WordPressにFacebookやX（旧Twitter）でのログインを追加するなら、自作するより、保守が続いているソーシャルログインプラグインを使い、各サービスの開発者向け画面でアプリを登録する方法が安全で手間も少なく済みます。この記事では、プラグインの選び方、Meta・Xそれぞれのアプリ登録の流れ、既存アカウントとの紐付けや個人情報の扱いなど、導入前に決めておくべきセキュリティ上のポイントを順に説明します。
ソーシャルログインの仕組みと、自作をすすめない理由
ソーシャルログインは、OAuth 2.0 などの仕組みを使い、ユーザーがFacebookやXで本人確認を済ませた結果をWordPressが受け取ってログインさせるものです。流れは次のとおりです。
- ユーザーがログイン画面の「Facebookでログイン」などのボタンを押す
- 各サービスの認証画面に移動し、ユーザーが許可する
- 各サービスが、あらかじめ登録したコールバックURL（リダイレクトURI）にユーザーを戻す
- WordPress側が受け取った情報を検証し、対応するユーザーでログインさせる
この中には、なりすましを防ぐための state パラメーターの検証、アクセストークンの安全な扱い、受け取ったメールアドレスの信頼性の判断など、誤ると第三者が他人のアカウントでログインできてしまう処理が含まれます。さらにMetaやXの仕様は頻繁に変わります。そのため、仕組みを理解したうえで、更新が続いているプラグインに任せるのが現実的です。
プラグインを選ぶ
代表的なものに Nextend Social Login and Register があります。無料版でFacebook・Google・Xに対応し、その他のサービスは有料版で追加できる構成です（2026年10月現在）。ほかにも Super Socializer や miniOrange のソーシャルログインなどがあります。
選ぶときは、次の点を公式ディレクトリのページで確認してください。
- 最終更新日が新しく、現行のWordPressバージョンでテストされているか
- 使いたいサービス（FacebookとX）が無料版で使えるか
- 既存ユーザーとの紐付け方法や、新規登録時の権限グループを設定できるか
- サポートフォーラムで、最近のAPI変更への対応状況が話題になっていないか
対応サービスや無料・有料の区分はプラグインの更新で変わることがあります。導入前に、プラグインの公式ドキュメントで最新の対応状況を確認してください。
導入前の準備
本番サイトでいきなり設定すると、ログイン画面の不具合で管理者自身がログインできなくなるおそれがあります。次の準備をしてから始めます。
- バックアップ：ファイルとデータベースのバックアップを取ります。
- ステージング環境：可能ならステージングで先に試します。コールバックURLはドメインごとに登録が必要なため、ステージング用にアプリを別に作るか、テスト用のURLを追加しておきます。
- HTTPS：MetaもXも、コールバックURLにHTTPSを求めるのが一般的です。SSL化が済んでいることを確認します。
- 復旧手段：ソーシャルログインを入れても、通常のユーザー名とパスワードによるログインは残しておきます。万が一ログイン画面が動かなくなった場合は、FTPやファイルマネージャーで
wp-content/plugins/内のプラグインのフォルダ名を一時的に変えると、プラグインが無効になり元のログイン画面に戻ります。
Facebook（Meta）のアプリを登録する
Facebookログインには、Meta for Developers でアプリを作成し、ログイン機能を追加する必要があります。画面構成や用語は頻繁に変わるため、以下は大まかな流れとして読んでください（2026年10月現在）。
- Meta for Developers にログインし、新しいアプリを作成します。用途を選ぶ画面では、Facebookログインでユーザーを認証する目的のものを選びます。
- ログイン機能の設定で、プラグインの設定画面に表示されるコールバックURLを「有効なOAuthリダイレクトURI」に相当する欄に登録します。1文字でも違うと認証エラーになります。
- アプリIDとアプリシークレットを控え、プラグインの設定画面に入力します。
- アプリを公開状態にする前に、プライバシーポリシーのURLと、ユーザーデータ削除の手順（または削除用のコールバックURL）を登録します。
開発中のアプリは、アプリの管理者やテスターに登録したアカウントでしかログインできません。「自分はログインできるのに一般ユーザーが失敗する」場合は、アプリが公開状態になっているかを確認してください。名前とメールアドレス以外の情報を求めると審査が必要になることがあるため、取得する情報は最小限にとどめるのが無難です。
X（旧Twitter）のアプリを登録する
Xは、開発者ポータルでプロジェクトとアプリを作成し、ユーザー認証の設定を行います。XのAPIは利用プラン・利用規約・機能の変更が特に多いため、着手前に開発者向けドキュメントで最新の条件を確認してください（2026年10月現在）。
- X の開発者ポータルにサインアップし、プロジェクトとアプリを作成します。
- アプリのユーザー認証設定で、アプリの種類（Webアプリ）、権限（ログイン用途なら読み取りのみで足ります）、コールバックURL、ウェブサイトURLを登録します。
- メールアドレスの取得を有効にする場合は、プライバシーポリシーと利用規約のURLの登録が求められます。
- 発行されたキー（プラグインによってAPIキーとシークレット、またはOAuth 2.0のクライアントIDとシークレット）をプラグインに入力します。
Xではメールアドレスが取得できない、または取得の許可を得ていない構成もあり得ます。その場合、プラグインがどのように新規ユーザーを作成するか（仮のメールアドレスを割り当てるのか、入力を求めるのか）を確認しておきます。メールアドレスがないとパスワードリセットや通知が届かず、後で問い合わせの原因になります。
既存アカウントとの紐付けと権限の設定
導入時に最も慎重に決めたいのが、ソーシャルアカウントと既存のWordPressユーザーをどう結び付けるかです。
- メールアドレスによる自動紐付け：同じメールアドレスのユーザーが既にいれば自動で紐付ける設定は便利ですが、提供元がそのアドレスの所有を確認していない場合、他人のアカウントに入り込まれる危険があります。自動紐付けは慎重に扱い、可能ならログイン済みのユーザーがプロフィール画面から自分で連携する方式にします。
- 管理者アカウントの扱い：管理者や編集者など強い権限のアカウントでは、ソーシャルログインを使わない運用をおすすめします。管理者は通常のログインに二段階認証を組み合わせるほうが管理しやすくなります。
- 新規登録時の権限グループ：ソーシャルログインで新規作成されるユーザーは「購読者」など最小の権限にします。一般設定の「新規ユーザーのデフォルト権限グループ」とプラグイン側の設定の両方を確認してください。
- 二段階認証との関係：二段階認証プラグインを使っている場合、ソーシャルログイン経由ではその確認が省略される構成があり得ます。組み合わせて動くかをステージングで確かめます。
キーの保管と個人情報の扱い
アプリシークレットやAPIキーは、漏れると第三者がサイトになりすましてユーザー情報を要求できる重要な情報です。プラグインの設定画面に入力した値は通常データベースに保存されるため、管理者アカウントを必要最小限にし、データベースのダンプを共有する際は取り扱いに注意します。設定値をGitなどで管理する場合は、キーを含めないようにします。
ソーシャルログインでは、名前、メールアドレス、プロフィール画像、各サービス上のユーザーIDなどを受け取って保存します。どの情報を何のために保存し、どのサービスと連携しているかをプライバシーポリシーに明記し、ユーザーが退会やデータ削除を求めたときの手順も用意してください。WordPressの「ツール」にある個人データのエクスポート・消去機能で、プラグインが保存した情報まで対象になるかも確認しておくと安心です。
うまくいかないときの確認ポイント
- リダイレクトURIの不一致：エラー画面にredirect_uriやURLのブロックに関する表示が出る場合、登録したコールバックURLとプラグインが送っているURLが一致していません。
httpsとhttp、wwwの有無、末尾のスラッシュまで比較します。 - ログイン後にログイン画面へ戻される：キャッシュプラグインやCDNがログイン関連のURLをキャッシュしていないかを確認し、除外設定を見直します。
- 一部のユーザーだけ失敗する：Metaのアプリが開発モードのまま、またはXのアプリ権限やプランの制限に該当している可能性があります。
まとめ
- ソーシャルログインは、保守が続いているプラグインと各サービスの開発者向け画面でのアプリ登録で実装する。
- MetaとXは仕様・審査・利用条件が頻繁に変わるため、着手前に公式の開発者ドキュメントを確認する。
- 本番前にバックアップとステージングでの確認を行い、通常のパスワードログインとFTPでの復旧手段を残しておく。
- メールアドレスによる自動紐付けや管理者アカウントでの利用は慎重に扱い、新規ユーザーは最小の権限にする。
- 受け取る個人情報を最小限にし、プライバシーポリシーとデータ削除の手順を整える。