Solid Security（現Kadence Security）の設定方法｜二要素認証・パスワード要件・IP禁止

Solid Security は WordPress のセキュリティプラグインです。もとは iThemes Security という名前で、Solid Security に改名されたあと、2026年11月時点の WordPress.org では Kadence Security の名前で配布されています（版は 10.0 系）。名前が変わってもプラグインのスラッグは better-wp-security のままなので、Solid Security を使っていたサイトは通常の更新で新しい名前に切り替わります。

この記事では、無料版でできるログインまわりの設定（二要素認証・パスワード要件）と、IP の禁止、サイトスキャン、通知を説明します。総当たり攻撃のロックアウト、ログイン URL の変更（Hide Backend）、ファイル変更検知はiThemes Security（現Kadence Security）の設定方法で詳しく扱っています。

設定項目の名前と既定値は、プラグインの各機能の設定定義（2026年11月時点の 10.0.6）で確認しました。画面のラベルは英語で表示されることがあるため、英語の名前で書いています。

インストールと初期設定

1. 管理画面の「プラグイン」→「新規プラグインを追加」で「Kadence Security」を検索し、インストールして有効化します。
2. 管理画面に「Security」メニューが追加され、最初はセットアップ（Setup）画面が開きます。サイトの種類や利用者の種類を答えると、それに合わせて機能が有効になります。

WP-CLI では次のコマンドで入れられます。

wp plugin install better-wp-security --activate

個々の機能は、あとから「Security」→「Settings」で有効・無効を切り替えたり、細かく設定したりできます。

ユーザーグループの考え方

Kadence Security の多くの機能は、ユーザーグループごとに適用します。たとえば「管理者には強いパスワードを必須にするが、購読者には求めない」といった分け方ができます。

• グループは、WordPress の役割（管理者、編集者など）や個別のユーザーを組み合わせて作ります。
• 1人のユーザーが複数のグループに入っている場合は、それぞれのグループで有効にした設定がすべて適用されます。

セットアップで答えた内容からグループが作られます。あとから「Security」→「Settings」のユーザーグループの画面で、グループごとの設定を確認・変更できます。

二要素認証（Two-Factor）

二要素認証は、ログインのときにパスワードに加えて確認コードの入力を求める機能です。初期状態では無効なので、「Security」→「Settings」で「Two-Factor」を有効にします。

使える方法は次の3つです。

• 認証アプリ（Google Authenticator、Authy など）: スマートフォンのアプリに表示される6桁のコードを入力します。
• メール: ログインのたびに、登録メールアドレスへコードが届きます。メールが届かないとログインできなくなるため、メールの送信が安定しているサイトで使います。
• バックアップコード: スマートフォンをなくしたときに使う使い捨てのコードです。発行したら安全な場所に保管します。

ユーザーが設定する手順

二要素認証を有効にすると、ユーザーが WordPress のログイン画面からログインしたときに、設定の案内（オンボーディング）が表示されます。案内を出したくないグループは、ユーザーグループの設定の「Skip Two-Factor Onboarding」で外せます。その場合でも、ユーザーは「ユーザー」→「プロフィール」から自分で二要素認証を設定できます。

管理者は、自分のアカウントで先に設定を終え、バックアップコードを保管してから、ほかのユーザーに案内してください。

アプリケーションパスワード

ユーザーグループの設定には「Application Passwords」の項目もあります。REST API や XML-RPC で外部のツールからログインする場合に、本来のパスワードの代わりにアプリケーションパスワードを使わせる設定です。二要素認証を使うと、外部ツールは確認コードを入力できないため、こうした連携にはアプリケーションパスワードを使います。

パスワード要件

ログインのパスワードに条件を付ける機能です。常に有効な機能で、どの条件をどのグループに適用するかを、ユーザーグループの設定で選びます。

Refuse Compromised Passwords は外部の API に問い合わせますが、プラグインの説明によると、パスワードをそのままの形では送りません。

条件を有効にすると、ログインのときに条件を満たしているかが確認され、満たさないパスワードを使っているユーザーにはパスワードの変更画面が表示されます。管理者や編集者など、投稿やサイトを変更できる権限を持つグループには、両方を適用しておくとよいでしょう。

IP アドレスとユーザーエージェントの禁止（Ban Users）

特定の IP アドレスやユーザーエージェント（アクセス元のソフトウェアの名前）からのアクセスを拒否する機能です。初期状態で有効になっています。

IP アドレスを手で追加するときは、「Security」の Dashboard にある「Banned IPs」のカードから追加します。総当たり攻撃でロックアウトを繰り返した IP は、全体設定（Global Settings）の Ban Threshold の回数に達すると自動で禁止リストに入ります。

自分のオフィスなどの固定 IP を誤って禁止しないよう、全体設定の Authorized IPs（ロックアウトしない IP）に入れておきます。

サイトスキャン（Site Scanner）

WordPress 本体・プラグイン・テーマに既知の脆弱性がないかを調べる機能です。プラグインの説明によると、無料版では1日4回の予定でスキャンが動き、Google Safe Browsing でサイトがマルウェアの警告リストに載っていないかも確認します。

結果は「Security」→「Site Scans」と「Vulnerabilities」で確認できます。脆弱性が見つかったプラグインやテーマは、更新版があれば更新し、更新が出ていなければ停止や入れ替えを検討します。サイトスキャンはサイト内のファイルを1つずつ調べるマルウェアスキャンではないので、改ざんの検知にはファイル変更検知（File Change）を組み合わせます。

通知の設定（Notification Center）

ロックアウト、ファイルの変更、脆弱性の検出などのメール通知は、通知の設定（Notification Center）でまとめて管理します。

管理者が複数いるサイトでは、全員に同じ通知が届きます。担当者だけに送りたい場合は、送り先を個別のユーザーに変えます。通知が多すぎる場合は、通知ごとに送るかどうかと頻度を見直します。

その他の無料機能

これらは「Security」→「Tools」や「Settings」から使います。

注意事項

• 設定を変える前に、サイトのファイルとデータベースをバックアップしてください。.htaccess や wp-config.php に書き込む機能は、サーバー環境によってはサイトが表示されなくなることがあります。
• 二要素認証やロックアウトで締め出された場合に備え、FTP などでサーバーに入れる手段を確保しておきます。FTP で wp-content/plugins/better-wp-security のフォルダー名を変えるとプラグインが止まり、通常のログインに戻れます。
• Wordfence など、同じような機能を持つ別のセキュリティプラグインと同時に使うと、ロックアウトの原因が分かりにくくなります。どちらか一方にしてください。
• 「Pro」と書かれた機能（Passwordless Logins、Trusted Devices、User Logging など）は有料版でのみ使えます。

まとめ

• Solid Security は 2026年11月時点で Kadence Security に改名済み。スラッグは better-wp-security のまま。
• 多くの機能はユーザーグループごとに適用する。管理者・編集者のグループには、強いパスワードと漏えいパスワードの拒否を適用する。
• 二要素認証は「Two-Factor」を有効にし、ユーザーはログイン時の案内かプロフィール画面で設定する。管理者は先に自分で設定してバックアップコードを保管する。
• IP の手動禁止は Dashboard の「Banned IPs」、ユーザーエージェントは Ban Users の設定で行う。自分の固定 IP は Authorized IPs に入れる。

関連記事:

• WordPressに二要素認証を導入する方法
• WordPressのログイン試行回数を制限する方法