CloudSecure WP Security 2段階認証の設定手順を解説
今回はWordPressのセキュリティプラグイン「CloudSecure WP Security」の2段階認証について、設定手順をご紹介します。
エックスサーバーでサイトを作った方だと、入れた覚えがないのにこのプラグインが管理画面のメニューに入っている、ということがあります。入っているのに使っていない状態はもったいないので、この機会に設定しておきましょう。
なお、本記事執筆時点（2026年8月）の最新バージョンは 1.4.13 です。バージョンによって画面の項目名が変わることがあるため、ご自身の管理画面と見比べながら進めてください。
CloudSecure WP Security とは
WordPressのログイン画面と管理画面を守るための、国産のセキュリティプラグインです。管理画面もマニュアルも日本語なので、海外製のプラグインに比べると設定しやすいです。
主な機能は以下のとおりです。
- ログイン失敗が続いた場合のブロック
- ログインURLの変更
- 2段階認証
- 画像認証の追加
- シンプルWAF
- ログイン通知・アップデート通知
エックスサーバーの「WordPressクイックスタート」や「WordPress簡単インストール」を使うとき、このプラグインを入れるかどうかを選ぶ画面が出ます。そこで入れたまま、設定はしていない、というケースが多いです。
今回はこの中の「2段階認証」だけを扱います。
2段階認証を設定する前に決めること
設定を始める前に、2つだけ決めておいてください。あとから変更もできますが、先に決めておいたほうが手戻りがありません。
➀ 誰に適用するか
このプラグインの2段階認証は、ユーザー個別ではなく権限グループ単位でオン・オフを決めます。管理者だけにするのか、編集者や投稿者も対象にするのか、という選択です。
判断の目安は「そのアカウントが乗っ取られたら、サイトの内容を書き換えられてしまうか」です。管理者はもちろん、記事を公開できる権限を持っている人は含めておいたほうが安全です。外部のライターや制作会社にアカウントを渡している場合も同じです。
➁ 認証アプリとメール認証のどちらを使うか
認証方法は2種類から選べます。
- 認証アプリ（Google Authenticator）：スマホのアプリに6桁の数字が表示される
- メール認証：登録メールアドレスに6桁の数字が届く
メール認証は2026年2月の更新で追加されたものです。それ以前は認証アプリしか選べませんでした。
認証アプリのほうがログインは早いですが、スマホを機種変更するときに移行作業が必要です。これを忘れるとログインできなくなります。
メール認証は新しくアプリを入れる必要がないので、社内に案内しやすいです。ただし注意点があります。管理者のメールアドレスを info@ のような共有アドレスにしている場合、全員が見られる受信箱に認証コードが届くことになり、2段階認証の意味が薄くなります。共有アドレスを使っている場合は、認証アプリを選ぶか、先にメールアドレスを個人のものに変更してください。
ステップ1：管理者側で機能をオンにする
管理画面の左メニューから [CloudSecure WP Security] > [2段階認証] を開きます。
初期状態では「無効」になっています。これを「有効」に切り替え、適用する権限グループにチェックを入れて、「変更を保存」をクリックします。
権限グループでは、少なくとも「管理者」にはチェックを入れるようにしましょう。
「XML-RPC経由のログインを遮断する」はデフォルトでチェックが入っているので、そのままで大丈夫です。
ここまでは1分もかかりません。ただし、これで全員に2段階認証がかかったわけではありません。
ステップ2：各ユーザーが自分で登録する
ここが一番つまずくところです。
管理者が機能をオンにしただけでは、まだ2段階認証は働きません。各ユーザーが自分で認証方法を登録して、はじめて有効になります。社長のアカウントも、経理担当のアカウントも、本人が一度作業をしないとパスワードだけでログインできる状態のままです。
ステップ1で保存して画面を再読み込みすると、左メニューに「2段階認証の設定」という項目が新しく増えます。CloudSecure WP Security の中ではなく、独立したメニューとして並びます。登録はプロフィール画面ではなく、こちらから行います。2段階認証の画面にも「認証方法の設定」というリンクが表示されるので、そこからでも移動できます。
まず、どちらの認証方法でも共通の手順です。
➀左メニューの [2段階認証の設定] を開きます
➁「設定方法」が「未設定」になっているので、右側の「設定」ボタンをクリックします
➂「認証方法の設定」の画面が開くので、認証方法を選んで「次へ」をクリックします
認証アプリの場合
➀ 「Google Authenticatorで認証する」を選んで「次へ」をクリックします
➁ 画面にQRコードが表示されるので、スマホのGoogle Authenticatorで読み取ります（読み取れない場合は、横に表示されるセットアップキーを手入力します）
➂ アプリに表示された6桁の認証コードを入力し、「設定を完了」をクリックします
➃ 「2段階認証が有効になりました。」と表示されれば完了です
メール認証の場合
➀ 「メールアドレスで認証する」を選んで「次へ」をクリックします
➁ 登録メールアドレスに6桁の認証コードが届きます
➂ そのコードを入力し、「設定を完了」をクリックします
➃ 「2段階認証が有効になりました。」と表示されれば完了です
メールが届かない場合は、まず迷惑メールフォルダを確認してください。「認証コードを再送信」のボタンもありますが、押せるようになるまで少し時間がかかります。
誰が登録済みで誰がまだかは、管理画面のユーザー一覧で確認できます。複数人でサイトを運用している場合は、案内したあとにここを開いて確認しておくと取りこぼしを防げます。
ステップ3：リカバリーコードを保管する
登録が完了した画面に「リカバリーコードを生成」というボタンが表示されます。スマホを紛失した、アプリが消えた、メールが見られない、といったときに代わりに使える予備のコードです。
これは後回しにせず、その場で生成してください。困ってから探しても手遅れになります。生成したコードは一度しか表示されないので、画面を閉じる前に控えておいてください。あとから作り直すこともできますが、その場合は前のコードがすべて使えなくなります。
生成したら、印刷するかパスワード管理ツールに保存して、サイトとは別の場所に保管します。そのサイトの下書き記事に貼っておく、といった保管方法は避けてください。
ログインできなくなったときの対処
認証コードの入力を何度も間違えると、一時的にログインが制限されます。総当たりでコードを試す攻撃を防ぐための仕組みです。しばらく時間を置いてから、以下の順で試してください。
➀ 保管しているリカバリーコードを使う
➁ 別の管理者アカウントでログインし、対象ユーザーの2段階認証を解除してもらう
➂ メール認証の場合は、迷惑メールフォルダの確認と再送信を試す
これでも解決しない場合、サーバー側で .htaccess の記述とプラグインのフォルダを削除する方法が公式FAQに載っています。ただしFTPでサーバーを直接操作する作業になるため、普段触らない方は制作会社に連絡したほうが早いです。
まとめ
やることを整理すると、次のとおりです。
- [CloudSecure WP Security] > [2段階認証] を有効にし、適用する権限グループを選ぶ
- 各ユーザーが自分で認証方法を登録する（ここまでやらないと有効にならない）
- リカバリーコードを生成し、サイトの外に保管する
- ユーザー一覧で全員の登録状況を確認する
- アップデート通知をオンにして、更新の担当を決める
上から順に進めても30分程度で終わります。パスワードを複雑にするより効果がわかりやすい対策なので、まだの方は試してみてください。
管理画面の守り方としては、WordPressのIPアクセス制限やBASIC認証の設定についても以前に書いています。あわせてご覧ください。
弊社ではWordPressサイトの制作と、公開後の保守・更新も承っています。設定で詰まった場合や、更新を誰も見ていない状態が続いている場合は、お気軽にご相談ください。
