WordPressのログインに二段階認証を付ける｜会社のサイトでの選び方と、担当者が替わるときの注意【2026年版】

こんにちは、株式会社ソライルの波多野です。

「WordPressの管理画面に、二段階認証を付けたほうがよいと言われた」
「付けたいけれど、担当者が替わったときや、スマホを替えたときに困らないだろうか」
WordPressのサイトでは、管理画面のログインが狙われることがよくあります。

パスワードだけで守っていると、パスワードが漏れたときに、そのまま入られてしまいます。
二段階認証は、パスワードに加えて、スマホのアプリなどで「もう一つの確認」をする仕組みです。
付けておくと、パスワードが漏れても、入られにくくなります。

一方で、会社のサイトでは、付ける前に決めておきたいことがあります。
決めずに付けると、担当者が替わったときに、誰もログインできなくなることがあるためです。
この記事では、Webが専門ではない経営者・ご担当者の方に向けて、次のことを順番にご説明します。

• 二段階認証とは何か、なぜ付けたほうがよいのか
• 付ける前に、会社として決めておくこと
• 確かめる方法の種類と、選び方
• 付ける順番と、締め出されたときの戻し方
• 専門家に任せたほうがよい場合

プラグインの画面や機能は変わることがあります。
実際に設定するときは、プラグインの最新の案内もあわせてご確認ください。

1. 二段階認証とは

パスワードに、もう一つの確認を足す

ふだん、WordPressの管理画面には、ユーザー名とパスワードを入れてログインします。
二段階認証を付けると、パスワードを入れたあとに、もう一つの確認が求められます。
たとえば、スマホのアプリに出る6けたの数字を入れる、といった形です。

なぜ、会社のサイトで付けたほうがよいのか

WordPressは、多くのサイトで使われているため、管理画面のログインを狙った不正なアクセスが絶えません。

• 使い回しているパスワードが、ほかのサービスから漏れる
• 推測しやすいパスワードを、機械で次々に試される
• 制作会社や前の担当者に渡したパスワードが、そのまま残っている

管理画面に入られると、ページを書き換えられたり、迷惑なページを足されたりすることがあります。
WordPressが乗っ取られたときの対応は、関連記事「WordPressが乗っ取りにあったら対応する事と対策方法」でもご紹介しています。

2. 付ける前に、会社として決めておくこと

ソライルがご相談を受ける中で、二段階認証のトラブルは、設定よりも「運用」で起きることが多いと感じています。
付ける前に、次の4つを決めておきます。

1. 1つのアカウントを、何人かで使い回していないか

「admin」などの1つのアカウントを、社内の何人かや制作会社と使い回していることがあります。
二段階認証を付けると、そのアカウントの確認の数字は、1台のスマホに出ます。
使い回したままだと、そのスマホを持つ人しかログインできなくなります。

付ける前に、1人に1つのアカウントを作り、使い回しをやめます。

2. 誰に付けるか

管理者（WordPressのすべての設定を変えられる権限）のアカウントには、必ず付けます。
記事を書くだけの方のアカウントにも、付けておくとより安心です。
使っていないアカウントは、この機会に削除するか、権限を下げます。

3. スマホを替えたとき、退職したときにどうするか

スマホを替えたり、なくしたりすると、確認の数字が出なくなります。
また、担当者が退職すると、その人のスマホでしか入れないアカウントが残ります。

• スマホを替える前に、新しいスマホへ移す手順を決めておく
• 退職や異動のときは、アカウントの削除と、二段階認証の解除を手続きに入れる
• 管理者のアカウントは、2人以上で持っておく

退職のときの引き継ぎは、関連記事「Web担当者の退職によるトラブルを回避する方法！業務引き継ぎのポイントも解説」でもご紹介しています。

4. バックアップコードを、どこに保管するか

多くの二段階認証には、スマホが使えないときのための「バックアップコード」（使い捨ての予備の番号）があります。
印刷して金庫に入れる、会社で決めたパスワードの管理の仕組みに入れるなど、保管場所を決めておきます。
メールやチャットに貼ったままにしないよう気をつけます。

3. 確かめる方法の種類と、選び方

プラグインの選び方

WordPressで二段階認証を付けるには、プラグインを使うのが一般的です。
たとえば、WordPress.orgで公開されている「Two-Factor」というプラグインは、WordPressのコミュニティで開発されていて、認証アプリ・メールのコード・バックアップコードに対応しています。
WordPress.orgの案内では、ユーザーごとに、自分のプロフィールの画面から設定する仕組みです。

セキュリティの総合的なプラグインの中に、二段階認証の機能が入っていることもあります。
すでにセキュリティのプラグインを使っている場合は、その機能を使うと、プラグインを増やさずに済みます。
選ぶときは、次の点を確かめます。

• 最近も更新されているか
• 今のWordPressのバージョンで動作が確かめられているか
• 締め出されたときに、ほかの管理者が解除できるか

プラグインを増やしすぎないことも大切です。
プラグインの整理については、関連記事「WordPressのプラグイン棚卸し」でご紹介しています。

4. 付ける順番

設定は、まず1人のアカウントで試し、問題なくログインできることを確かめてから、ほかの方へ広げます。

5. 締め出されたときの戻し方

スマホをなくした、数字が合わないなどで、ログインできなくなることがあります。

1. バックアップコードで入る

保管しておいたバックアップコードを使って、ログインします。
入れたら、新しいスマホで設定し直します。

2. ほかの管理者に解除してもらう

管理者のアカウントを2人以上で持っていれば、ほかの管理者が、プロフィールの画面から二段階認証を外せることがあります。

3. サーバー側でプラグインを止めてもらう

どちらもできない場合は、サーバーの側でプラグインを一時的に止めて、ログインできるようにする方法があります。
サーバーのファイルを触るため、保守会社や制作会社に任せるのが安心です。
ログインの画面そのものが出ないときは、関連記事「WordPressのログイン画面が表示されない原因と直し方」もご覧ください。

6. よくある誤解

1. 「二段階認証を付ければ、ほかの対策はいらない」

二段階認証は、ログインを守る対策です。
WordPress本体やプラグインの更新、バックアップなど、ほかの対策と組み合わせて守ります。

2. 「小さな会社のサイトは狙われない」

不正なアクセスの多くは、機械で手当たりしだいに試されています。
会社の大きさにかかわらず、ログインの画面は狙われます。

3. 「一度付ければ、あとは何もしなくてよい」

担当者の入れ替わりや、スマホの買い替えのたびに、見直しが要ります。
年に1回は、アカウントの一覧を確かめます。

7. ご自身で進めるか、任せるかの目安

相談するときに伝えること

• ホームページのアドレス
• 管理画面にログインしている人の人数と、アカウントの数
• 制作会社などと、アカウントを使い回しているか
• 今使っているセキュリティのプラグイン（分かる範囲で）

8. ソライルの保守での見守り方

ソライルのホームページ保守では、WordPressのサイト向けのスタンダードプラン以上で、セキュリティ管理と、WordPress本体・プラグイン・テーマの更新、更新後の表示確認を毎月行っています。
「二段階認証を付けたいけれど、社内の運用まで含めて相談したい」というご相談も承っています。
アカウントの棚卸しから、プラグインの設定、締め出されたときの対応まで、まとめてお任せいただけます。

ソライルはお客様に2つのことをお約束しています。
毎月、必ずサイトを確認します。
毎月、月次報告をメールにてお送り致します。

月次報告はスタンダードプラン以上が対象で、ライトプランではオプションで追加できます。

9. まとめ

• 二段階認証は、パスワードに「もう一つの確認」を足し、パスワードが漏れても入られにくくする仕組み
• 会社のサイトでは、付ける前に、使い回しをやめて1人1アカウントにする
• スマホの買い替え・退職のときの手順と、バックアップコードの保管場所を決めておく
• 管理者のアカウントは2人以上で持ち、締め出されたときに解除できるようにする
• 更新やバックアップなど、ほかの対策と組み合わせて守る

「うちのサイトのログインが、きちんと守られているか知りたい」と思われたら、ソライルの無料サイト健康診断をご利用ください。
フォームにURLを入れて送っていただくだけで、通常1営業日以内に、メールで所見をお返しします。
営業のお電話はいたしません。

▶ 無料サイト健康診断を申し込む

ホームページの更新と確認を、毎月まとめて任せたい方は、ホームページ保守サービスのページもご覧ください。

▶ ホームページ保守サービスの内容と料金

関連記事

• WordPressが乗っ取りにあったら対応する事と対策方法
• WordPressの不正改ざんの内容と対策方法
• WordPressのログイン画面が表示されない原因と直し方｜出ている画面から見分ける
• Web担当者の退職によるトラブルを回避する方法！業務引き継ぎのポイントも解説
• WordPressのプラグイン棚卸し｜使っていないものの見つけ方と、消してよいかの判断【2026年版】

よくある質問

Q. 二段階認証を付けると、ログインが面倒になりませんか？

A. ログインのたびに、スマホの数字を入れる手間は増えます。
プラグインによっては、同じパソコンからなら一定の期間は確認を省ける設定もあります。
管理者のアカウントだけは、手間が増えても付けておくことをおすすめします。

Q. 制作会社にも、管理画面に入ってもらっています。どうすればよいですか？

A. 制作会社の方にも、専用のアカウントを作ってもらい、その方のスマホで二段階認証を設定してもらいます。
契約が終わったら、そのアカウントを削除します。

Q. スマホを機種変更します。何をすればよいですか？

A. 機種変更の前に、認証アプリの移し方を確かめておきます。
移せない場合は、古いスマホが使えるうちに、管理画面で二段階認証を設定し直すか、バックアップコードを手元に用意しておきます。

Q. 無料のプラグインでも大丈夫ですか？

A. 無料のプラグインでも、二段階認証は十分に付けられます。
最近も更新されているか、今のWordPressのバージョンで動作が確かめられているかを確かめて選びます。

Q. パスワードを長くしていれば、二段階認証は要りませんか？

A. 長く、使い回していないパスワードにすることは大切です。
ただ、パスワードがほかの場所から漏れることもあるため、二段階認証と組み合わせると、より安心です。

Q. 二段階認証を付けたら、乗っ取りは防げますか？

A. ログインからの乗っ取りは、入られにくくなります。
ただ、古いプラグインの弱いところを突かれる場合など、ログインを通らない入られ方もあります。
更新やバックアップとあわせて守ります。