iThemes Security（現在の名称はSolid Security）の設定でログインや閲覧ができなくなった場合、多くはFTPやファイルマネージャーからプラグインを止めるか、プラグインが書き込んだサーバー設定を戻すことで復旧できます。ただし、原因の機能によって正しい戻し方が違います。この記事では、症状から原因の機能を見分け、影響の小さい方法から順に復旧し、同じ事態を繰り返さないための設定の見直し方までを説明します。
プラグイン名の変更について
iThemes Securityは、開発元の事業再編に伴い、2023年に「Solid Security」へ名称が変わりました（2026年10月現在）。管理画面のメニュー名や設定画面の表記は新しい名称になっていますが、サーバー上のプラグインフォルダ名は以前と同じ better-wp-security のままです。この記事では両方の名称を同じプラグインとして扱います。有料版を使っている場合は、フォルダ名が異なることがあるため、wp-content/plugins 内で該当するフォルダを確認してください。
症状から原因の機能を見分ける
「アクセスできない」と一口に言っても、原因となる機能はいくつかあります。症状を照らし合わせると、どこを戻せばよいかが分かります。
- ログイン画面で「ロックアウトされました」と表示される: ログイン失敗の回数制限（ブルートフォース保護）で、自分のIPアドレスかユーザー名が一時的に締め出されています。
- **
wp-login.phpや/wp-admin/を開くと404になる**: ログインURLを変更する機能（管理画面を隠す機能）が有効で、新しいURLを忘れている状態です。 - サイト全体が403や500エラーになる: プラグインが
.htaccessに書き込んだ保護ルールが、サーバー環境と合っていない可能性があります。 - 全員がロックアウトされる、または訪問者がまとめて締め出される: CDNやリバースプロキシの配下で、訪問者のIPアドレスを正しく判定できていない可能性があります。
- ログイン後にパスワードの変更を求められて先に進めない: パスワード要件の機能が、既存ユーザーに強力なパスワードへの変更を求めています。
まず試す：ロックアウトの時間切れを待つ
ログイン失敗によるロックアウトは、一定時間がたつと自動的に解除されます。時間の長さは設定によって異なります。急ぎでなければ、別の対処をする前に時間をおいて試すのが最も影響の小さい方法です。
急ぎの場合は、スマートフォンのモバイル回線など別の回線からログインしてみます。ロックアウトがIPアドレス単位であれば、別のIPアドレスからはログインできます。ユーザー名単位でロックされている場合は、別の管理者アカウントがあればそちらでログインし、設定画面からロックアウトを解除できます。
復旧の前にバックアップを取る
ここから先はサーバー上のファイルを変更します。FTPソフトやレンタルサーバーのファイルマネージャーで、少なくとも .htaccess と wp-config.php を手元にダウンロードして保存しておきます。サーバー会社の自動バックアップがある場合は、どの時点のバックアップが残っているかも確認しておくと、万一のときに戻せます。
方法1：定数でプラグインの機能を一時的に止める
プラグインを削除せず、設定も残したまま機能だけを止めたい場合は、wp-config.php に次の1行を追加する方法があります。/* That's all, stop editing! */ の行より上に書きます。
define( 'ITSEC_DISABLE_MODULES', true );この定数を入れると、プラグインのセキュリティ機能が読み込まれなくなり、ロックアウトやログインURLの変更が一時的に効かなくなります。通常どおり wp-login.php からログインし、原因になった設定を修正したら、この行を削除して元に戻します。定数を入れたままにすると、サイトが無防備な状態で動き続けるため注意します。対応状況はバージョンで変わる可能性があるため、効かない場合は次の方法に進みます。
方法2：プラグインフォルダの名前を変えて無効化する
定数で止まらない場合は、FTPで wp-content/plugins/better-wp-security のフォルダ名を better-wp-security-off などに変更します。WordPressはプラグインのフォルダが見つからないと、そのプラグインを自動的に無効化します。この時点でログインできるか確認します。
ログインできたら、フォルダ名を元に戻します。プラグインは無効化された状態のまま「プラグイン」画面に表示されるので、有効化する前に、原因となった設定をどう直すかを決めておきます。有効化した直後に同じ設定が効いて再び締め出されることを避けるためです。
方法3：.htaccessに書き込まれたルールを戻す
サイト全体が403や500になる場合、プラグインを無効化しても直らないことがあります。プラグインが .htaccess に書き込んだルールは、プラグインを止めても残るためです。
.htaccess を開き、iThemes Security（またはSolid Security）の名前を含む BEGIN と END の目印で囲まれたブロックを探します。そのブロックを削除するか、行頭に # を付けて無効化し、保存して表示を確認します。WordPress本体の # BEGIN WordPress から # END WordPress までのブロックは消さないように注意します。Nginxを使っている場合は、プラグインが生成した設定ファイルを読み込んでいる箇所がサーバー設定にあれば、そちらを確認します。
管理画面に戻れたら設定を直す
復旧したら、原因の機能ごとに設定を見直します。メニュー構成はバージョンによって変わるため、項目が見つからないときはプラグインの設定画面内を機能名で探します。
自分のIPアドレスを許可リストに入れる: ロックアウトの対象から除外するIPアドレスを登録できます。固定IPの事務所などから管理している場合に有効です。自宅回線のようにIPアドレスが変わる環境では効果が限られます。
ログインURLを控えておく: ログインURLを変更する機能を使う場合は、新しいURLをパスワード管理ツールなどに記録しておきます。他の管理者にも共有しておかないと、その人が締め出されます。
IPアドレスの判定方法を合わせる: Cloudflareなどを経由している場合、プラグインが訪問者のIPアドレスを判定する方法（プロキシの検出に関する設定）を環境に合わせないと、すべての訪問者がCDNのIPアドレスに見えてしまいます。この状態でロックアウトが起きると、全員がまとめて締め出されます。
システムの微調整系の機能は1つずつ有効にする: .htaccess に保護ルールを書き込む機能は、サーバーによっては合わないことがあります。まとめて有効にせず、1つ有効にするたびにサイトの表示とログインを確認すると、問題が起きたときに原因がすぐ分かります。
同じことを繰り返さないための運用
- セキュリティ設定を大きく変える前に、FTPやファイルマネージャーに入れることを確認しておく
- 可能であればステージング環境で設定を試してから本番に反映する
- 管理者アカウントを2つ用意し、片方が締め出されても対応できるようにする
- 変更した設定と日時をメモに残し、不具合が起きたときに直前の変更を特定できるようにする
まとめ
- 症状から、ロックアウト、ログインURLの変更、
.htaccessのルール、IP判定のどれが原因かを見分ける - 急がなければロックアウトの時間切れを待ち、急ぐ場合は別回線や別の管理者アカウントを試す
ITSEC_DISABLE_MODULES定数、またはフォルダ名の変更で一時的に止め、.htaccessに残ったルールも確認する- 復旧後は許可リスト、ログインURLの記録、IP判定の設定を見直し、機能は1つずつ有効にする