WordPressのログインに「二段階認証」を入れる前に｜仕組み・つまずきやすい所・スマホを替えたときの備え

WordPressの乗っ取りの多くは、管理画面のログインから入られます。

パスワードを当てられたり、ほかのサービスから漏れたパスワードを使われたりするためです。

その対策として効果が大きいのが「二段階認証」です。

この記事では、仕組みと、入れる前に知っておきたいつまずきやすい所をまとめました。

■二段階認証とは

パスワードに加えて、もう1つ「本人しか持っていないもの」で確かめる仕組みです。

WordPressでは、次のどちらかが多く使われます。

・スマホの認証アプリに出る、6けたの数字

・メールで届く、確認用の数字

パスワードが漏れても、スマホやメールがなければログインできないので、乗っ取りを大きく防げます。

■入れ方の流れ

1. 二段階認証のプラグインを入れる

2. 自分のユーザーの設定画面で、使う方法（認証アプリかメール）を選ぶ

3. 認証アプリなら、画面に出る四角い模様をスマホの認証アプリで読み取る

4. 表示された数字を入れて、設定を終える

5. 予備のコード（バックアップコード）を保存する

■つまずきやすい所

1. 予備のコードを保存していない

スマホをなくしたり、機種を替えたりすると、ログインできなくなります。

設定のときに出る予備のコードは、紙に書くなどして、スマホとは別の場所に保管します。

2. スマホを替えるときに、認証アプリを移していない

新しいスマホに替える前に、認証アプリの移し方を確かめておきます。

3. 管理者が複数いるのに、自分だけ設定した

管理者の権限を持つ全員が設定しないと、設定していない人のアカウントから入られるおそれがあります。

4. メールで届く方法を選んだが、メールが届かない

迷惑メールに入る、届くのが遅い、ということがあります。

認証アプリの方法のほうが、届かない心配がなく安心です。

■あわせて見直したいこと

二段階認証とあわせて、次も見直すと、守りがさらに固くなります。

・ほかのサービスと同じパスワードを使っていない

・管理者の権限を持つ人が、必要な人だけになっている

・辞めた人のアカウントが残っていない

■自分で確かめるチェックリスト

・管理者の権限を持つ人を書き出した

・使う方法（認証アプリかメール）を決めた

・全員が二段階認証を設定した

・予備のコードを、スマホとは別の場所に保管した

・スマホを替えるときの手順を確かめた

・パスワードの使い回しをやめた

■よくある質問

Q. 二段階認証を入れると、毎回のログインが面倒になりませんか？

A. 数字を入れる手間は増えますが、数秒です。乗っ取られたときの手間に比べれば、ずっと小さくて済みます。

Q. スマホをなくして、ログインできなくなりました。

A. 予備のコードがあれば、それでログインできます。ない場合は、サーバー側からプラグインを止めるなどの作業が必要になるので、相談をおすすめします。

Q. 作業を外部に頼むとき、二段階認証はどうしますか？

A. 作業用のアカウントを別に作り、作業の間だけ使ってもらう方法が安全です。終わったら、そのアカウントは削除します。

Q. ログイン画面のアドレスを変える対策もありますか？

A. 自動の攻撃を減らす効果はありますが、二段階認証の代わりにはなりません。両方を組み合わせると安心です。

Q. 二段階認証を入れれば、ほかの対策はいりませんか？

A. ログインの守りは固くなりますが、古いプラグインの弱点を突く攻撃は防げません。更新とバックアップも続けましょう。

■まとめて任せたい方へ

ご自分で設定できる方は、この手順で十分です。

「設定でログインできなくなるのが怖い」「ほかの対策もまとめてやってほしい」という方には、乗っ取りを防ぐ対策をお受けしています。

WordPressの乗っ取りを防ぐ対策をします

https://coconala.com/services/4456347