結論：WPS Hide Loginでログインページを別のURLにする
WordPressのログインページは、標準では /wp-login.php（と /wp-admin）です。WPS Hide Loginというプラグインを使うと、このURLを、任意の文字列に変更できます。公式の説明では、WordPressのコアファイルの名前の変更や書き換えは行わず、リライトルールも追加しない、軽量なプラグインです。ページのリクエストを横取りする仕組みです。
この記事は、2026年10月16日時点の公式情報にもとづいています。画面の項目名はバージョンで変わるため、設定画面の細かい操作は載せていません。
ログインURLを変更すると、元のURLにアクセスできなくなります。 新しいURLを、先に記録してから進めてください。
WPS Hide Loginとは
| 項目 | 内容 |
|---|---|
| 作者 | Remy Perona |
| 有効インストール数 | 200万以上（wordpress.org） |
| 対応するWordPress | 7.1.3まで動作確認が記載されています |
| 仕組み | コアファイルを書き換えず、リライトルールも追加せず、ページのリクエストを横取りする |
| 無効化したとき | サイトは、導入前の状態に戻る |
| サポート | サポートは保証されず、メンテナンスのみと明記されている |
ログインURLを変更する
プラグインを有効化すると、設定画面に自動でリダイレクトされます。ここで、新しいログインURLの文字列を決めます。あとから変更するときは、管理画面の「設定 > WPS Hide Login」を開きます。
変更したあとの、公式の説明は次のとおりです。
wp-adminディレクトリとwp-login.phpには、アクセスできなくなります。新しいURLをブックマークするか、覚えておく必要があります- 登録フォーム、パスワード再設定フォーム、ログインウィジェット、期限切れのセッションなど、ログイン関連の機能は、引き続き動作します
- マルチサイト（サブドメイン形式・サブフォルダー形式）に対応しています。ネットワーク全体の既定値を決めて、個別のサイトで変更することもできます
他のプラグインとの互換性
公式の説明では、ログインフォームに連携するプラグインとして、BuddyPress、bbPress、Jetpack、WPS Limit Login、User Switchingとの互換性が挙げられています。一方、**wp-login.php を直接書き込んでいるプラグインやテーマは、動作しません。**
登録・パスワード再設定のURL
登録やパスワードの再設定のURLは、自分で指定する必要があります（例: /login?action=register）。プラグインによるリダイレクトは行われず、WordPressの標準のURLは、そのまま残ります。
キャッシュプラグインを使っているとき
WP Rocket以外のページキャッシュプラグインを使っている場合は、新しいログインURLの文字列を、キャッシュの対象外のページに追加する必要があります。WP Rocketは、このプラグインと互換性があると、公式に書かれています。
新しいログインURLを忘れたとき
公式のFAQでは、次の方法が案内されています。
- データベースで確認する: MySQLのオプションテーブルで、
whl_pageの値を確認します。マルチサイトで該当の項目がない場合は、サイトメタのテーブルを確認します - プラグインのフォルダーを削除する:
pluginsフォルダーからwps-hide-loginフォルダーを削除すると、wp-login.phpからログインできるようになります。ログインしたあとで、プラグインを再インストールします
WP-CLIが使える環境では、次のコマンドで、オプションテーブルの値を確認できます。
wp option get whl_pageプラグインを無効化すると、サイトは導入前の状態に戻ります。
ログインできなくなったとき
公式のFAQでは、締め出された場合、**他のプラグインが .htaccess を変更した場合や、古いWordPress MUの設定が残っている場合に起こる可能性があるとされています。まず、.htaccess ファイルを、標準のものと比較して確認する**よう案内されています。
注意しておきたいこと
- 新しいURLは、パスワードマネージャーなど、安全な場所に記録してください。 忘れると、上の「忘れたとき」の手順が必要になります
- ログインURLを変えるのは、ログインページの入口を分かりにくくする対策です。これだけでサイトが安全になるわけではありません。2要素認証など、ほかの対策と組み合わせてください（WordPressに二要素認証（2FA）を実装する方法）
- セキュリティプラグインのWordfenceも、ログインセキュリティ（2要素認証、ログイン試行の制限など）を備えています（Wordfence Securityの設定方法）
この記事の古い版には、
.htaccessとNginxで、wp-login.phpを特定のIPアドレスだけに許可する設定例がありました。URLの変更とは別の対策で、環境によって書き方が違い、確認もできていなかったため、削除しました。
よくある質問
ログインURLを変えるだけで、攻撃を防げますか。
防げるとは言えません。入口を分かりにくくする対策です。2要素認証や、ログイン試行の制限など、ほかの対策と組み合わせてください。
WPS Hide Loginは、今もメンテナンスされていますか。
wordpress.orgの説明では、サポートは保証されず、メンテナンスのみ行われると明記されています。
プラグインを無効化すると、どうなりますか。
サイトは、プラグインを入れる前の状態に戻ります。元の /wp-login.php で、ログインできるようになります。