CTO1985年北海道生まれ。200社以上の大手上場企業のWordPressサイトの制作、保守・セキュリティをサポートしている。■WordPressバージョンアップ代行サービス「wp.versionup」WordPressの管理画面は、初期状態のままだとIDとパスワードを入力するだけでログインできます。パスワード認証だけでは安全性が低くセキュリティが不十分なため、二段階認証を導入することで不正ログインやアカウント乗っ取りの被害を防止し、セキュリティを強化することを推奨します本記事は、二段階認証の基本とWordPress管理画面での導入方法を解説します。「Two-Factor」の設定手順まとめ二段階認証とは二段階認証は、パスワード認証に別の認証方法を追加することで本人以外が不正にログインできないようにする仕組みです。通常、IDとパスワードだけの認証方法では、情報が盗まれたり推測された場合に認証が突破されるリスクがあります。そこで、指紋認証やスマートフォンを使用した別の認証方法を追加することで、セキュリティを強化しWebサイトを安全に保ちます。多くのクラウドサービスでも、二段階認証が採用されています。WordPressで二段階認証を推奨する理由WordPressの場合、初期状態ではID・パスワード認証だけでログインできます。WebサイトのURLを知っていれば、ログインURLも推測することが可能です。パスワードを複雑にしても、ツールを使った総当たり攻撃などで認証を突破することは可能です。このように初期状態ではセキュリティ面のリスクがあるため、不正ログインなどのリスクを軽減し、安心して使用できるように二段階認証の導入が推奨されています。「二段階認証」と「二要素認証(多要素認証)」の違い「二段階認証」と良く似た言葉に「二要素認証(多要素認証)」があります。それぞれの言葉の違いを簡単に説明します。認証には「認証の三要素」と呼ばれる基本要素があります。知識情報は、本人だけが知っている情報です。ID・パスワードの組み合わせや、PINコード、秘密の質問の答えが該当します。所持情報は、本人だけが所持しているものを使用する情報です。ICチップが搭載されたカード類や、スマートフォンを使用するSMS認証/ワンタイムパスワードが該当します。認証の三要素のうち、同じ要素を2つ組み合わせた認証を二段階認証と呼びます。異なる要素を組み合わせた認証を多要素認証(2つの場合は二要素認証)と呼びます。ID・パスワードを入力した後、事前に設定してあった秘密の質問に答えるケースは、同じ知識情報を使用しているため二段階認証となります。パスワードを入力した後に指紋認証を行うケースは、知識情報と生体情報という異なる要素を組み合わせているため二要素認証となります。セキュリティで重要なのは、複数の要素を組み合わせることセキュリティ強化を目的とした場合は、可能な限り、より強固なセキュリティを実現できる二要素認証を導入することを推奨します。単要素の二段階認証として「ID/パスワード」と「秘密の質問」を設定している場合、その両方を同一のPCに保存しているケースが考えられ、一度のサイバー攻撃で同時に漏洩するリスクがあるためです。Authentication・2FA)の導入を推奨します。WordPressで二要素認証を実装する方法WordPressで二要素認証を実装する方法として、以下の方法がよく使われています。Authenticator」と「Two-Factor」を組み合わせた方法を紹介します。「Two-Factor」は、WordPressにログインする際に、通常のパスワード認証以外に他の認証を追加できるプラグインです。メール認証、ワンタイムパスワードなど複数の認証方法を追加できますが、今回は導入が容易で安全性も高いスマートフォンのアプリ認証を使用します。Authenticator」は、Googleが提供している認証の仕組みです。スマートフォンやタブレットにアプリをインストールし、アプリ上に表示される6桁の認証コードを用いて認証を行います。同名のWordPressプラグインもありますが、別のものです。Authenticator」をインストールします。ユーザーごとに認証の設定を行うため、ログインする担当者のスマホそれぞれにアプリをインストールする必要があります。「Two-Factor」の設定手順WordPress管理画面で「プラグイン」→「新規プラグインを追加」を開きます。キーワード欄にプラグイン名(Two-Factor)を入力して検索し、該当アプリの「今すぐインストール」をクリックしてから「有効化」をクリックします。WordPress管理画面で「ユーザー」→「ユーザー一覧」をクリックし、設定するユーザーの「編集」をクリックします。ユーザー編集画面の下部にある「Two-Factor設定」項目を設定します。設定箇所は、「有効」と「メイン」の2種類があります。メインには二要素認証を実現できる「認証アプリ」を、サブには運用が容易な「メール」または「リカバリーコード」を設定するのがおすすめです。追加設定:「新しいリカバリーコードを生成」をクリックし、生成された10個のコード情報をダウンロード認証:ログインする都度、リカバリーコードを入力。Online/ファイド)認証の1方式です。通常のパスワード認証に、セキュリティキーを追加した二段階認証を提供します。使用するには、専用のデバイスを購入する必要があります。まとめWordPressは初期状態のままだと安全性が低いため、追加でセキュリティ対策を行うことが重要です。二段階認証(二要素認証)は不正ログイン防止策として有効で、導入も手軽なため、行っておくことをおすすめします。WordPress保守・運用のパートナーなら「wp.support」にお任せ!WordPressサイトを運用していて、以下のようなお悩みはありませんか?管理画面を使いやすくしたいけれど、カスタマイズする時間や技術がない...サイトのUI/UXを改善したいけれど、自社内では難しい...WordPressサイトを高速化したいけれど、ノウハウがない...セキュリティ対策をしたいけれど、知識のある人材がいない...日々の業務に追われて、バージョンアップなどの保守業務が放置気味...ちょっとしたトラブルを気軽に相談できる相手が欲しい...「wp.support」は、WordPressのプロフェッショナル集団によるWordPress保守サービスです。「セキュリティ対策」「バージョンアップ対応」「定期バックアップ」はもちろん、「電話サポートが無制限」なのでカスタマイズの方法やトラブル発生時にも気軽にプロに相談できます。「困ったら相談していいんだ、と気持ちが楽になった」と大変ご好評をいただいています。WordPress保守・運用のパートナーをお探しなら、ぜひお気軽にお問合せください。WordPress保守・セキュリティ対策は『wp.support』にお任せ!WordPressのバージョンアップやセキュリティ対策にお悩みではないですか?面倒な保守・運用作業は全て任せて、コア事業に集中してください。