二段階認証（2FA）は、ログインのときにパスワードに加えて、スマートフォンの認証アプリに表示される6桁の数字などを入力させる仕組みです。パスワードが漏れても、2つめの要素が無ければログインできません。管理者や編集者のように、記事やサイトの設定を変えられるアカウントには設定しておきたい対策です。
この記事では、WordPress の貢献者チームが開発しているプラグイン Two Factor（スラッグ two-factor）を使います。手順は、2026年11月時点の Two Factor 0.17.0（WordPress 7.1）で確かめました。
Two Factorで使える認証方法
| 方法 | 画面の表記 | 内容 |
|---|---|---|
| 認証アプリ（TOTP） | 認証アプリ | Google Authenticator・Microsoft Authenticator・1Password などのアプリに表示される6桁のコードを入力する。おすすめ |
| リカバリコード | リカバリコード | 1回ずつ使える予備のコード。スマートフォンをなくしたときのために用意する |
| メール | メール | ログインのたびにユーザーのメールアドレスへ届くコードを入力する |
以前あった FIDO U2F（物理キー）は、ブラウザーの対応が終わったため削除されています。
メールの方法は、メールアドレスやメールの受信箱が乗っ取られると守りになりません。また、サイトからのメールが届かない環境では、ログインできなくなります。できるだけ認証アプリを使い、メールは予備にとどめます。
1. プラグインを入れる
管理画面の「プラグイン」→「プラグインを追加」で「Two Factor」を検索します。作者が「WordPress.org」のものを選んでインストールし、有効化します。WP-CLI が使える場合は次のコマンドでも入ります。
wp plugin install two-factor --activate有効化しただけでは、ログインの手順は変わりません。二段階認証は、ユーザーが自分のプロフィールで有効にした時点から求められます。
2. 自分のアカウントに認証アプリを登録する
作業の前に、別のブラウザー（またはシークレットウィンドウ）で管理画面にログインしたままにしておくと、設定を誤っても戻せます。
- スマートフォンに認証アプリを入れておきます。
- 管理画面の「ユーザー」→「プロフィール」を開き、下の方の「2要素認証の設定」まで進みます。
- 「認証アプリを有効化」にチェックを入れ、表示される QR コードを認証アプリで読み取ります。
- アプリに表示された6桁のコードを入力欄に入れ、「検証」を押します。
- 「リカバリコードを有効化」にチェックを入れ、「新しいリカバリコードを生成」を押します。表示されたコードは「コードをダウンロード」か「コードをコピー」で保存し、パスワード管理アプリや紙など、スマートフォンとは別の場所に保管します。コードはこの画面でしか表示されません。
- 「メイン認証方法」で「認証アプリ」を選び、「プロフィールを更新」を押します。
3. ログインして確かめる
いったんログアウトし、もう一度ログインします。ユーザー名とパスワードのあとに認証コードの入力画面が表示され、認証アプリの6桁を入れるとログインできれば設定は完了です。
認証コードの入力画面には、ほかの方法（リカバリコードやメール）に切り替えるリンクも表示されます。スマートフォンが手元に無いときは、リカバリコードを1つ入力してログインします。使ったコードは二度と使えないので、残りが少なくなったらプロフィールで生成し直します。
認証アプリのコードは時刻をもとに作られます。正しいコードを入れても通らない場合は、スマートフォンの時刻が自動設定になっているかを確かめてください。
ほかのユーザーの設定と、使える方法の制限
- ほかのユーザーに設定してもらう。 二段階認証は、ユーザーごとに本人がプロフィールで設定します。認証アプリの登録は本人のスマートフォンで行う必要があるため、管理者が代わりに済ませることはできません。編集者などに手順を案内して、本人に設定してもらいます。
- 管理者ができること。 管理者は「ユーザー」→「ユーザー一覧」から各ユーザーの編集画面を開き、「2要素認証の設定」の状態を確認したり、メールの方法を有効にしたりできます。
- サイトで使える方法を絞る。 「設定」→「Two-Factor」の画面で、サイト全体で使わせない方法を選べます。たとえばメールの方法を無効にして、認証アプリだけにできます。
WP-CLIで状態を確認・解除する
Two Factor には wp two-factor コマンドが用意されています。ユーザーは ID・ユーザー名・メールアドレスのどれでも指定できます。
# 使える認証方法の一覧
wp two-factor list-providers
# ユーザー editor1 の状態（使っているか・メインの方法・リカバリコードの残り）
wp two-factor status editor1
# ユーザー editor1 にメールの方法を有効にする
wp two-factor enable editor1 Two_Factor_Email
# リカバリコードを作り直す（古いコードは無効になる）
wp two-factor backup-codes generate editor1
# ユーザー editor1 の二段階認証をすべて解除する
wp two-factor disable editor1 --yes
# ログインの試行制限だけを解除する（設定は変えない）
wp two-factor unlock editor1認証アプリ（Two_Factor_Totp）は、本人のアプリと秘密の値を共有する必要があるため、コマンドでは有効にできません。プロフィール画面で登録します。
ログインできなくなったときの戻し方
スマートフォンをなくし、リカバリコードも見つからない場合は、次のどれかで二段階認証を外します。
- ほかの管理者に頼む。 ほかの管理者がいれば、ユーザー一覧からその人のプロフィールを開き、「2要素認証の設定」で各方法を無効にしてもらいます。
- WP-CLI を使う。 SSH が使えるなら、
wp two-factor disable ユーザー名 --yesで解除できます。 - プラグインを止める。 FTP やレンタルサーバーのファイルマネージャーで
wp-content/plugins/two-factorのフォルダー名をtwo-factor-offなどに変えると、プラグインが無効になり、パスワードだけでログインできます。ログインしたらフォルダー名を元に戻し、「プラグイン」で有効化して、プロフィールで設定し直します。
3つめの方法は、サーバーに入れる人なら誰でも二段階認証を外せるということでもあります。FTP やレンタルサーバーの管理画面のパスワードも、使い回さずに強いものにしておきます。
運用のときに知っておくこと
- REST API と XML-RPC。 二段階認証を有効にしたユーザーは、REST API や XML-RPC に通常のパスワードではログインできません。外部のアプリやサービスから投稿している場合は、「ユーザー」→「プロフィール」の「アプリケーションパスワード」で専用のパスワードを発行して使います。
- 全員に必須にしたい場合。 Two Factor には、特定の権限グループに二段階認証を強制する設定がありません（公式の説明でも、管理画面からの強制はできないとされています）。管理者や編集者に設定を義務付けたい場合は、猶予期間つきで強制できる WP 2FA（スラッグ
wp-2fa）などのプラグインを検討します。 - バックアップを取ってから入れる。 ログインの仕組みに関わるプラグインなので、入れる前にサイトのバックアップを取り、FTP などでファイルを操作できることを確かめておきます。