不正ログイン対策について

こんにちは👋
ご質問に関する私の見解を書きます。

>①管理者ログイン画面のURLを変更してもすぐにバレるものでしょうか？

1.管理画面のURL のみを変更しても、「旧URL（例：/wp-login.php）」や「/wp-admin/」にアクセスした際に、新しいログインURLへリダイレクトされる設定になっていることがある

2.プラグインやテーマがログインURLを出力している場合がある

3.サイトマップに含まれてしまっているケースなど

4.自動スキャンツールによる推測

が考えられます。
「URLを変えてもバレる」のは、どこかに痕跡が残っているか、機械的に推測されていることが多いです。
従いまして、ログインURLを変更することが全く効果なし、とは言えないとは思いますが、状況としてはそれだけでは不十分だと私は思っています。

>②攻撃を抑止する方法として良さそうなものがあれば教えて頂きたいです。

1.二要素認証（2FA, MFA）の導入（効果: 高）
ログイン時にパスワードだけでなく、ワンタイムパスワード（Google Authenticator、SMS、メールなど）も必要にすることで、不正ログインのリスクが大幅に減ります。
プラグイン例：Two Factor Authentication、Google Authenticator

2.グローバル固定IPアドレスで管理画面へのログインIPアドレスを制限する（効果: 高）
許可されたIPアドレス以外からのアクセスを遮断できるため、たとえログインURLが漏れてしまっても、外部（許可外IP）からはログイン画面自体にアクセスできません。出先などから管理画面へアクセスする必要がある場合は、VPN経由でオフィスや自宅のネットワークに接続する運用も検討する必要があります。

3.ログイン試行回数制限
一定回数以上ログインに失敗したIPからのアクセスを一時的にブロックします。

4.CAPTCHAの導入
管理画面にCAPTCHAなどの認証を追加し、ボットによる攻撃を防ぎます。
例: Google reCAPTCHA、Cloudflare Turnstileなど

5.管理画面へのBasic認証追加
WordPressのログイン前に、WebサーバーレベルでID・パスワードによる認証（Basic認証）をかけることで二重の防御になります。

どの施策の組み合わせが最適か？については、サイトの運用体制（人数、更新頻度、予算）などの要素で変わるので、一概に言えませんが、一度ご検討いただければと思います。

• この返信は3ヶ月、 4週前にYukinobu Asakawaが編集しました。