WordPress のパスワードレス化とは、ログインの主な手段をパスワード以外（パスキー、メールで届くログインリンク、社内の ID 基盤による SSO など）に切り替えることです。WordPress 本体にはパスワードを使わないログイン機能は標準で入っていないため（2026年11月時点）、プラグインで追加します。この記事では、方式の選び方、プラグインの候補、管理者から順に広げる移行手順、締め出されないための準備を説明します。
「Passwordless First」の考え方
いきなりパスワードを全廃するのではなく、パスワードを使わない方法を普段のログインの標準にし、パスワードは限られた非常用に残す、という進め方を「Passwordless First」と呼びます。WordPress の場合、パスワードでのログインは本体の仕組みなので、多くのプラグインは「パスワードを使わない方法を追加する」形で動きます。まず利用者が普段使う入口をパスワードレスに移し、復旧手段が回ることを確かめてから、パスワードの入口を狭めていきます。
3つの方式を比べる
| 方式 | 仕組み | 強み | 気をつける点 |
|---|---|---|---|
| パスキー（WebAuthn） | 端末内の秘密鍵で署名し、サイトは公開鍵で検証する | フィッシングに強い。サイトにパスワードに相当する秘密が残らない | 端末をなくしたときの復旧手段が要る。HTTPS が前提 |
| マジックリンク | 1回だけ使えるログイン用リンクをメールで送る | 利用者に新しい操作を覚えてもらう必要が少ない | 安全性はメールアカウントの安全性に左右される。メールが届かないとログインできない |
| SSO（OIDC / SAML） | 社内の ID プロバイダーでログインし、WordPress はその結果を受け取る | 退職者の停止や多要素認証を ID 基盤側でまとめて管理できる | ID 基盤が止まると入れない。導入の手間が大きい |
管理者や編集者のように権限の強いアカウントにはパスキーかSSO、会員サイトの一般会員のように手軽さを優先したい場合はマジックリンク、という使い分けが目安です。
使えるプラグイン（2026年11月時点）
WordPress.org で公開されている主な選択肢です。どれを選ぶ場合も、最終更新日、検証済みの WordPress のバージョン、サポートフォーラムの状況を確認し、ステージング環境で試してから本番に入れてください。
パスキー
- WP-WebAuthn：WebAuthn によるログインを追加します。設定によってはパスワードなしのログインも選べます。
- Secure Passkeys：パスキーによるパスワードなしのログインを追加します。
- Two Factor ＋ WebAuthn Provider for Two Factor：パスワードを残したうえで、2要素目にパスキーやセキュリティキーを使う構成です。完全なパスワードレスではありませんが、管理者アカウントを守る第一歩として扱いやすい組み合わせです。
マジックリンク
- Magic Login：メールで届くリンクからログインできるようにします。
- Passwordless Login：ユーザー名かメールアドレスを入力すると、一時的なトークン付きのリンクがメールで届きます。説明によると、トークンは10分で期限切れになります。
SSO
- OpenID Connect や SAML のクライアントプラグインで、社内の ID プロバイダーと連携します。手順は関連記事で説明しています。
移行の手順
手順1：バックアップと非常口を用意する
サイトのファイルとデータベースのバックアップを取り、次の手段が使えることを確かめます。
- FTP / SFTP かファイルマネージャーで
wp-content/plugins/を開ける（プラグインのフォルダー名を変えると、そのプラグインは無効になる） - 可能なら WP-CLI が使える
あわせて、長く複雑なパスワードと2要素認証をかけた非常用の管理者アカウントを1つ決めておきます。パスキーのプラグインや ID プロバイダーに問題が起きたときの入口になります。
手順2：管理者から始める
最初は管理者だけ、または希望者だけに新しい方式を使ってもらい、パスワードと併用できる状態から始めます。パスキーの場合は、1人あたり2つ以上の認証器（スマートフォンとパソコン、またはセキュリティキー）を登録してもらいます。
手順3：復旧の手順を決めて、一度試す
利用者が端末をなくした、メールが届かない、という場面で何をするかを先に決めます。
- パスキー：別の認証器でログインする、Two Factor のバックアップコードを使う、管理者が本人確認のうえで登録をやり直す
- マジックリンク：迷惑メールフォルダーを確認してもらう、送信の記録を確認する、管理者がメールアドレスを確認して変更する
決めた手順は、実際に1回試して所要時間を確かめておきます。
手順4：メールの到達性を整える（マジックリンクを使う場合）
マジックリンクはメールが届かないと使えません。WordPress は標準ではサーバーの PHP の mail() 経由で送るため、届きにくい環境があります。SMTP で送るプラグインを使い、送信ドメインの SPF・DKIM・DMARC を設定しておきます。
また、ログインリンクには次の性質を持たせているか、プラグインの設定や説明で確認します。
- 有効期限が短い
- 1回使ったら無効になる
- 管理者権限のアカウントでは使わない、または使える権限を絞れる
一部のメールセキュリティ製品は、受信したメールのリンクを事前に開いて検査することがあり、1回限りのリンクが先に使われて無効になる場合があります。利用者から「リンクが無効と表示される」と連絡があったら、この可能性も確認してください。
手順5：全員に広げ、パスワードの入口を狭める
一部の利用者で問題なく回ることを確かめてから、対象を広げます。パスワードでのログインを止める機能や、権限ごとにパスワードレスを必須にする機能があるかはプラグインによって違います。止める場合も、非常用の管理者アカウントのパスワードログインは残しておくと、復旧に困りません。
見落としやすい点
アプリケーションパスワードは別の入口
WordPress 5.6 以降には、REST API や XML-RPC から使う「アプリケーションパスワード」があります。ブラウザのログインをパスワードレスにしても、アプリケーションパスワードは別の仕組みとして残ります。各ユーザーのプロフィール画面で発行済みのものを確認し、使っていないものは取り消してください。
公開鍵やメールアドレスも個人データ
パスキーでは、サイトに保存されるのは公開鍵や認証情報の ID などで、指紋や顔の情報は端末の外に出ません。それでもユーザーに結び付くデータなので、プライバシーポリシーに保存する情報と目的を書き、退会時に削除されるかを確認しておきます。
自作は避ける
WebAuthn の検証やログイン用トークンの管理は、チャレンジの使い捨て、オリジンの確認、有効期限、回数制限など注意点が多く、自作すると穴ができやすい部分です。WordPress のフックを使えば作ることはできますが、まずは保守されているプラグインを使ってください。
まとめ
- WordPress 本体にパスワードレスのログインは標準で入っていないため、プラグインで追加する
- 権限の強いアカウントはパスキーかSSO、手軽さを優先する会員はマジックリンクが目安
- 管理者から始め、認証器の複数登録と復旧手順の確認が済んでから全員に広げる
- マジックリンクはメールの到達性と、短い有効期限・1回限りの設定を確認する
- アプリケーションパスワードは別の入口として見直し、非常用の管理者アカウントを残す