Wordfenceを使ってWordPressのログイン画面に2要素認証を設定してみよう

2要素認証とは

認証方法には、IDとパスワードによる認証以外にも多くの種類があります。以下３つのグループ（要素）に分けることができます。

例えば、以下の組み合わせで認証する会員制のWebサービスなどを利用したことはありませんか？

• まずパスワード認証を行う
• 次に、スマートフォンのSMSに送信されたパスコードを入力し、ログインを完了する

この場合は「知識要素」と「所有要素」の組み合わせとなります。このように、2つの異なる要素で認証することを「2要素認証」と言います。2要素認証を導入することで、セキュリティを強化できます。

以前は、パスワード認証後に秘密の質問などを入力する「2段階認証」もよく利用されていました。しかし現在では、2つの異なる要素を使って認証することが重要とされています。

Wordfenceの2要素認証を利用するには？

Wordfenceは、WordPressサイトのセキュリティ機能を強化できるプラグインです。

Wordfenceの2要素認証を利用するには、以下のいずれかを選択してください。ログインセキュリティ以外の機能も利用したい場合はWordfence Security、2要素認証のみを利用したいのであればWordfence Login Securityを選べばよいでしょう。

なお、Wordfence Security のスキャン機能については、以下の記事にて詳しくご紹介しています。

不正ログインの改ざんに備える！ Wordfence Security のスキャン機能を使ってみよう

スマートフォン側にワンタイム・パスワード認証アプリが必要

Wordfenceで2要素認証を利用するには、スマートフォン側に、時間ベースのワンタイム・パスワード認証に対応した認証アプリが別途必要となります。

時間ベースのワンタイム・パスワード認証は、決まった時間ごとに毎回違ったパスコードが表示します。パスコードを時間枠内に使用しないと無効となります。

Wordfenceがサポートしている認証アプリについては、Wordfence公式サイトの Two-Factor Authentication で確認できます。

この記事では「Google Authenticator」を利用してみました。簡単に使えるのでおすすめします。

Wordfenceで2要素認証を設定する

WordPressの管理画面へのログイン方法

WordPressのログイン画面で、ユーザー名とパスワードを入力して「ログイン」をクリックすると、2FA Codeの入力欄が表示されます。

スマートフォンの認証アプリ側で表示されている6桁のコードをここへ入力し、「Log In」をクリックすればログイン完了です。

※2FA：Two-factor authentication（2要素認証）の略

2FA Codeの入力画面が表示されない場合のログイン方法

他のプラグインでの設定の影響などで、2FA Codeの入力画面が表示されない場合があります。

以下は、他のプラグインによってWordPressのログイン画面内にreCAPCHAのバッジを表示させているケースです。ユーザー名とパスワードを入力して「ログイン」をクリックすると、CODE REQUIREDが表示し、2FA Codeの入力画面は表示されませんでした。

このような場合は、パスワード欄に、パスワードに続いて6桁のコードを入力後、「ログイン」をクリックします。ログイン可能となることをお試しください。

回復コードの使い方

ダウンロードした回復コードは、スマートフォンの紛失や電源が入らないなど、認証アプリを入れたスマートフォンを利用できない時に使います。

どうしてもログインできない場合

FTPソフト、またはご利用のレンタルサーバーが提供するファイルマネージャーなどを使い、以下のディレクトリからWordfenceのフォルダを削除（またはリネーム）してください。

/wp-content/plugins

※Wordfence Login Securityの場合、フォルダ名は wordfence-login-security です。

以上、Wordfenceを使ってWordPressのログイン画面に2要素認証を設定する手順をご紹介しました！