wordpressのログインを試行回数で制限すれば、こうした不正ログイン（ブルートフォース攻撃）を自動でブロックできます。初期設定のWordPressは試行回数に上限がなく、何回でもログインを試せてしまう状態です。この記事では無料プラグイン「Limit Login Attempts Reloaded」を使った制限方法を解説します。
この記事でできること
- 試行回数の制限で不正アクセス（ブルートフォース攻撃）をブロックできる
- プラグインの導入から基本設定までの手順がわかる
- ロックアウト通知メールやIP許可リストの設定がわかる
そもそもなぜWordPressのログイン試行回数を制限すべきか
WordPressは標準の状態だと、ログインの試行回数に制限がありません。つまりパスワードを何回間違えても、いくらでもログインを試せてしまいます。
この仕様は、プログラムで自動的に大量のパスワードを試す「ブルートフォース攻撃（総当たり攻撃）」の格好の標的になります。攻撃者は辞書データやよくあるパスワードを機械的に打ち込み続け、正解を引き当てようとします。冒頭のように「ログイン失敗通知が大量に届く」場合は、まさにこの自動攻撃を受けている可能性が高い状態です。
そこで有効なのが、一定回数ログインに失敗したIPアドレスを自動的にロックアウト（一時的にログイン禁止）する対策です。無料プラグイン「Limit Login Attempts Reloaded」を使えば、この仕組みを数分で導入できます。
より本格的なセキュリティ対策の全体像は、後半の「ログイン試行回数の制限以外に、WordPressのセキュリティ対策としておすすめは？」でも触れています。まずはこの1つの対策から始めるだけでも、不正ログインのリスクは大きく下げられます。
本記事はWordPress 7.0 + Limit Login Attempts Reloaded v3.3.2 で動作確認済み（2026年7月時点）です。
STEP1：Limit Login Attempts Reloadedをインストール・有効化する
管理画面の左メニューから「プラグイン」→「新規プラグインを追加」を開き、右上の検索欄に「limit login attempts reloaded」と入力します。表示されたカードの「今すぐインストール」をクリックし、ボタンが「有効化」に変わったら続けてクリックすれば導入は完了です。
なお、検索結果に表示される名称は「Limit Login Attempts Security – Login Security, 2FA, Firewall, Brute Force Prevention」にリブランド（名称変更）されていますが、インストール後のプラグイン一覧や左メニューでは旧名の「Limit Login Attempts Reloaded」「Limit Login Attempts」のまま表示されます。いずれも同じプラグインなので、本記事では以降、メニュー表示に合わせて「Limit Login Attempts」と表記します。
さらに全プランでWAF（ModSecurity）による多重防御にも標準対応しているので、プラグインとサーバーの両輪でセキュリティを固められます。
→ 月額330円〜、10日間無料お試しも可能です。
STEP2：ログイン試行回数とロックアウト時間を設定する
プラグインを有効化したら、次は「何回失敗したらロックするか」「どのくらいの時間ロックするか」を設定します。デフォルトのままでも十分機能しますが、仕組みを理解しておくと安心です。
1. 設定画面を開く
管理画面左メニューの「Limit Login Attempts」をクリックし、開いた画面上部の「設定」タブ（URLパラメータは tab=settings）をクリックします。ここにロック関連の設定項目がまとまっています。
2. 許可するログイン試行回数を設定する
「設定」タブ内の「ロック」セクションで、ログインを何回まで試せるかを指定します。デフォルトでは「4回までリトライを許可する」になっており、5回目の失敗でロックアウトが発動します。この数値を小さくするほど厳格になります。
3. ロックアウトする時間を設定する
同じ「ロック」セクションの続きで、ロックアウトの時間や条件を設定します。デフォルト値は次の4項目がセットになっています。
- 4回までリトライを許可する
- 20分間ロックする
- 4回ロックされると24時間ロックする
- 24時間でリトライ数をリセットする
プラグインの説明文をわかりやすく要約すると、この4項目は次のような仕組みで動きます。同一IPが4回ログインに失敗すると、そのIPは20分間ロックされます。
24時間以内に再びロックが発生し、通算のロック回数が4回に達すると、ロック時間が24時間に延長されます。そして最後のロックから24時間が経過すると、ロックは自動的に解除されます。
つまり「短時間の失敗は短くロック、しつこい攻撃には長時間ロック」という段階的な防御になっています。特にこだわりがなければ、このデフォルト値のまま「設定を保存」をクリックすればOKです。
STEP3：ロックアウトの通知メールを確認・設定する
ロックアウトが発生したときに、管理者へメールで通知する設定も用意されています。攻撃を受けていることにいち早く気づけるので、確認しておきましょう。
1. 通知先メールアドレスを確認する
「設定」タブ内の「ロック通知」セクションを開きます。デフォルトでメール送信がオンになっており、通知先にはWordPress管理者のメールアドレス（管理画面の「設定」→「一般」で登録したアドレス）が自動で入力されています。別のアドレスに送りたい場合は、ここを書き換えます。
2. ロックアウト通知メールの内容を確認する
デフォルトでは「後3ロックアウト」、つまり3回ロックアウトが発生したタイミングで通知メールを送る設定になっています。頻繁にメールが来て煩わしい場合はこの数値を大きく、細かく把握したい場合は小さく調整します。
通知メールには、失敗回数・ロックアウト回数・攻撃元のIPアドレス・試行されたユーザー名・ブロックされた時間が記載されます。どのアカウントが狙われているかを把握でき、対策の判断材料になります。
STEP4：特定のIPアドレスを許可リストに登録する（任意）
自分や社内メンバーが誤ってロックアウトされるのを防ぎたい場合は、信頼できるIPアドレスをあらかじめ許可リストに登録しておけます。逆に、明らかに悪質なIPを常時ブロックすることも可能です。
1. セーフリスト・拒否リストにIPアドレスを追加する
管理画面左メニューの「Limit Login Attempts」→「ログ」タブを開くと、「セーフリスト」と「拒否リスト」の入力欄があります。なお、このプラグインの実際の画面では「ホワイトリスト」「ブラックリスト」という言葉は使われておらず、「セーフリスト」「拒否リスト」という表記になっています。
「セーフリスト」には、ロックアウト対象から除外したい信頼できるIPアドレスを登録します。たとえば社内の固定IPや自宅の固定IPなど、頻繁にログインする環境のIPを入れておくと、そのIPは何回失敗してもロックされません。
一方の「拒否リスト」には、常にログインを拒否したいIPアドレスを登録します。通知メールで攻撃元として繰り返し記録されるIPなどを入れておくとよいでしょう。
CloudflareなどのCDNやプロキシを経由してサイトを公開している場合、全員が同じIPと誤認識され、まとめてロックされてしまうことがあります。この場合の対処法は、よくある質問の「全員ログインできなくなってしまったのですが？」で詳しく説明します。
ロックアウトの発生状況をログで確認する方法
実際にログインを失敗させると、どのような挙動になるのかを時系列で確認しておきましょう。
まず、ログイン画面でパスワードを1回間違えると、通常のエラーに加えて「残り3回まで間違えることができます。」という警告が表示されます。あと何回で制限がかかるかがひと目でわかります。
そのまま4回目の失敗（デフォルト設定の上限超過）に達すると、ロックアウトが発動します。ログイン画面には「エラー: ログイン失敗回数が一定数になりました。 20 分後に再度ログインを試みてください。」と表示され、しばらくログインできなくなります。
ロックの記録は管理画面でも確認できます。「Limit Login Attempts」→「ログ」タブを開き、「ロックのログ」一覧を見ると、ロックされたIPアドレスや日時が一覧表示されます。
各行の「ロック解除」リンクをクリックすれば、そのIPのロックを手動で解除できます。
なお、ロックアウトはIPアドレス単位で発動する仕組みです。すでにログイン済みの管理画面セッション（Cookie認証）には影響しないため、設定変更中に自分のIPがロックアウトされても、開いている管理画面の操作自体は続けられます。安心して設定を試せます。
よくある質問
wordpressのログイン試行回数制限とは？
一定回数ログインに失敗したIPアドレスを、自動的に一時ログイン禁止（ロックアウト）にする仕組みのことです。WordPressは標準では失敗回数に上限がないため、プラグインを使ってこの制限を追加します。パスワードを機械的に試すブルートフォース攻撃を大幅に防げるのが最大のメリットです。本記事で紹介した「Limit Login Attempts Reloaded」が代表的な無料プラグインです。
ロックアウトされて自分もログインできなくなった場合の対処法は？
自分のIPがロックされてしまった場合は、主に次の方法で解除できます。最も手軽なのは、設定したロックアウト時間（デフォルト20分）が経過するのを待つ方法です。
すぐに解除したい場合は、別のログイン済み管理画面や別の管理者アカウントから「Limit Login Attempts」→「ログ」タブを開き、「ロックのログ」一覧で該当IPの「ロック解除」リンクをクリックします。
どの端末からも管理画面に入れない場合は、FTPやサーバーのファイルマネージャーでプラグインフォルダ（wp-content/plugins/limit-login-attempts-reloaded）を一時的にリネームすればプラグインを無効化でき、ロックが解除されます。再ログイン後にフォルダ名を元に戻せば、設定はそのまま復活します。フォルダ名の操作を誤ると他のプラグインにも影響するため、対象フォルダ名を必ず確認してから作業してください。
今後の予防策として、自分の固定IPを「セーフリスト」に登録しておくのがおすすめです。
全員ログインできなくなってしまったのですが？（プロキシ/CDN環境の注意）
CloudflareなどのCDNやプロキシを経由している環境では、すべてのアクセスがCDN側の同じIPアドレスに見えてしまい、誰か1人の失敗で全員がロックされる、という現象が起きることがあります。公式プラグインのFAQ「What do I do if all users get blocked?」でも案内されている対処法として、「信頼できるIP Origin」の設定を環境に合わせて変更する方法があります。
この設定はデフォルトで REMOTE_ADDR になっていますが、CDN/プロキシ配下では実際の訪問者IPが別のヘッダーに入っています。設定欄のプレースホルダーには HTTP_X_FORWARDED_FOR などの例が示されているので、利用中のCDN・プロキシが実IPを渡すヘッダー名に変更します（どのヘッダーを使うかはCDN側の仕様に依存します）。
これにより、CDNの共通IPではなく個々の訪問者IPで判定されるようになり、全員一括ロックを防げます。
無料版とPremium版の違いは？
本記事で紹介した内容は、すべて無料版だけで実現できます。無料版でできる主なことは次のとおりです。
- IPアドレス／ユーザー名単位でのログイン試行回数の制限
- ロックアウト時間・回数のカスタマイズ
wp-login.php（ログインページ）の保護- 2要素認証（2FA）
- ロックアウトの通知メール
- セーフリスト／拒否リストによるIP管理
- ロックのログ確認
一方のPremium版は、クラウド連携によるリアルタイムの脅威インテリジェンスや、複数サイト間でのブロックリスト同期といった、より高度な機能が中心です。個人・小規模サイトの基本的な不正ログイン対策であれば、無料版で十分に対応できます。
SiteGuard WP Pluginなど他のセキュリティプラグインと併用できる？
基本的に併用できます。ログイン試行回数の制限に加えて、管理画面へのアクセス制限やログインURLの変更などを組み合わせると、防御はさらに強固になります。
たとえば「SiteGuard WP Plugin」を使えば、管理画面のログインURLの変更や、ログイン履歴の確認といった対策を追加できます。役割の異なる対策を重ねることで、多層的な守りを作れます。
ログイン試行回数の制限以外に、WordPressのセキュリティ対策としておすすめは？
ログイン試行回数の制限は入り口対策の1つです。あわせて次の4点にも取り組むと、より安全に運用できます。
- SiteGuard WP Pluginでログインページ自体を守る：ログインURLの変更や画像認証の追加で、そもそも攻撃者に入り口を見つけさせにくくします。
- セキュリティスキャンでファイルの改ざんをチェックする：マルウェア・ウィルス対策として、スキャン機能を持つプラグインでファイルの改ざんや不正コードの混入を定期的に確認します。
- WordPress本体・プラグインを定期的にアップデートする：既知の脆弱性は放置せず、最新版に保つことが基本の防御になります。
- 自動バックアップ体制を整える：万が一被害を受けても、バックアップがあれば素早く復旧できます。
そもそもWordPressにログインできない場合は？
パスワード忘れやプラグインの不具合など、ロックアウト以外の理由でログインできないケースもあります。その場合は、ログイン方法・ログインできない場合の対処法で原因別の解決手順を解説しているので、あわせて参考にしてください。
まとめ
WordPressは初期設定のままだとログイン試行回数が無制限で、ブルートフォース攻撃の標的になりやすい状態です。無料プラグイン「Limit Login Attempts Reloaded」を導入すれば、一定回数失敗したIPを自動でロックアウトし、不正ログインを効果的に防げます。
設定は「試行回数とロックアウト時間（STEP2）」「通知メール（STEP3）」「セーフリスト／拒否リスト（STEP4）」を確認するだけで、多くはデフォルト値のまま運用できます。CDN/プロキシ環境では「信頼できるIP Origin」の設定に注意しましょう。
さらに安全性を高めたい場合は、ログインURLの変更や定期バックアップなど、他のセキュリティ対策も組み合わせるのがおすすめです。まずはこの1つの対策から、あなたのサイトの守りを固めてみてください。
