WordPressのログインに2段階認証を入れる方法｜WP 2FAの設定手順と注意点

WordPressの管理画面は、サイトの更新も設定もできる「サイトの鍵」です。パスワードだけで守っていると、漏れたり総当たりで破られたりしたときに、そのまま入られてしまいます。

そこで役立つのが、パスワードに加えてもうひとつ確認を入れる2段階認証（2FA）です。この記事では、プラグイン「WP 2FA」を使った設定の流れを、実際の設定画面をもとに紹介します。無料版でできることと、できないことも整理しました。

先にポイント

1. 無料版で使える2段階認証の方法は3つ：認証アプリ、メールのコード、バックアップコードです。
2. パスキーも無料版で使えます。ただし2段階認証とは別の機能で、最初は無効になっているため、設定画面でスイッチを入れる必要があります。
3. 設定前にバックアップを取り、ログインしたまま作業するのが、締め出しを防ぐコツです。

ここで紹介する画面は、WP 2FA 4.2.1（2026年10月時点）のものです。

2段階認証とは？

2段階認証は、ログインのときに「パスワード」と「もうひとつの確認」を組み合わせて本人かどうかを確かめる仕組みです。もうひとつの確認には、スマホの認証アプリに表示される6桁のワンタイムコードなどを使います。

パスワードが知られてしまっても、手元のスマホがなければログインできないので、不正ログインのリスクを大きく下げられます。ログイン画面への総当たり攻撃への対策としても有効です。サーバー側の対策とあわせたチェックリストは、WordPressがPHPの攻撃を受けたときの対策で紹介しています。

始める前の準備

• バックアップを取る：プラグインを入れる前に、いまの状態をバックアップしておくと安心です。手順はWordPressの変更前に取りたいバックアップで解説しています。
• 認証アプリを用意する：ワンタイムコードを表示できるTOTP対応のアプリ（Google Authenticator、Authyなど）が使えます。スマホにインストールしておきましょう。
• 管理画面にログインしたまま作業する：設定が終わるまでは、ログアウトしないでください。
• メールが届くか確認する：メール方式を使う場合は、WordPressからの通知メールが受け取れる状態か確かめておきます。

WP 2FAをインストールする

管理画面の「プラグイン」→「新規追加」で「WP 2FA」を検索し、「今すぐインストール」→「有効化」を押します。有効化すると、すぐにセットアップウィザードが始まります。

ウィザードは、画面の案内に沿っていくつかの質問に答えるだけです。主な手順を順番に見ていきます。

ウィザードの設定手順

手順1：使える2FA方式を選ぶ

最初に、ユーザーが使える方式を選びます。初期状態では「2FAアプリのワンタイムコード」と「メール方式のワンタイムコード」の両方にチェックが入っています。

基本は認証アプリがおすすめです。メール方式は、メールが届かないとログインできなくなるため、予備として残しておく使い方が向いています。

手順2：バックアップ用の方法を選ぶ

次に、スマホを紛失したときなどのための「代替方法」を選びます。「バックアップコード」にはデフォルトでチェックが入っています。

バックアップコードは16桁の使い切りのコードで、ログインできなくなったときの最後の手段になります。必ずチェックを入れたままにして、あとで保管しておきましょう。画面には「その他のバックアップ方法はプレミアムで利用できます」と表示されます。

手順3：2FAを強制するかどうかを決める

「すべてのユーザー」「特定のユーザーと権限グループのみ」「どのユーザーにも強制しない」から選びます。

初期値は「どのユーザーにも強制しない」です。自分ひとりで運営しているサイトなら、まずはこの設定にしておき、自分のアカウントで2FAを設定してから、必要に応じて強制に切り替えると安全です。

手順4：猶予期間を決める

強制する場合の、設定までの猶予期間を決める画面です。初期値は「3日間」で、期限を過ぎたら管理画面に入る前に2FAの設定を必須にする動きになっています。

手順5：完了する

最後に、同じ開発元のログイン保護プラグインをすすめる画面が出ます。必要なければそのまま「設定を完了」を押して大丈夫です。

自分のアカウントで2FAを設定する

ウィザードが終わると、「今すぐ2FAを設定」というボタンが表示されます。押すと、プロフィール画面に「2FA方式を選択」というダイアログが開き、無料版では「2FAアプリのワンタイムコード」と「メール方式のワンタイムコード」の2つが選べます。

認証アプリを選んだ場合は、画面の案内に従って、スマホの認証アプリでQRコードを読み取り、アプリに表示されたコードを入力して登録します。QRコードはあなた専用の鍵なので、人に見せたり、画面を保存して公開したりしないでください。

登録が終わったら、バックアップコードを生成して、パスワードマネージャーや紙など、スマホとは別の場所に保管しておきましょう。

パスキーでログインしたい場合

パスキーは、指紋・顔・端末のPINなどでログインできる、パスワードを使わない認証方法です。WP 2FAの画面でも「パスキーは2要素認証（2FA）の手法ではありません」と説明されていて、2FAの方式とは別の機能として扱われます。

最初は無効になっているので、管理画面の「WP 2FA」→「パスキー」を開き、「ユーザーがパスキーを登録できるようにする」のスイッチを入れて保存します。

有効にすると、「ユーザー」→「プロフィール」に「パスキー」の欄が表示され、「パスキーを追加」から登録できます。

パスキーの登録は、使う端末（スマホやPC）の認証が必要になるため、この記事では登録までは行っていません。なお、パスキーを使える権限グループを限定する設定や、パスキーでログインしたあとの2FAをスキップする設定には「プレミアム」の表示があり、有料版の機能です。

無料版でできること・できないこと

設定画面でも、パスキーの権限グループの限定やスキップ、権限グループごとのポリシーには「プレミアム」の表示がありました。SMS認証、ワンクリックのログインリンク、1ユーザーに複数のパスキーを登録できる点は、公式ページの機能一覧で有料版の機能とされています。

ちなみに、WordPress公式の「Two Factor」というプラグインも、認証アプリ・メール・バックアップコードが使えます。ただし公式ページには、パスキーは別のプラグインが必要で、全ユーザーに2FAを強制する機能もないと書かれています。

ロックアウトを防ぐ注意点

• バックアップコードを必ず保管する：スマホを機種変更・紛失したときの命綱です。
• 機種変更の前に、新しいスマホで認証アプリを設定し直す：古いスマホが使えるうちに移行します。
• メールの設定を確認する：メール方式は、メールが届かないと使えません。
• もしログインできなくなったら：別の管理者がいれば、「ユーザー」→「ユーザー一覧」の編集画面から、そのユーザーの2FA設定をリセットしてもらえます。ひとり運営の場合は、サーバーのファイル管理（FTPなど）からプラグインのフォルダー名を変更して無効化する、WordPressの一般的な復旧方法があります。やり方はサーバーによって違うので、事前にバックアップを取っておきましょう。

よくある質問

まとめ

WP 2FAの無料版でも、認証アプリとバックアップコードを使った2段階認証は十分に導入できます。ウィザードの案内に沿って進めるだけで設定できます。パスワードを使わないログインに興味がある場合は、無料版のパスキーも試せます。

設定前のバックアップと、バックアップコードの保管だけは忘れないでください。サイト全体の守りは、PHPの攻撃への対策チェックリストとあわせて見直してみてください。