結論：WordPress のログイン画面（wp-login.php・管理画面）は、多くのサイトが日常的に「パスワードの当てずっぽう」の試行を受けます。主なレンタルサーバーの多くは、海外からのログイン画面への接続を止める機能やログイン失敗の回数で止める機能を、サーバー側で用意しています。まずは自分のサーバーでそれがオンになっているかを確かめ、そのうえで管理者の2段階認証と使い回さない長いパスワードを入れるのが、手間のわりに効果の大きい守りです。
この記事でわかること
- ログイン画面がなぜ狙われるのか、WordPress 公式は何を勧めているか
- 主なレンタルサーバー8社の、ログイン画面を守る機能と初期状態
- 自分で確かめること・設定することの順番
ログイン画面はなぜ狙われるのか
WordPress のログイン画面の場所は、どのサイトでもほぼ同じです（/wp-login.php や /wp-admin/）。そのため、世界中のプログラムが、よくあるユーザー名とパスワードの組み合わせを自動で次々に試します。外部のアプリから投稿するための入口（xmlrpc.php）も、同じように試行の的になります。
当社が保守している WordPress サイトでも、こうした試行はめずらしいものではありません。たとえば2026年10月25日には、2つのサイトで、サーバーの守りの機能が短い時間に合わせて約9,000件の接続を止めた記録が残っています。一方、比べる条件はそろっていませんが、同じ10月下旬の約10日間で、ログインの失敗が続いて WordPress 側で締め出しになった記録は1サイトの計3件だけでした。試行の多くは、サーバー側の守りで WordPress に届く前に止まっていると見られます。サーバーの守りがオンかどうかで、WordPress にかかる負担と危険は変わると考えられます。
WordPress 公式の勧め
WordPress の公式ドキュメント（総当たり攻撃への対策・サイトの守りの解説、2026年10月更新）は、おおむね次のことを勧めています。
- 長くて使い回さないパスワードを使い、パスワード管理ツールで管理する
- ユーザー名に「admin」など推測しやすい名前を使わない。管理者の人数は最小限にする
- 管理者には2段階認証を入れる（WordPress 本体には入っていないので、プラグインなどで足す）
- ログイン失敗の回数制限は、できればプラグインではなく、サーバー側や手前の守りの仕組みでかける（プラグインだけだと、試行が多いときにサーバーの負担が大きい）
- 使っていないなら xmlrpc.php は止める
- ログイン画面の住所を変えるだけの対策に頼らない
- WordPress 本体・プラグインを最新に保ち、失敗したログインを見張る（パスキーやロボットでないことの確認も選択肢）
なお公式は、国ごとに接続を止める固定の一覧について、正しい利用者まで止めてしまい保守も難しいとして勧めていません。サーバー側で止めるときは、ログイン画面や xmlrpc.php など対象を絞り、必要な例外を記録しておくよう書いています。国内のレンタルサーバーの「海外からの制限」は管理画面まわりに対象を限った仕組みですが、海外出張や外部サービスとの連携で止まることがある点は、公式の注意と同じです。
2段階認証は、WordPress の開発に関わる人たちが作っている公式ディレクトリのプラグイン「Two Factor」で入れられます（2026年11月1日時点で版 0.17.0、最終更新 2026年9月28日、10万以上のサイトで有効。認証アプリ・メールのコード・予備のコードに対応）。WordPress 本体の最新版は 7.1.4（2026年10月28日公開）です。
主なレンタルサーバー8社の、ログイン画面を守る機能
各社の公式マニュアル・お知らせを2026年11月1日に確かめた内容です。「記載なし」は、公式ページで初期状態などを確かめられなかったものです。設定の名前や場所は変わることがあるので、作業の前に各社のマニュアルも見てください。
| 会社 | 海外からのログイン画面への接続を止める | ログイン失敗の回数で止める | 設定する場所 |
|---|---|---|---|
| エックスサーバー | 国外アクセス制限：初期オン。管理画面・xmlrpc.php・REST API などが対象。2025年6月から例外の許可（ホワイトリスト）あり | ログイン試行回数制限：初期オン（止まると24時間で自動解除） | サーバーパネル →「WordPressセキュリティ設定」 |
| シンレンタルサーバー | 国外アクセス制限：初期オン（内容はエックスサーバーとほぼ同じ） | ログイン試行回数制限：初期オン | サーバーパネル →「WordPressセキュリティ設定」 |
| ConoHa WING | 海外アクセス制限：初期オン（管理画面・XML-RPC・REST API など） | ログイン制限あり（初期状態は記載なし） | コントロールパネルの「WING」→「サイト管理」→「サイトセキュリティ」→「WordPressセキュリティ」 |
| ロリポップ！ | 海外アタックガード：2017年10月の提供開始時に、それまでのドメインも含めて順に有効化。新しいドメインは自動で有効（ドメインごとに切り替え可） | 記載なし | ユーザー専用ページ →「海外アタックガード」 |
| さくらのレンタルサーバ | 国外IPアドレスフィルター：初期オン（公式コラムより）。管理画面・フォーム・API の範囲を選べる | 記載なし | サーバーコントロールパネル →「セキュリティ」→「国外IPアドレスフィルター」 |
| mixhost | 記載なし | 同じ接続元から失敗が続くと、ログイン画面と xmlrpc.php の応答を遅くする（全サーバーで実施） | 利用者の設定は不要 |
| ColorfulBox | 国単位では止めない方針 | 守りの仕組み（Imunify360）が、ログイン失敗が続く接続元を止める（初期状態は記載なし） | 利用者の設定項目は記載なし（解除はサポートへ） |
| CPI | 確かめられず | かんたんインストールで入れた WordPress に、ログイン回数を制限するプラグインが有効の状態で入る | WordPress の管理画面（プラグインの設定はサポート対象外） |
このほか多くの会社が、攻撃によく使われる書き方を含む接続を止める仕組み（WAF）を用意しています。WAF はログイン画面だけでなくサイト全体を守るものです。たとえば CPI は、公式マニュアルに初期状態でオンと書いています。初期状態は会社によって書き方が違うので、自分の管理画面で確かめてください。
ロリポップ！は2026年10月24日から新規の申し込みの受付を一時停止しています（公式のお知らせより）。今使っている方向けの情報として載せています。
自分で確かめること・設定すること（順番どおりに）
1. サーバーの守りがオンになっているか
上の表の「設定する場所」を開き、海外からの接続の制限とログイン回数の制限がオンかを見ます。過去に「海外から編集できない」「外部のサービスとつながらない」などの理由で一時的にオフにして、そのままになっていることがあります。オフにした理由が今もあるかを確かめ、無ければオンに戻します。
2. 管理者のアカウントを見直す
- WordPress の「ユーザー」で、権限が「管理者」の人を数える。退職者・制作会社の作業用・使っていないアカウントがあれば、権限を下げるか消す
- ユーザー名が「admin」など推測しやすいものなら、新しい管理者を作って記事の持ち主を移し、古い方を消す
- パスワードは、ほかのサービスと使い回していない長いものに変える（パスワード管理ツールで作る）
3. 管理者に2段階認証を入れる
プラグイン「Two Factor」などを入れ、管理者それぞれが自分のプロフィール画面で、スマホの認証アプリを登録します。予備のコードは必ず控えておきます（スマホをなくしたときにログインできなくなるため）。
4. 使っていない入口を止める
スマホのアプリや外部のサービスから投稿していないなら、xmlrpc.php は止めてかまいません。サーバーの海外からの制限（エックスサーバー・シン・ConoHa WING など）では海外からの接続は止まりますが、国内からの試行は止まりません。完全に止めるなら守りのプラグインなどを使います。Jetpack を使っている場合は、xmlrpc.php を止めないでください。外部のサービスに使う専用のパスワードは、WordPress の「アプリケーションパスワード」で人ごと・用途ごとに作り、要らなくなったら1つずつ取り消します。
5. WordPress 本体・プラグインを最新に
ログイン画面の守りを固めても、古いプラグインの穴から入られることがあります。WordPress 本体・プラグイン・テーマの更新を止めていないかも、あわせて確かめてください。PHP の版の確かめ方は PHP 8.2 のサポート終了の記事 にまとめています。
海外から管理画面を使うときの注意
海外からのログイン画面への接続を止める機能は、あなた自身が海外にいるときも止めます。海外出張の前には、次の点を確かめておきます。
- エックスサーバー・シンは、例外の許可（ホワイトリスト）に、出張先で使う接続元を登録できます。登録できない場合は、出張中だけ制限をオフにし、帰ったら必ずオンに戻します
- さくらのレンタルサーバの国外IPアドレスフィルターは、WordPress だけでなく FTP・SSH・メール送信も海外から使えなくなります
- ConoHa WING は、ログインできないとき（403 の表示）に、「ログイン制限」と「海外アクセス制限」を一時的にオフにして確かめ、終わったらオンに戻すよう案内しています
国内にいても、ほかの会社の中継サービス（Cloudflare など）や、海外の会社のクラウドを経由すると「海外」と判定されて止まることがあります。止まったときは、まず各社のマニュアルの、海外からの制限や 403 エラーの項目を見てください。
まとめ
ログイン画面の守りは、①サーバー側の守りをオンにする ②管理者を減らして2段階認証を入れる ③使っていない入口を止める、の3つでほとんどが片付きます。サーバーを選ぶときは、こうした守りが最初からオンになっているか、自分で切り替えられるかも比べるポイントです。セキュリティの機能で比べるなら セキュリティ機能で選ぶレンタルサーバー、各社の受付状況・料金は レンタルサーバー一覧 をご覧ください。