ記録する
- 管理者全員へ新URLを共有する
- キャッシュ・CDN・WAFとの競合がないか確認する
ログインURLを忘れたらどうする？
ログインURL変更プラグインを利用している場合、URLを忘れると標準の /wp-login.php から入れないことがあります。
この場合は、FTP・SFTPやサーバーのファイルマネージャーから該当プラグインを一時停止し、標準URLへ戻せる場合があります。
プラグインごとに復旧方法は異なる
実際の戻し方は利用中プラグインによって異なります。設定変更前に、そのプラグインの公式ドキュメントで「ログインできなくなった場合」の復旧方法を確認してください。
/wp-admin/も変わる？
ログインURL変更プラグインの仕様によっては、未ログイン状態で /wp-admin/ へアクセスした際の動作も変わります。
標準WordPressでは、未ログインの /wp-admin/ アクセスはログイン画面へ誘導されます。しかし、URL変更プラグインでは404や別ページへ転送する設定になる場合があります。
そのため「新ログインURLだけ覚えればよい」と考えず、/wp-admin/ の扱いも確認してください。
URL変更とIP制限・Basic認証の違い
| 対策 | 特徴 | 向く場面 |
|---|---|---|
| ログインURL変更 | 入口を推測しにくくする補助 | Botアクセス削減 |
| IP制限 | 許可IP以外を遮断 | 社内固定回線など |
| Basic認証 | WordPressログイン前に追加認証 | 限定公開・管理画面保護 |
| 2段階認証 | WordPress認証自体を強化 | 一般的な管理者アカウント |
会社サイトならアクセス制御も検討
管理者が社内回線やVPNからしかアクセスしないサイトなら、ログインURL変更よりIP制限などの方が強い制御になる場合があります。ただし、外出先やリモートワークの運用も考えて設計します。
URL変更でログインできなくなる主な原因
- 変更したURLを忘れた
- セキュリティプラグインを更新した
- キャッシュが古いURLを保持している
- WAFやCDNと競合している
- 別のログイン保護プラグインと競合している
- ドメイン・HTTPS変更後にリダイレクト設定が合わなくなった
既存記事の「WordPress管理画面にログインできない原因と対処法」でも、ログインURL変更プラグインを使っている場合は標準URLから入れないことがあるため、変更URLの確認が必要と整理しています。
変更するならどんなURLがよい？
URLを変更する場合は、他人が簡単に推測できない文字列にしつつ、自分たちが管理できるものにします。
避けたい例
/login//admin//company-login/- 会社名＋loginのような簡単な文字列
ただし、URLを複雑にしても認証強度が上がるわけではありません。URLはパスワードの代わりではありません。
注意点
- ログインURL変更だけで安全になったと判断しない
- wp-login.phpを直接改変しない
- 新しいURLを公開ページへ記載しない
- 管理者全員へ安全な方法で共有する
- URLを忘れた場合の復旧手順を事前に確認する
- 複数のセキュリティプラグインで同じ機能を重ねない
- 変更後に管理画面・パスワード再設定・ログアウトからの再ログインを確認する
教科書判定
ログインURL変更は「やってもよい補助策」。必須対策ではない
個人ブログや一般的な会社サイトでは、ログインURLを変更しなくても、強いパスワード・2段階認証・ログイン試行制限・WAF・WordPress更新が整っていれば、基本対策として優先順位は高くありません。
一方、/wp-login.php へのBotアクセスが多いサイトでは、負荷や不要ログを減らす補助策として変更を検討できます。ただし、URL変更後に自分がログインできなくなるリスクもあるため、復旧手順を確認できる人だけが実施するのが安全です。
よくある質問
Q．ログインURLを変更しないとハッキングされますか？
変更しないこと自体が直接の侵害原因になるわけではありません。標準URLはWordPressの仕様です。強い認証、2段階認証、試行制限、WAF、更新管理を優先してください。
Q．ログインURLを変更すればブルートフォース攻撃を完全に防げますか？
完全には防げません。標準URLだけを狙うBotを減らせる場合はありますが、URLが知られた場合や別経路の攻撃には対応できません。ログイン試行制限や2段階認証を併用します。
Q．/wp-login.phpを削除してもよいですか？
削除しないでください。WordPressのログイン処理に必要なコアファイルです。直接編集・削除ではなく、必要なら対応プラグインやサーバー側機能を使います。
Q．ログインURL変更プラグインを停止したら元に戻りますか？
多くの場合は標準URLへ戻せますが、プラグインによって仕様が異なります。実際の復旧方法は利用中プラグインの公式ドキュメントを確認してください。
Q．会社サイトは必ずログインURLを変更した方がよいですか？
必須ではありません。会社サイトでは、2段階認証、管理者権限の整理、WAF、バックアップ、更新体制の方が優先度は高いです。社内限定ならIP制限も検討できます。
まとめ
ログインURL変更の要点
- WordPressの標準ログインURLは通常 /wp-login.php
- ログインURL変更は必須ではない
- Botによる標準URLへのアクセスを減らす補助策にはなる
- URL変更だけではパスワード漏えいや脆弱性攻撃を防げない
- 強いパスワード・2段階認証・試行制限・WAF・更新を優先する
- 変更する場合はプラグインなどを使い、wp-login.phpを直接改変しない
- 新URLを忘れた場合の復旧手順を事前に確認する
- 会社サイトではIP制限など別のアクセス制御も検討する
「ブルートフォース攻撃とは？仕組みと対策を解説」「ログイン試行回数制限とは？不正ログイン対策を解説」もあわせて確認してください。