WordPressの管理画面は、記事、画像、ユーザー、テーマ、プラグインなど、サイト運営に必要な機能が集まる場所です。そのため、ログインパスワードが推測されたり、別サービスから流出したパスワードを使い回していたりすると、第三者に管理画面へ入られる危険が高まります。
とはいえ、記号をたくさん混ぜた文字列を毎回自分で考え、すべて暗記する必要はありません。大切なのは、十分に長く、他のサービスと重複しないパスワードを用意し、安全な方法で保管することです。この記事では、WordPress初心者向けに、強いパスワードの考え方、管理画面での変更手順、パスワード管理ツールを使う流れ、複数ユーザーで運営するときのルール、漏えいが疑われるときの初動まで順番に解説します。
WordPressのパスワードを強くする必要がある理由
WordPressへの不正ログインは、必ずしも高度な攻撃だけで起きるわけではありません。よく使われる短いパスワード、名前や誕生日を含む文字列、別のサービスで流出した認証情報などが試されることもあります。
管理者アカウントへログインされると、記事の書き換え、不要なユーザーの追加、プラグインやテーマの変更など、サイト全体に影響する操作をされる可能性があります。投稿者や編集者のアカウントであっても、公開内容を変更できる権限があれば被害につながります。管理者だけでなく、WordPressにログインする全員がパスワードを見直すことが重要です。
パスワードはセキュリティ対策の一部です。WordPress本体・テーマ・プラグインの更新、不要なアカウントの削除、二段階認証、バックアップなどと組み合わせることで、侵入される可能性と被害の大きさを抑えやすくなります。
強いパスワードの基本条件
強いパスワードを考えるときは、見た目の複雑さだけで判断しないことが大切です。短い単語の一部を大文字にし、末尾に数字と記号を付けただけでは、人が思いつきやすい規則を使っているため推測されるおそれがあります。
十分な長さを確保する
WordPress.orgのパスワード推奨事項では、20文字以上が案内されています。WordPressが自動生成するパスワードは、英字、数字、記号を含む24文字です。初心者が迷ったときは、管理画面の自動生成機能を使うのが簡単で確実です。
自分で作る場合も、短い単語一つではなく、十分な長さを優先します。ただし、辞書に載っている単語を一つだけ使う、サイト名と年号をつなぐ、同じ文字を繰り返すといった作り方は避けてください。
サイトごとに別のパスワードを使う
WordPress、メール、レンタルサーバー、ドメイン管理会社、アクセス解析などで同じパスワードを使い回すと、一つのサービスから認証情報が漏れたときに、他のサービスにもログインを試される危険があります。
特に、WordPressのパスワードと、パスワード再設定メールを受信するメールアカウントのパスワードは必ず分けます。メールへ侵入されると、WordPressのパスワードを再設定される可能性があるためです。
個人情報や定番の文字列を避ける
名前、会社名、屋号、生年月日、電話番号、ペットの名前、サイト名など、本人と結び付きやすい情報は使わないようにします。これらはWebサイトやSNSから推測されることがあります。
「password」「admin」などの定番語、連続した数字、キーボード上で並んだ文字、単純な置き換えも避けます。たとえば、英字の一部を数字へ置き換えたり、末尾へ「2026!」を付けたりしても、元の単語が推測しやすければ安全とはいえません。
生成したパスワードを安全に保管する
長くてランダムなパスワードを複数覚えるのは現実的ではありません。記憶へ頼って短いパスワードを使い回すより、信頼できるパスワード管理ツールで生成・保存し、必要なときに自動入力する方法が運用しやすいでしょう。
パスワード管理ツール自体を開くためのマスターパスワードは、他のサービスで使わない長いものにします。利用できる場合は、パスワード管理ツールにも二段階認証を設定します。
避けたいパスワードの作り方
次のような作り方は、覚えやすくても安全性を下げます。
- ユーザー名と同じ、またはユーザー名を少し変えただけ
- サイト名、会社名、氏名、誕生日を含める
- 「123456」「qwerty」などの連続・配列を使う
- 短い単語の先頭だけを大文字にし、末尾へ数字と記号を付ける
- 以前のパスワードの数字だけを増やして再利用する
- WordPressとメール、サーバーで同じ文字列を使う
- チャットやメール本文へ平文のまま送る
- 誰でも見られる付箋や共有文書へ記録する
文字列の具体例を記事や社内マニュアルへ載せる場合は、その例を実際のパスワードに使わないでください。公開された時点で、攻撃者が試せる候補になります。
WordPress管理画面で自分のパスワードを変更する手順
管理画面へログインできる場合は、プロフィール画面から変更できます。画面名はWordPressのバージョンや利用環境で少し異なる場合がありますが、基本の流れは同じです。
プロフィール画面を開く
WordPress管理画面の左側メニューから「ユーザー」を開き、「プロフィール」を選びます。管理者が別のユーザーを変更するときは「ユーザー一覧」から対象ユーザーを選びます。
複数人で運営している場合は、変更対象の表示名とメールアドレスを確認してください。別の利用者のパスワードを誤って変更すると、その人がログインできなくなります。
新しいパスワードを生成する
プロフィール画面の「アカウント管理」付近にある「新しいパスワードを設定」または「パスワードを生成」ボタンを押します。WordPressが長くランダムな候補を表示するため、特別な理由がなければその候補を利用します。
表示されたパスワードは、保存先を準備してから変更します。パスワード管理ツールへ登録し、サイト名、ログインURL、ユーザー名も一緒に整理すると、後から探しやすくなります。
強度表示を確認する
WordPressにはパスワードの強度表示があります。自分で入力する場合は「強力」になることを確認してください。ただし、強度表示だけで使い回しの有無までは判断できません。別のサービスで使っていないことも必ず確認します。
プロフィールを更新する
画面下部の「プロフィールを更新」を押します。新しいパスワードは更新直後から有効です。保存ボタンを押さずに画面を閉じると変更されないため、完了メッセージを確認します。
新しいパスワードでログインを確認する
作業中の画面をすぐ閉じず、別のブラウザーやシークレットウィンドウでログイン画面を開き、新しいパスワードでログインできるか確認します。確認できたら、パスワード管理ツールに古い情報が残っていないか見直します。
変更直後にログインできない場合は、コピー時に前後へ空白が入っていないか、変更したユーザー名が正しいか、自動入力が古いパスワードを上書きしていないかを確認します。
ログインできないときにパスワードを再設定する手順
現在のパスワードが分からない場合は、通常、ログイン画面の「パスワードをお忘れですか？」から再設定します。
- WordPressのログイン画面を開く
- 「パスワードをお忘れですか？」を選ぶ
- ユーザー名または登録メールアドレスを入力する
- 届いたメール内の再設定リンクを開く
- 自動生成された長いパスワードを保存する
- 新しいパスワードを確定し、ログインを確認する
再設定メールが届かない場合は、迷惑メールフォルダー、入力したメールアドレス、メールボックスの容量を確認します。サイトからメール自体が送信できていない可能性もあります。むやみに再設定を繰り返す前に、サーバー管理者や制作担当者へ状況を伝えてください。
データベースやテーマファイルを直接編集する再設定方法もありますが、誤操作すると別の障害につながります。初心者は、メールによる再設定または保守担当者への依頼を優先するのが安全です。
パスワード管理ツールで安全に運用する流れ
パスワード管理ツールを使う目的は、単に保存することではありません。サービスごとに異なる長いパスワードを生成し、使い回しを防ぎ、変更履歴や共有範囲を整理することにあります。
登録する情報をそろえる
WordPressの登録項目には、サイト名、ログインページのURL、ユーザー名またはメールアドレス、パスワードを保存します。管理画面URLを変更している場合は、実際に使うURLを登録します。
メモ欄へ、担当者名やユーザー権限など、パスワードそのもの以外の運用情報を記録するのは便利です。ただし、バックアップコードなど重要な秘密情報をどこへ保管するかは、組織のルールに合わせて決めます。
自動生成機能を使う
WordPress側の生成機能、またはパスワード管理ツールの生成機能を使います。生成時は十分な長さを選び、サイト側で使用できない文字があるときだけ条件を調整します。人が覚えやすい規則へ手直しすると推測されやすくなるため、生成後は原則として変更しません。
自動入力先のURLを確認する
自動入力は便利ですが、開いているページのドメインが正しいことを確認してから使います。メールやメッセージに書かれたリンクから突然ログインを求められた場合は、偽のログイン画面である可能性を考えます。普段使う管理画面はブックマークから開くと、見た目の似たサイトへ入力する危険を減らせます。
マスターパスワードと復旧手段を守る
パスワード管理ツールのマスターパスワードは、WordPressやメールと使い回しません。二段階認証を有効にし、復旧コードが発行された場合は、パソコンの同じ場所だけに保存しないようにします。
個人利用では、自分が端末を紛失したときに復旧できるか確認します。組織利用では、退職や担当変更があっても必要なアカウントへアクセスできるよう、個人の保管庫だけに依存しない設計が必要です。
複数人でWordPressを運営するときの管理ルール
一つの管理者アカウントを全員で共有すると、誰が操作したか分かりにくくなり、担当者が変わったときのパスワード変更も大きな作業になります。原則として、一人につき一つのユーザーを作成します。
必要最小限の権限を割り当てる
記事執筆だけを担当する人に、テーマやプラグインを変更できる管理者権限は通常必要ありません。担当業務に合う権限を割り当てると、一つのアカウントが不正利用された場合の影響を抑えられます。
パスワードをメールやチャットで送らない
平文のパスワードをメールや一般的なチャットへ貼り付けると、履歴、通知画面、バックアップなどに長期間残ることがあります。共有が必要な場合は、組織向けパスワード管理ツールの共有機能など、アクセス権と取り消しを管理できる方法を使います。
担当変更時にアカウントを整理する
退職、契約終了、担当変更があったら、対象ユーザーの権限停止または削除を行います。共有アカウントを例外的に使っていた場合は、パスワードも変更します。記事の所有者を引き継ぐ必要があるため、ユーザー削除時の投稿引き継ぎ先を慎重に選んでください。
定期確認と定期変更を混同しない
安全確認は定期的に行いますが、理由なく短い間隔でパスワードを変更し続けると、末尾だけを変える、紙へ書くなど、安全性を下げる行動につながることがあります。漏えいの疑い、共有相手の変更、端末紛失、不審なログインなど、変更すべき理由が生じたときは速やかに変更します。
定期確認では、使い回しがないか、不要ユーザーが残っていないか、二段階認証が有効か、連絡先メールが現在も使えるかを確認します。
パスワード変更後に確認したいこと
- 新しいパスワードでWordPressへログインできる
- パスワード管理ツールに新しい情報が保存されている
- ブラウザーに古い自動入力情報が残っていない
- WordPressの登録メールアドレスが現在も利用できる
- 同じ古いパスワードを他サービスで使っていない
- 不要なユーザーや見覚えのない管理者が存在しない
- 利用可能なら二段階認証が有効になっている
サイトの不具合対応などで保守担当者へ一時的にアカウントを渡す場合は、専用ユーザーを作り、作業完了後に停止する方法が管理しやすくなります。日常利用の管理者パスワードをそのまま共有しないようにします。
漏えいや不正ログインが疑われるときの初動
見覚えのない記事変更、ユーザー追加、プラグイン追加、ログイン通知などがあった場合は、単にパスワードを変更して終わりにしないでください。侵入後に別の管理者や不正なコードを残されている可能性があります。
安全な端末からパスワードを変更する
利用中の端末がマルウェアへ感染している疑いがある場合、その端末で新しいパスワードを入力すると再び盗まれるおそれがあります。OSとセキュリティソフトを更新した安全な端末から、WordPress、登録メール、サーバー、ドメイン管理の順に認証情報を見直します。
ユーザーと変更内容を確認する
WordPressのユーザー一覧を確認し、見覚えのない管理者がいないか調べます。記事、固定ページ、テーマ、プラグインにも意図しない変更がないか確認します。判断できないファイルを自己判断で削除すると復旧が難しくなるため、変更履歴やバックアップを確保してから調査します。
使い回していたサービスも変更する
古いパスワードをメールや他サービスでも使用していた場合は、それらも別々の新しいパスワードへ変更します。同じ文字列の一部だけを変えるのではなく、サービスごとに新しく生成します。
専門家へ相談する目安
管理画面へ入れない、見覚えのない管理者が消せない、変更が元へ戻る、検索結果に不審なページが出る、サイトが別ページへ転送される場合は、侵害調査が必要です。レンタルサーバーのサポートまたはWordPressの保守・制作担当者へ相談してください。
強いパスワード運用のチェックリスト
- WordPressが生成する長いパスワード、または同等の長さのランダムなパスワードを使う
- WordPress、メール、サーバー、ドメインで別々のパスワードを使う
- 氏名、会社名、誕生日、サイト名を含めない
- パスワード管理ツールで生成・保存する
- ログイン画面のドメインを確認してから自動入力する
- 一人につき一つのWordPressユーザーを使う
- 担当に必要な最小限の権限を割り当てる
- パスワードをメールやチャットへ平文で送らない
- 退職・契約終了時にアカウントを停止する
- 漏えいの疑いがあれば安全な端末から速やかに変更する
よくある質問
記号を入れれば短いパスワードでも安全ですか
記号を一つ加えただけで安全になるとは限りません。推測されやすい短い単語や個人情報が中心なら、末尾へ記号を付けても候補に含まれやすいからです。十分な長さ、使い回しがないこと、推測しにくいことを優先してください。
WordPressの自動生成パスワードはそのまま使えますか
はい。WordPressが自動生成する長いパスワードは、自分で短い文字列を考えるより安全に運用しやすい選択です。生成した文字列はパスワード管理ツールへ保存し、別サービスでは使わないでください。
パスワードは何か月ごとに変更すべきですか
重要なのは、漏えいや共有状況などのリスクに応じて変更することです。不審なログイン、端末紛失、担当者の退職、誤送信、他サービスからの流出通知があった場合は、すぐに変更します。理由のない頻繁な変更より、長く固有のパスワード、適切な保管、二段階認証を組み合わせることが大切です。
ブラウザーの保存機能だけでもよいですか
使い回しを避け、端末とブラウザーのアカウントを安全に管理できるなら、ブラウザーの保存機能も選択肢です。端末の画面ロック、ブラウザーアカウントの二段階認証、共有パソコンで同期しないことなどを確認してください。複数人で共有・権限管理する場合は、組織向け機能を持つパスワード管理ツールの方が運用しやすいことがあります。
二段階認証を設定すれば弱いパスワードでも大丈夫ですか
いいえ。二段階認証は重要ですが、弱いパスワードを放置する理由にはなりません。長く固有のパスワードと二段階認証を組み合わせてください。また、復旧コードや認証アプリを利用できなくなった場合の復旧手順も準備します。
まとめ
WordPressのパスワードは、十分に長く、他のサービスで使っていないものを選びます。初心者はWordPressの自動生成機能を使い、パスワード管理ツールへ保存する方法が分かりやすく安全です。名前や誕生日、サイト名、定番の単語を避け、メールやチャットで平文共有しないようにします。
複数人でサイトを運営する場合は、アカウントを一人ずつ分け、必要最小限の権限を割り当てます。不審なログインや漏えいの疑いがあるときは、安全な端末から認証情報を変更し、ユーザー、記事、テーマ、プラグインに意図しない変更がないか確認してください。強いパスワードだけに頼らず、二段階認証、更新、バックアップ、不要アカウントの整理も合わせて続けることが、WordPressを安全に運営する基本です。
