「WordPressの管理画面にログインできない…」「パスワードを忘れてしまった」「強いパスワードってどれくらいの長さがいいんだろう」というWordPressのパスワード周りで困った経験は、サイトを運営していると一度は経験したことがあるはずです。
状況別の正しい手順さえ知っておけば、ログインできない緊急時もパスワード忘れも、慌てずに対処できます。さらに、安全なパスワードの基準と2要素認証などの防御策まで押さえれば、不正ログインのリスクも大きく下げられるでしょう。
本記事では、WordPressのパスワードを変更・再設定する手順から、最新基準で強いパスワードを作る方法、パスワード以外の認証強化策まで、初心者にも分かりやすく解説します。
WordPressのパスワードはどこに、どう保存されているのか
普段は意識する機会の少ない部分ですが、WordPressのパスワードがどこに、どんな形で保管されているのかを知っておくと、トラブル時の理解が早まります。内部の保存の仕組みと、レンタルサーバー側のパスワードとの違いをまとめて解説します。
WordPressのパスワードはハッシュ化されてデータベースに保存される
WordPressに登録したパスワードは、入力した文字列のままデータベースに保存されているわけではありません。実際に保存されているのは「ハッシュ化」という処理を行ったあとの、元に戻せない別の文字列です。
ハッシュ化とは、元のパスワードを一方向の計算で別の文字列に変換する技術のこと。万一データベースの中身が漏えいしても、保存されているハッシュからパスワード本体を取り出すのは現実的に困難な仕組みです。
WordPressにログインする際は、入力されたパスワードを同じ方法でハッシュ化し、データベース上の値と照合しています。つまり、サイト管理者であってもユーザーのパスワード原文を知ることはできません。これは利用者にとっても、サイト運営者にとっても安心材料になるポイントです。
WordPress 6.8以降は「bcrypt」で安全性がさらに向上した
パスワードのハッシュ化に使われるアルゴリズムは、WordPressのバージョンによって違いがあります。WordPress 6.8からは、これまでの「phpass」に代わって、より強力な「bcrypt（ビークリプト）」が既定のハッシュ方式として採用されました。
bcryptは、計算コストを意図的に高めることで、攻撃者がブルートフォース（総当たり攻撃）で正解を見つけるのを難しくする仕組みです。古いハッシュで保存されていたパスワードも、6.8へアップデートしたあとに、各ユーザーが次回ログインまたは変更を行ったタイミングで自動的に再ハッシュされます。
そのため、サイト運営者の側でアカウントを発行しているユーザー全員にパスワードの一斉再設定をお願いする必要はありません。WordPress本体を最新版にアップデートし続けるだけで、パスワードの保管強度も自然に底上げされると覚えておくとよいでしょう。
レンタルサーバーのパスワードとWordPressのパスワードは別物
レンタルサーバーでWordPressを運用していると、混同しやすいのが「サーバー側のパスワード」と「WordPress側のパスワード」の違いです。実際には、用途も保存場所もまったく別物として扱われます。
- サーバー管理画面のパスワード：ロリポップの場合だとユーザー専用ページにログインするためのパスワード
- FTP／SFTPのパスワード：サーバー上のファイルを直接編集するときに使用するパスワード
- WordPressのパスワード：サイトの管理画面（wp-login.php）にログインするためのパスワード
レンタルサーバーの管理画面のパスワードを変えたからといって、WordPress側のパスワードは自動では更新されません。逆もまた同じです。トラブル対応の最初の一手として、自分がいま困っているのはどのパスワードなのかを確認しましょう。
【ログインできる場合】WordPressのパスワードを変更する方法
現在のパスワードでWordPressにログインできているなら、管理画面から数クリックで新しいパスワードに変更できます。所要時間は1〜2分ほど。退職した制作担当者からアカウントを引き継いだ直後や、定期的なセキュリティ点検のタイミングで覚えておきたい操作です。
ステップ1：管理画面にログインしてプロフィール画面を開く
WordPressの管理画面左側のメニューから「ユーザー」→「プロフィール」をクリックしてください。
複数ユーザーで運用しているサイトでも、ここで開かれるのはログイン中のユーザー自身のプロフィール画面です。他のユーザーのパスワードを変更したい場合は、左メニューの「ユーザー」→「ユーザー一覧」から対象ユーザーを選び、編集画面に入る流れになります。
ステップ2：「新しいパスワードを設定」から新パスワードを入力する
プロフィール画面を下にスクロールすると、「アカウント管理」セクションの中に「新しいパスワードを設定」というボタンが見つかります。ボタンを押すと、自動生成された強力なパスワードがあらかじめ入力された状態になります。
そのまま使う場合は、表示された文字列をパスワード管理ツールにコピーして保管しておきましょう。自分で決めた文字列に置き換えたい場合は、入力欄を上書きすればOKです。入力欄の下に強度メーターが表示されるので、「強力」と判定されるかどうかを目安に長さや複雑さを調整してください。
もし強度が「脆弱」と判定された場合は、メーターの下に「脆弱なパスワードの使用を確認」というチェックボックスが現れます。技術的には弱いパスワードでも保存できますが、運用上は避けるのが安全です。
ステップ3：「プロフィールを更新」をクリックして保存する
新しいパスワードを入力したら、画面最下部の「プロフィールを更新」ボタンを必ずクリックして保存しましょう。更新が完了すると、画面上部に「プロフィールを更新しました」というメッセージが表示されます。
このとき、設定後すぐに同じパスワードでログインし直せるかを確認しておくと安心です。万一タイプミスがあっても、現在のセッションが残っている間に気づければ、再ログイン不能になるリスクを避けられるでしょう。
補足：必要に応じて他の端末を強制ログアウトする
パスワードを変更したあと、共有端末や昔使ったPCからのログインがまだ残っていそうだと感じたら、同じプロフィール画面下部にある「他のすべての場所からログアウト」ボタンを活用してください。ボタンを押すと、現在開いているブラウザ以外のセッションがすべて切断されます。
この機能は、共有PCに自動ログイン情報を残したまま帰ってしまった、退職した協力者の端末がまだ生きていそう、といったケースで効果を発揮します。パスワード変更とセットで実行しておくと、より確実にアカウントを掌握できます。
【ログインできない場合】WordPressのパスワードを再設定する方法
パスワードを忘れたり、入力ミスを繰り返してログインできなくなったりした場合は、ログイン画面から直接パスワードを再設定できます。基本の流れはメール送信→届いたリンクから新パスワードを設定とシンプルです。慌てずに進めていきましょう。
ステップ1：ログイン画面の「パスワードをお忘れですか?」を押す
WordPressのログイン画面（初期状態は `https://〇〇/wp-login.php`）にアクセスし、ユーザー名とパスワードの入力欄の下に表示されている「パスワードをお忘れですか?」というリンクをクリックします。
リンクが見つからない場合は、テーマやセキュリティプラグインによって独自のログイン画面に差し替えられている可能性があります。`/wp-login.php?action=lostpassword` のURLにブラウザから直接アクセスすると、標準のパスワード再設定画面を開けます。
ステップ2：ユーザー名またはメールアドレスを入力する
リンクをクリックすると、ユーザー名またはメールアドレスを入力するフォームが表示されます。WordPressに登録してあるユーザー名か、登録時に設定したメールアドレスのどちらかを入力し、「新しいパスワードを取得」ボタンを押してください。
入力した文字列が登録情報と一致しない場合はエラーが返ってきます。ユーザー名は覚えていないがメールアドレスは確実、というケースのほうが多いので、まずはメールアドレスで試してみるのが手っ取り早いでしょう。
ステップ3：届いたメールのリンクをクリックする
入力内容が正しければ、登録メールアドレス宛てに「[サイト名] パスワードのリセット」という件名のメールが届きます。本文中に記載されているパスワード再設定用URLをクリックしてください。
ここで注意したいのが、再設定用URLの有効期限です。WordPressの仕様で、再設定キーは発行から24時間で失効する設定が既定になっています。届いたメールを放置すると、もう一度ステップ1からやり直す必要が出てくるため、できればその日のうちに開きましょう。
ステップ4：新しいパスワードを入力してログインし直す
メール内のリンクを開くと、新しいパスワードの入力画面が表示されます。あらかじめ強力な文字列が自動入力された状態で開かれるので、そのまま「パスワードをリセット」ボタンを押すか、自分で決めた文字列に上書きしてから決定します。
リセット完了後は、画面の案内に従ってログイン画面に戻り、新しいパスワードでログインできるかを確認してください。問題なくログインすることができれば再設定は完了です。次回以降のログイン時に困らないよう、設定したパスワードはパスワード管理ツールやメモアプリにきちんと保管しておきましょう。
【メールが届かない・メールアドレスも分からない】最終手段の対処法
「再設定メールを送信しました」と画面に出たのに、いつまで待ってもメールが届かない。あるいは、登録したメールアドレス自体が思い出せない。そんなときに使える対処法をまとめます。
①まずは迷惑メールフォルダと受信設定を確認する
最初に疑いたいのは、メール受信側の挙動です。GmailやOutlookでは、WordPressからの自動送信メールが迷惑メールフォルダに振り分けられていることが少なくありません。「パスワード」「リセット」などのキーワードでフォルダ全体を一度検索してみましょう。
会社や学校のメールアドレスを使っている場合は、社内の迷惑メールフィルタ設定や受信拒否設定で外部メールがブロックされているケースもあります。情シス担当者に「このドメイン（サイトのドメイン）からのメールを受信できるようにしたい」と伝えると、ホワイトリストに追加してもらえる場合があります。
②phpMyAdminで登録メールアドレスを確認・変更する
メールアドレス自体を忘れてしまった、または受信できないアドレスを登録していたという場合は、サーバー側のデータベースを直接確認する方法が残されています。レンタルサーバーの管理画面から phpMyAdmin にアクセスし、WordPressを使っているデータベースを開いてください。
`wp_users` テーブル（接頭辞は環境によって `wp_` 以外に変更されていることもあります）の中に、登録ユーザーの一覧と `user_email` カラムが入っています。自分のユーザー行を選んで編集し、受信できる別のメールアドレスに書き換えれば準備完了です。再度ログイン画面からパスワード再設定をリクエストすれば、新しいアドレスにメールが届きます。
phpMyAdminの編集は操作を誤るとサイトが動かなくなるリスクがあるため、変更前には必ずデータベースのバックアップを取りましょう。
安全なWordPressパスワードの作り方
「結局、何文字にして、どんな文字を組み合わせれば安全なの?」という疑問に答えます。ここでは米国NIST（国立標準技術研究所）のSP 800-63B（2025年7月の最終版）と、日本のIPAが公開している中小企業向けガイドラインを軸にしながら、WordPressで実践しやすい方法を整理しましょう。
最低でも10文字、できれば15文字以上を目指す
パスワードの安全性は、文字種の複雑さよりも、まず「長さ」で決まります。NISTのSP 800-63B最新版では、パスワード単体で認証する場合は最低15文字、後述する2要素認証と組み合わせる場合は最低8文字を求めています。
日本のIPA「中小企業の情報セキュリティ対策ガイドライン」も、最低10文字以上を推奨しています。WordPressサイトを運用するなら、まずはIPA基準の10文字をクリアし、管理者アカウントのように影響範囲が大きいユーザーは15文字以上を目安に設定するのがおすすめです。
ちなみにWordPressは、パスワード入力欄のヒント文として「12文字以上」を提示しています。長さの感覚に迷ったら、12〜15文字の範囲で組み立てておけば失敗が少ないでしょう。
英大小文字・数字・記号を混ぜて推測されにくくする
長さを満たした上で、文字種の組み合わせも意識しましょう。IPAのガイドラインでは、英字大文字・英字小文字・数字・記号を混在させ、辞書に載っている単語をそのまま使わないことが推奨されています。
避けたいのは、自分の名前・誕生日・電話番号・サイト名など、SNSや名刺から推測できる情報を含めることです。「password123」「admin」「qwerty」のような典型的な弱い文字列も、攻撃ツールの辞書には必ず登録されているので使うべきではありません。
文字種を増やせない場面では、長さで補うのも有効です。短くて複雑な文字列より、長い無意味な単語の連結のほうが、攻撃側からは推測しづらいケースも少なくありません。
他サービスとパスワードを使い回さない
実は、強いパスワードを作ることと同じくらい大切なのが「同じパスワードを複数サービスで使い回さない」という点です。どこか1つのサービスからパスワードが漏れると、攻撃者は同じ組み合わせを別サービスのログイン画面に流し込みます。これは「クレデンシャルスタッフィング攻撃」と呼ばれている攻撃手法です。
WordPressのパスワードを使い回していると、ニュースで聞くような大規模な漏えい事件が起きるたびに、自分のサイトも試行の標的になりかねません。少なくとも管理者・編集者など権限の強いアカウントは、他のサービスと完全に独立したパスワードに分けておきましょう。
自動生成パスワードとパスワード管理ツールを使い分ける
「長くて使い回さない複雑なパスワード」を頭で覚えるのは現実的ではありません。そこで活用したいのが、パスワード管理ツールです。
代表的なものに 1Password、Bitwarden、iCloudキーチェーン、Googleパスワードマネージャーなどがあります。安全な文字列を自動生成し、暗号化された金庫に保管してくれるので、利用者は「マスターパスワード」1つだけを管理すれば済む仕組み。WordPress側で生成された自動生成パスワードを、そのままツールに保存していくのが最も効率的な運用です。
ブラウザに記憶させる方法も手軽ですが、共有端末や紛失時のリスクを考えると、専用ツールに集約するほうが安全だと言えるでしょう。
定期変更よりも「漏えいが疑われる時の即時変更」を優先する
かつては「3か月ごとにパスワードを変えましょう」というルールが一般的でした。しかし、近年のガイドラインは方向性が変わっています。NIST SP 800-63B 最新版では、定期的なパスワード変更を利用者に要求してはならない（SHALL NOT）と明記されています。
理由は明確で、頻繁な強制変更があると、利用者がメモを残したり、わずかな違いだけの似たパスワードを使い回したりして、かえって安全性が下がるためです。代わりに重視されているのは、「アカウントが侵害された証拠がある時にはすぐ変える」「他サービスでの漏えいニュースを見たら、念のため変える」という運用です。
初心者の方は、まず「長く・複雑に・使い回さない」を満たし、漏えいの兆候があったときに迷わず変更する。このシンプルな運用から始めるのがおすすめです。
パスワードだけに頼らないWordPressの認証強化
ここまで強いパスワードの作り方を解説してきましたが、近年の攻撃手法を踏まえると、パスワードだけで守りきるのは現実的に難しくなっています。ここからは、パスワードと組み合わせて使う「多層防御」の選択肢を5つ紹介します。
2要素認証（2FA）で「パスワード＋もう1つ」にする
2要素認証（2FA）は、パスワードに加えて「もう1つの認証要素」を要求する仕組みです。スマートフォンの認証アプリ（Google Authenticator・Microsoft Authenticatorなど）に表示される6桁のワンタイムコードを、ログイン時に追加で入力するイメージ。
WordPressには標準で2要素認証が含まれていないため、利用するにはプラグインを使用します。代表的なものに、「Wordfence Login Security」「Two Factor」「miniOrange 2FA」などがあり、多くは無料から導入可能です。
特に管理者・編集者など権限の強いアカウントは、2要素認証を必須にしておくと、仮にパスワードが漏れても攻撃者がログインを完了させるのが格段に難しくなります。
ログイン試行回数を制限してブルートフォース対策をする
WordPressの標準仕様では、ログイン試行回数に上限がありません。攻撃者は1秒間に何千ものパスワード候補を投げ込めるため、簡単な文字列を設定していると総当たり攻撃で破られてしまうおそれがあります。
対策としてよく使われるのが、「Limit Login Attempts Reloaded」「Wordfence Security」などのプラグインです。たとえば「5回連続で間違えたら30分ロック」というルールを設定すれば、機械的な総当たりは現実的に成立しなくなります。
なお、レンタルサーバーやCDN（コンテンツ配信ネットワーク）側にもログイン試行を絞る機能がある場合は、サーバー側を優先するほうが大量アクセス時の負荷も抑えられます。
外部ツール連携には「アプリケーションパスワード」を使う
マーケティング系のツール連携や、メルマガ配信などで、外部サービスからWordPressへアクセスしたいケースもあるはずです。このとき、管理者本体のパスワードを共有するのは絶対に避けたい運用です。
代わりに用意されているのが「アプリケーションパスワード」という機能で、ユーザーごと・サービスごとに専用の資格情報を発行できます。プログラム経由のアクセス（REST APIなど）専用で使われ、ブラウザでの通常ログインには利用できないため、漏えい時の被害も限定的。生成時に1度だけ表示され、不要になったらツール単位で個別に取り消せる設計です。
ユーザー編集画面の下部にある「アプリケーションパスワード」セクションから、用途名を入力して「新規アプリケーションパスワードを追加」を押すだけで発行できます。
パスキーで「パスワードレス」の認証を試す
最近広がりつつあるのが、パスワード自体を使わずに認証する「パスキー（Passkey）」という仕組みです。スマートフォンやPCに保存された秘密鍵と、サイト側に登録された公開鍵を組み合わせて本人確認を行うため、フィッシングサイトに情報を奪われる心配がありません。
WordPressでも、Solid SecurityやWebAuthn対応のプラグインを使えば、パスキーログインを試すことができます。パスキーに関する公開事例では、SMSワンタイムパスワードのサインイン成功率67.7%に対し、パスキーは82.5%。所要時間も17秒から4.4秒と、約3.9倍の高速化が報告されています。安全性と使い勝手の両立という観点で、今後注目しておきたい選択肢です。
レンタルサーバーのWAFやセキュリティ機能もあわせて活用する
WordPress側の設定とは別に、レンタルサーバー側のセキュリティ機能も忘れずに活用しましょう。代表的なものが「WAF（Web Application Firewall）」で、不正なアクセスパターンをサーバー側で遮断してくれます。
たとえばロリポップ！レンタルサーバーでは、全プランのすべてのアカウントにWAFが標準装備されています。ユーザー専用ページの「WAF設定」から有効・無効を切り替えることができます。WordPressの管理画面に届く前に怪しいアクセスをサーバー側で止められるため、プラグインだけで守るより一段安全な構成になるでしょう。
まずは2要素認証とログイン試行制限を導入し、サーバー側のWAFも有効にしておく。これだけで初心者の方でも、大規模な不正ログインからサイトを守れる多層防御の土台が整います。
よくある質問
パスワード再設定メールはどのくらいで届く?有効期限はある?
通常はリクエストから数秒〜数分以内に届きます。メールに含まれるパスワード再設定用URLは、WordPressの既定設定で発行から24時間で失効する仕様です。期限を過ぎてしまった場合は、もう一度ログイン画面からリセットをリクエストし直しましょう。
WordPressのパスワードに使えない文字や記号はある?
WordPress本体では、半角の英大小文字・数字に加えて、`!`、`#`、`$`、`%`、`^`、`&`、`*` などの記号も問題なく使用できます。日本語や全角文字は推奨されないので、半角英数字と記号の範囲内で長く複雑な文字列を組み立てると安全です。なお、ご利用のセキュリティ系プラグインによっては、独自に使用可能文字を制限している場合もあります。
パスワードを変更すると、他の端末や他のユーザーにも影響する?
パスワード変更は、変更したユーザー本人のアカウントにだけ影響します。他のユーザーのパスワードは変わりません。ただし、別端末でログインしている自分自身のセッションは、パスワードを変えただけでは自動で切断されない仕様です。共有PCや古い端末からの接続を確実に切りたい場合は、「他のすべての場所からログアウト」ボタンを併用しましょう。
まとめ
WordPressのパスワードは、保存の仕組みから日々の運用まで知っておくと、トラブル時の対応力が大きく変わります。本記事では、状況別の変更・再設定の手順、メールが届かない時の対処法、推奨される強いパスワードの作り方、そして2要素認証やパスキーなど多層防御の選択肢までを順に解説しました。
長く・使い回さないパスワードを土台に、2要素認証とサーバー側のWAFを組み合わせる構成は、初心者の方が真っ先に整えたい守りの形です。ロリポップ！レンタルサーバーは全プランでWAFを標準装備し、WordPress簡単インストールも用意しているので、安心してすぐにサイト運用を始められる環境が整っています。
まずは今日、ご自身のパスワードを点検し、長さ・複雑さ・使い回しの有無を確認するところから始めてみてください。
