WordPressの初期設定では、ログインページで間違ったユーザー名やパスワードを入力するとエラーメッセージが表示されます。これらのメッセージはユーザーを助けるためのものですが、サイトに侵入しようとするハッカーの手がかりにもなります。
これらのログインヒントを無効化することは、サイトのセキュリティを向上させる簡単な方法です。ログイン情報を推測されにくくなります。
この投稿では、WordPressでログインヒントを無効化する方法を説明します。
WordPressのログインエラーメッセージにおけるログインヒントとは？
誰かが間違ったユーザー名やパスワードを使ってサイトにログインしようとすると、WordPressはログイン画面にエラーメッセージを表示します。
この人が間違ったユーザー名やメールアドレスを入力した場合、WordPressは次のエラーを表示します：’ユーザー名はこのサイトに登録されていません。ユーザー名が不明な場合は、代わりにメールアドレスを試してください’。
これは本物のユーザーには便利かもしれないが、ハッカーには間違ったユーザー名を入力していることを知らせることにもなる。
正しいユーザー名を入力しても、パスワードが間違っているとエラーになります。パスワードをお忘れですか？
これにより、潜在的な攻撃者に正しいユーザー名の推測を確認することができる。
もし誰かがあなたのユーザーネームを推測することに成功したら、エラーメッセージは彼らが正しい道にいることを知らせます。つまり、あなたのパスワードだけが、あなたのアカウントへの侵入を阻むのです。
WordPressサイトの所有者は、ユーザー名の代わりにメールアドレスを使用してサイトにログインすることもできます。これは、ハッカーがWordPressアカウントに使用しているアドレスを把握するために、異なるメールアドレスを入力する可能性があることを意味します。
ハッカーが正しいメールアドレスを推測するとすぐに、WordPressは「ユーザー名に入力したパスワードが間違っています」というエラーに切り替わる。
WordPressブログやサイトをハッカーから守るために、アカウントには常にユニークなユーザー名と強力なパスワードを使用する必要があります。
サイトに他のWordPressユーザーや投稿者を追加した場合は、WordPressプラグインを使用してユーザーに強力なパスワードを作成させることもできます。
これらの手順は素晴らしいスタートですが、ログインヒントはハッカーがあなたのサイトに侵入するのを助ける可能性があります。このことを念頭に置いて、WordPressのログインエラーメッセージのログインヒントを非表示にする方法を見てみましょう。
WordPressでログインヒントを非表示にする
WordPressのログインエラーメッセージでログインヒントを無効化する最も簡単な方法は、WordPressにコードを貼り付けることです。通常、初心者にはお勧めしませんが、WPCodeを使えば誰でも簡単にWordPressサイトにコードを追加することができます。
以下のコード・スニペットをサイトのfunctions.phpファイルの一番下に追加することもできますが、そうするとサイトが壊れてしまう可能性があります。
無料のWPCodeプラグインのインストールをお勧めします。詳しい手順については、WordPressプラグインのインストール方法をご覧ください。
有効化したら、WordPressの管理ダッシュボードからCode Snippets “+AddSnippetにアクセスするだけです。そして、「カスタムコードを追加」にマウスオーバーし、「スニペットを使用」をクリックします。
その後、新規スニペットに名前を付け、以下のコードを「コードプレビュー」エリアに貼り付けるだけです：
function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );
このコードは初期設定のログインページエラーを‘Something is wrong!’のようなカスタマイザーメッセージに変更します。
また、このコードはWordPressに初期設定のエラーの代わりにカスタマイザーメッセージを表示するように指示します。上のコード例では、エラーメッセージとして「Something is wrong!
この行を変更して、好きなメッセージを表示させることができる。例えば、ここではエラーメッセージとして「Something is wrong!
return 'Something is wrong!';
コードタイプ」のドロップダウンからPHPを選択し、スイッチを「有効化しない」から「有効化する」に切り替えて、「スニペットを保存」をクリックする。
それができたら、新しいエラーメッセージをテストするのがよいでしょう。
このテストを行うには、あなたのサイトのログインページに向かい、間違ったユーザー名、パスワード、メールを入力するだけです。そして、「ログイン」ボタンをクリックしてください。
WordPressは新しいエラーメッセージを表示しますが、何が間違っているのかについてのヒントは表示しません。
このコードはWordPressのログインヒントを無効化しますが、より高度な攻撃やブルートフォース攻撃からあなたを守ることはできません。
ハッカーによるサイトへのアクセスを防ぐ最も簡単な方法は、CloudflareやWordFenceのようなWordPressセキュリティプラグインを使用することです。
詳しくは、WordPressサイトのセキュリティ対策に関する究極のガイドをご覧ください。
動画チュートリアル
簡単にできるように、WordPressのログインエラーメッセージのログインヒントを無効化する方法の動画チュートリアルも作成しました。
ボーナスヒント：WordPressのログインセキュリティの向上
強力なユーザー名とパスワードの重要性はお分かりいただけたと思いますが、ログインのセキュリティを高めるための追加の方法をいくつか探ってみましょう。これはあなただけでなく、あなたのブログに貢献している人、特に複数の投稿者が運営している場合にも重要です。
あなたのアカウントをより安全に保つためのボーナスヒントをいくつかご紹介します：
- 2要素認証（2FA）を有効化する：これは、テキストメッセージのコードやセキュリティの質問のような第二の認証形式を必須とすることにより、セキュリティの追加レイヤーを追加します。
- パスワード・マネージャーを使う：これらのツールを使えば、複雑なパスワードを安全に作成・保存できるので、すべて覚えておく必要はありません。
- パスワードは定期的に更新しましょう：不正アクセスのリスクを最小限に抑えるため、パスワードは数ヶ月ごとに変更しましょう。ユーザーに対してパスワードの更新を強制できればなお良い。
- 機密性の高いログインに公衆Wi-Fiを使わない：重要なアカウントにログインする際は、可能であれば安全なプライベート接続を使用する。
- ソフトウェアを常に更新する：定期的な更新は、攻撃者が悪用する可能性のあるセキュリティの脆弱性からあなたを守ることができます。
さらに、WordPressサイトへのログインを制限したい場合もあるでしょう。
ブルートフォース攻撃では、ハッカーは自動化されたソフトウェアを使用し、ログイン試行回数が無制限であるプラットフォームの初期設定により、繰り返しパスワードを推測する。
ログインに5回失敗したらユーザーを一時的にロックアウトするなど、ログインの失敗回数を制限することで、ブルートフォース攻撃による不正アクセスのリスクを大幅に減らすことができます。
WordPressのログインエラーメッセージからログインヒントを非表示にする方法について、この投稿がお役に立てれば幸いです。次は、プライベートログインとページでクライアントポータルを作成する方法やWordPressにソーシャルログインを追加する方法についてのガイドもご覧ください。
If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.
Thomas Maier
Hello how can i translate the code above in different languages? I need it for the woocommerce login for the customers.
WPBeginner Support
You would want to change the ‘Something is wrong!’ text to the text you want but if you want the text to change into multiple languages, that would require a bit more coding than we would have for a beginner article. In that case you would want to take a look at multilingual plugins.
管理者
Vahn
Thank you loads! I spent hours looking for the place to change this.
WPBeginner Support
Glad our guide was helpful
管理者
Izzy
When I add this to my WpTouch plugin, it shows a part of the code in my header…
WPBeginner Support
As long as the code is working on the desktop version you would want to reach out to WPTouch to let them know about that issue to take a look.
管理者
Anand
Well it is easy to know the username if it is right, as when entered correct username and the wrong password, the username field does not get blank even after getting the ‘something is wrong’ warning. Which clearly is a hint the yes this is the correct username. Is there any way to make the username field blank in this scenario. Please help.
Shane
Is there a way to change the text of the error message on the lostpassword page that says by default, “Please enter your username or email address. You will receive a link to create a new password via email.”?
I can’t seem to find any material on the subject
Nick
I was wondering the same thing. Why can’t we just change the wording of the error message instead of adding a function that might be overwritten with the next update?
Paco
The only thing is that when you enter a correct username and an incorrect password, it gives a message “something is wrong” but you can see the username, which confirms it in case you have guessed it. I don´t know if this happens in WordPress 4.5. Is there any way of leaving the username field blank even though it´s correct? Thank you
maudenicholson2
I am curious to find out what blog system you’re using? I’m having some small security issues with my latest website and I would like to find something more safeguarded. Do you have any solutions?
WPBeginner Support
We are using WordPress with Sucuri.
管理者
freyaewu73605919
I am truly thankful to the owner of this web page who has shared this enormous article at at this time.
deneengranger
Do you have any video of that? I’d like to find out some additional information.
WPBeginner Support
Video will be available soon. Please subscribe to our YouTube Channel.
管理者
Bob
WP Simple Firewall or Shield gives you the ability to hide the login menu, lock down the Dashboard and it comes with Sucuri and Brute Attack prevention. It is a free plugin, use it in conjunction with a password manager, so you don’t forget or misplace your passwords. I use Lastpass, which is also free. Shield replaced six security plugins and sped up my website.
Phillip George
Is there a help line in Australia as I have forgotten my user name for logon being a little old it is a problem
Bob
G’day Phillip, sorry mate no help line. Try going through whoever hosts your website, they should be able to help you out. Once reset use a password manager like Lastpass, you only have to remember one password. WRITE IT DOWN; did I say write it down because if you don’t, WRITE IT DOWN you’ll really will be up the creek, without a paddle.