SiteGuard WP Pluginの設定方法｜ログインURL変更・画像認証・不正ログイン対策を初心者向けに解説【2026年版】

SiteGuard WP Pluginを入れたものの、「どれをONにすればよいのか」「ログインURLを変えて自分まで入れなくならないか」と迷っていませんか。設定項目が多くても、最初に確認する機能と順番を分ければ進めやすくなります。

SiteGuard WP Pluginは、ログインページや管理ページを中心に保護を加える無料プラグインです。まずログインページ変更・画像認証・ログインロックを確認し、エラーメッセージの統一と通知・履歴を組み合わせます。すべての機能を一度にONにせず、利用中の機能への影響を確かめながら設定しましょう。

この記事では、現在の管理画面を残したまま設定し、別の画面でログインできることまで確かめる手順を解説します。HOAI Journalの設定画面を例に、各機能の選び方とログインできない場合の対処も確認できます。

確認環境：2026年10月4日、WordPress 7.1.2／SiteGuard WP Plugin 1.8.9。管理者権限で操作する通常のWordPressサイトが対象です。マルチサイトには対応していません。

SiteGuard WP Pluginで最初に設定すること

SiteGuard WP Pluginの設定は、入口を変える対策、機械的な試行を減らす対策、異常に気づく対策に分けると理解しやすくなります。

機能	役割	最初に確認すること
ログインページ変更	標準と異なる入口にする	変更後URLを控えてログイン確認
画像認証	機械的な入力を難しくする	利用者が入力できる文字種を選ぶ
同一エラーメッセージ	推測のヒントを減らす	有効になっているか確認
ログインロック	同じ接続元の連続失敗を一時停止	初期値を目安に運用への影響を確認
アラート・履歴	心当たりのないログインに気づく	本人の登録メールと履歴を確認

これらは一つだけを使うのではなく、役割が重なる部分を補い合います。ログインURLを変更しても、それだけで標的型の攻撃やパスワード漏えいを防げるわけではありません。WordPress本体・テーマ・プラグインの更新、推測されにくいパスワード、不要な管理者の削除、バックアップも併用してください。

設定前に準備する3つのこと

初めて有効化するときからログインURLが変わるため、インストール前に次の3点を準備します。すでに導入済みの場合は、現在の設定と変更理由を確認してから進めてください。

• 現在のWordPress管理画面を開いたままにする
• 「ユーザー」→「プロフィール」の自分のメールと、「設定」→「一般」の管理者メールが受信できるか確認する
• 変更前のバックアップまたは復元手段を確認する

新しいURLでログインできると確認するまで、現在の管理画面を残してください。共同管理者がいる場合は、変更するタイミングと新しいURLの共有方法も先に決めます。他のプラグインによるログインURL変更機能を重ねて使わないことも確認しましょう。

まだWordPressを開設していない場合は、「WordPressの始め方｜エックスサーバーで開設する全手順」から先に進められます。

SiteGuard WP Pluginをインストールして有効化する

未導入の場合は、WordPress管理画面の「プラグイン」→「プラグインを追加」から「SiteGuard WP Plugin」を検索し、開発元を確認してインストールします。公式ディレクトリのSiteGuard WP Pluginページでも、説明、対応状況、更新履歴を確認できます。

検索結果では、下の盾型の「SITEGUARD WP Plugin」アイコンと、開発元名「jp-secure（JP-Secure）」を目印にしてください。同名に近いプラグインではなく、公式ディレクトリに掲載されたものか確認します。

初回の有効化時には、ログインページ変更などの機能が自動で有効になります。通知メールと「SiteGuard」→「ログインページ変更」で変更後URLを確認し、安全な場所へ保存してください。メールが届かなくても、現在開いている管理画面の表示から確認できます。導入済みの方は、以下の手順で現状を点検します。

ログインURLを変更する

ログインページ変更は、標準のログインページとは異なる入口を設定し、機械的な攻撃の対象になる機会を減らす機能です。開発元も、推測されにくいページ名を設定するよう案内しています。

「管理者ページからログインページへリダイレクトしない」をチェックすると、未ログインで管理ページへアクセスしたとき、変更後のログイン画面へ自動転送しなくなります。現在の版ではサイトのトップページへ移動するため、新しいURLの控えが必要です。動作やレスキュー機能は、開発元のログインページ変更マニュアルで確認できます。

画像認証を設定する

画像認証は、画像内の文字を入力する欄を追加する機能です。「SiteGuard」→「画像認証」で、ログイン・コメント・パスワード再設定・ユーザー登録の各画面に使う文字種を選びます。

機能が有効になっていることを確認し、対象ごとに「ひらがな」「英数字」「無効」を選びます。変更したら画面下部の「変更を保存」を押してください。画面の「パスワード確認ページ」は、ユーザーが忘れたパスワードを再設定するためのページです。パスワードで保護した投稿・固定ページの入力欄とは異なります。

HOAI Journalでは各対象をひらがなにしています。上の画面は設定と保存操作の部分を抜粋したものです。利用者に日本語を入力できない人がいれば、次の目安で英数字などを選びます。

設定対象	判断の目安
ログインページ	管理者が無理なく読める文字種を選ぶ
コメントページ	コメント欄を使う場合に設定する
パスワード確認ページ	パスワード再設定時にも入力できる文字種を選ぶ
ユーザー登録ページ	一般ユーザー登録を許可している場合に設定する

日本語で管理するサイトでは、ログインページをひらがなから始めてもよいでしょう。海外の担当者が操作する場合や、日本語キーボードを使えずひらがなを入力できない人がいる場合は、英数字を検討します。設定後は、実際のログイン画面で読み取れるか確認してください。対象と文字種の最新仕様は、開発元の画像認証マニュアルで確認できます。

画像認証が読みにくい場合は、繰り返し失敗する前にページを再読み込みし、別のブラウザでも表示を確かめます。利用者が入力できない場合は文字種や対象を見直し、無効にするならログインロックなど他の対策と運用上の影響も確認してください。

ONなのに画像が出ない場合は、設定画面の警告を確認します。1.8.9では、画像を生成できない環境などでログイン不能を避けるため画像認証が省略されることがあります。設定がONでも、実際のログイン画面に画像認証が表示されることを確認してください。必要なPHP機能や保存先の状態は、公式ディレクトリの要件・更新履歴を確認し、サーバー会社や保守担当者へ相談します。

ログイン詳細エラーメッセージとログインロックを設定する

ログイン詳細エラーメッセージの無効化は、ユーザー名、パスワード、画像認証のどれを間違えたかを区別しにくい共通メッセージへ変更します。攻撃者へ推測のヒントを渡しにくくするため、基本的にはONから始めます。

ログインロックは、同じ接続元から一定期間内にログイン失敗が続いた場合、その接続元からのログインを一時的に止める機能です。ただし、多数の接続元を使う攻撃や、間隔を空けた攻撃には効果が限られると公式マニュアルにも記載されています。

「SiteGuard」→「ログインロック」を開き、機能が有効か確認します。初期値は「期間5秒・回数3回・ロック時間1分」です。「期間」は失敗を数える時間枠、「回数」はロックするまでの失敗数、「ロック時間」はその接続元を止める長さを表します。設定を変えた場合は「変更を保存」を押してください。

現在選べる設定値や初期値は変更される可能性があるため、開発元のログインロックマニュアルとログイン詳細エラーメッセージの無効化マニュアルで最新情報を確認します。

ログインアラートとログイン履歴で異常に気づく

ログインアラートは、ログインがあったことをメールで知らせる機能です。心当たりのない通知が届いた場合に、不正ログインの可能性へ早く気づけます。

「SiteGuard」→「ログインアラート」で有効になっていることと、「管理者のみ」の対象設定を確認します。通知先はログインしたユーザー自身の登録メールアドレスです。「ユーザー」→「プロフィール」のメールを確認し、自分でログインしたときに受信できるかテストしてください。初期状態では「管理者のみ」が選択されています。サイト共通の管理者メールを変えるだけでは、各ユーザーの通知先は変わりません。詳しくはログインアラートマニュアルを参照してください。

ログイン履歴では、成功、失敗、ロックなどの結果と、ログイン経路を確認できます。失敗が多いだけで侵入されたとは限りません。最初に、心当たりのない「成功」がないかを確認します。履歴項目の意味は、開発元のログイン履歴マニュアルで確認できます。

管理ページアクセス制限などは条件を確認して設定する

SiteGuard WP Pluginには、基本機能のほかにも管理ページアクセス制限、フェールワンス、XML-RPC防御、ユーザー名漏えい防御、更新通知などがあります。便利ですが、サイトの使い方に影響するものがあるため、すべてを一括でONにしません。

管理ページアクセス制限

ログインしたことのない接続元IPアドレスから管理ページへのアクセスを制限する機能です。IPアドレスは接続元を識別する情報で、自宅回線からモバイル回線へ切り替えると変わる場合があります。管理ページが404になったら、控えた変更後ログインURLから入り直します。同じ回線のシークレットウィンドウだけでは、IPアドレスが変わった場合の動作確認にはなりません。外部連携に必要な除外パスも含め、管理ページアクセス制限マニュアルを確認して判断してください。

フェールワンス

正しい情報でも最初の1回を失敗にし、その後5秒以上待って、最初の試行から60秒以内に再ログインする機能です。初期値はOFFです。共同管理者が仕様を知らないと、正しいパスワードまで間違いと誤解しかねません。必要性と手順を共有できる場合に検討し、詳しい条件はフェールワンスの公式説明を確認します。

XML-RPC防御

XML-RPCを利用した攻撃への対策です。外部アプリや連携機能がXML-RPCを使っている場合は、完全に無効化すると動作へ影響する可能性があります。現在の選択肢と役割をXMLRPC防御マニュアルで確認し、利用中の連携サービスをテストして判断します。

ユーザー名漏えい防御

「ユーザー名漏えい防御」の有効化と、追加オプションの「REST API 無効化」は分けて判断します。前者は「?author=数字」のようなアクセスによるユーザー名の取得を防ぎます。REST APIはWordPressと他の機能がデータをやり取りする仕組みで、無効化するとプラグインや外部連携に影響する場合があります。HOAI Journalではユーザー名漏えい防御はON、REST API無効化は未チェックです。必要な場合だけ、公式マニュアルと利用中の連携機能を確認し、現行画面の「除外する REST API ネームスペース」で必要な連携先を指定します。

更新通知

WordPress本体・プラグイン・テーマの更新を管理者ユーザーへメールで知らせる機能です。自動で更新する機能ではありません。受信できるメールと、通知後にバックアップ・更新・動作確認を行う担当を決めておきましょう。通知対象の設定は更新通知マニュアルで確認できます。

ログインできない・失敗履歴が続く場合の対処

まず「履歴に失敗が多い」のか「自分がログインできない」のかを分けます。管理画面を開ける場合は、次の図のように成功履歴を確認してください。

失敗履歴が多い場合

「SiteGuard」→「ログイン履歴」を開き、心当たりのない成功があるかを先に確認します。失敗やロックだけで、管理画面へ侵入されたと断定はできません。

心当たりのない成功が見当たらなければ、ログインページ変更・画像認証・ログインロックと外部連携の設定を確認し、経過を記録します。ただし、履歴は最大10,000件で古いものから削除されるため、成功履歴がないだけで安全とは断定できません。

心当たりのない成功がある、または判断できない場合は、日時・ユーザー名・結果・ログイン種別などを記録してから、信頼できる端末でパスワード変更や管理者の確認を進めます。不要な操作を重ねず、保守担当者やサイト制作会社へ相談してください。サーバー側WAFや障害が疑われる場合は、契約中のサーバー会社にも確認します。履歴にはIPアドレス等が含まれるため、公開せず相談に必要な相手だけへ共有します。

変更後のログインURLを忘れた場合

ブックマーク、パスワード管理ツール、有効化時の「ログインページURLが変更されました」という通知メールを確認します。見つからなければ、公式の「ログインURLレスキュー機能」で、管理者ユーザーの登録メールへURLを送信できます。利用するのは「ユーザー」→「プロフィール」に登録されたメールで、サイト共通の管理者メールとは異なる場合があります。操作方法と送信回数の制限は、ログインページ変更マニュアルのレスキュー機能で確認してください。

ログイン画面が表示されない場合

入力したURLの誤り、キャッシュ、別のセキュリティプラグインやサーバー側WAFとの競合を確認します。管理画面へ入れない状態でプラグインファイルを変更すると影響が大きいため、バックアップなしで作業しないでください。サーバー側WAFやキャッシュの影響が疑われる場合は、契約中のレンタルサーバー会社（例：エックスサーバー）のサポート窓口へ、表示されないURLと発生時刻を伝えて確認を依頼します。SiteGuardの設定が原因と思われる場合は、開発元の公式FAQも確認してください。

設定後に確認するチェックリスト

• 変更後ログインURLを安全な場所へ保存した
• シークレットウィンドウでログイン画面を表示できた
• 画像認証を読み取り、ログインできた
• ログインアラートが、ログインしたユーザーの登録メールへ届いた
• ログイン履歴で自分の成功を確認できた
• コメント、ユーザー登録、外部アプリなど利用中の機能へ影響がない
• WordPress本体、テーマ、プラグインが最新状態か確認した
• バックアップと復元方法を確認した

設定は一度で終わりではありません。プラグインの更新後、ログイン方法を変えたとき、管理者を追加したときは、同じチェックを繰り返します。SiteGuardの機能一覧と最新マニュアルは、開発元の使用方法ページから確認できます。

よくある質問

SiteGuardでログインURLを変更すれば不正ログインを防げますか？

ログインURL変更だけで、すべての不正ログインを防ぐことはできません。機械的な攻撃の対象になる機会を減らす対策の一つです。画像認証、ログインロック、通知・履歴、強いパスワード、更新、バックアップを組み合わせてください。

画像認証はひらがなと英数字のどちらがよいですか？

日本語で管理し、全員がひらがなを入力できるなら、まずはひらがなから確認できます。海外の担当者や、日本語キーボードを使えずひらがなを入力できない人がいる場合は、英数字を検討します。文字種より、実際の利用者が無理なく読み取れてログインできることを優先してください。

ログイン失敗が多いのは、サイトへ侵入されたという意味ですか？

失敗やロックが多いだけでは、侵入されたとは断定できません。ログイン履歴で、心当たりのない成功がないかを先に確認します。成功履歴に心当たりがあるか判断できない場合は、パスワード変更や管理者確認などの保護対応を進めてください。

管理ページアクセス制限はONにした方がよいですか？

接続元IPアドレスの変更や外部連携へ影響するため、全員に一律でONを勧める設定ではありません。変更後ログインURL、復元方法、必要な除外パスを用意して判断します。同じ回線のシークレットウィンドウだけでは、接続元が変わった場合の確認にはなりません。

設定後にログインできない場合はどうすればよいですか？

開いている管理画面を残し、変更後URL、画像認証、ロック時間、フェールワンスの有無を確認します。URLを忘れた場合は通知メールや公式レスキュー機能を確認してください。原因が分からなければ、ファイルをむやみに変更せず、保守担当者やサイト制作会社へ相談します。

まとめ

SiteGuard WP Pluginは、ログインページ変更、画像認証、同一エラーメッセージ、ログインロック、ログインアラートを順番に設定すると、初心者も役割を理解しながら進められます。

最も大切なのは、現在の管理画面を残したまま、別のシークレットウィンドウから新しいURLでログインできることを確かめることです。通知の受信と履歴も確認して完了にします。管理ページアクセス制限やREST API・XML-RPCに関わる設定は、利用中の機能への影響を確認してから判断してください。

設定後はログイン履歴を定期的に確認し、失敗件数だけではなく、心当たりのない成功がないかを見てください。SiteGuardだけで完結させず、「WordPress初期設定完全ガイド」とあわせて、更新、管理者、パスワード、バックアップまで整えると安心です。

目的別に次の記事を選ぶ

SiteGuard以外も含めて、WordPress公開前の初期設定を一通り確認したい方は、初期設定の総合ガイドへ進んでください。

まだWordPressを開設していない方は、エックスサーバーを使った開設手順から確認できます。