WordPressのログインが一時的に無効になりました：原因を見つけて、待機時間をスキップ

WordPressのパスワードを入力してEnterキーを押します。通常のダッシュボードではなく、エラー「ログインが一時的に無効になりました」が表示されます。

クライアントのサイトをテストしていて、この問題に複数回遭遇しました。初めて遭遇したときは、セキュリティ侵害だと仮定しました。しかし、そうではなく、ほとんどの場合、あなたにとってもそうではありません。

WordPress、またはそれを保護している何かが、繰り返し失敗したログインを検出し、一時的にドアを閉めました。これはボットをブロックしている場合には役立ちます。あなたをブロックしている場合にはイライラします。

この記事では、特定のロックアウトの原因、それを特定する方法、そして次に何をすべきかを示します。

主なポイントは次のとおりです：

• WordPressネイティブのロックアウトは存在しません。メッセージは常に、プラグイン、ホスト、CDN、または手動のサーバールールなど、コアの上に何かを追加したものから来ます。
• ブロックは攻撃者と間違いを区別しません。パスワードを推測しているボットと、古いパスワードを試しているチームメイトは、監視しているシステムにとって同一に見えます。
• ほとんどのロックアウトは15〜20分で解除されます。失敗した試行が自分自身によるものであると確信している場合、待つことが最も速い解決策です。
• ロックアウト中に再試行すると延長されます。ブロック中に失敗した試行ごとにタイマーがリセットされるため、「再試行」を連打すると状況が悪化します。
• データベースへのアクセスでブロックを即座に解除できます。 Limit Login Attempts Reloadedのようなプラグインは、ロックアウトをwp_optionsに保存し、phpMyAdminまたはWP-CLIを使用してその行を削除するとすぐに解除されます。
• ログインページを完全にスキップすることは可能ですが、ロックアウトが発生する前に設定された災害復旧バックアップが必要です。
• IPアドレスをホワイトリストに登録することで、繰り返しロックアウトされるのを防ぐことができます。どのレイヤー、プラグイン、ホスト、またはCDNがブロックしているかを特定した後。
• ロックアウトメッセージだけではハックの証拠にはなりません。不正なアクティビティが検出されたことを意味しますが、侵害が発生したわけではありません。

目次

「ログインが一時的に無効になりました」とはどういう意味ですか？

WordPress自体はログイン試行を制限しません。新しくインストールしても、誰かが一日中間違ったパスワードを入力するのを止めるものはありません。コアにはロックアウトタイマーは組み込まれていません。

したがって、「ログインが一時的に無効になりました」と表示される場合、そのメッセージはWordPress自体から来ているのではありません。あなたまたはあなたのホストが追加したものから来ています。

簡単な明確化：これはセルフホストのWordPress.orgサイトに関するものです。WordPress.comを使用している場合、ロックアウトシステムは異なり、これらはアカウントには適用されません。

一時的なロックアウトは通常、次の4つの原因のいずれかによって発生します。

• インストールしたセキュリティプラグインがログイン試行を監視し、一定回数の失敗後にブロックする
• サイトにインストールされたものとは独立して実行されているホスティング会社のファイアウォール
• サーバーの前に配置されたCDNまたは外部ファイアウォール
• 誰かが設定した手動のサーバールール。発動するまで忘れられていることが多い

原因が何であれ、トリガーは同じです。1つのIPアドレスから、または1つのユーザー名に対して、ログインの失敗が多すぎると、そのソースはあなたが攻撃者だと判断します。

これにより、そのIPからアクセスしている全員がログインページにアクセスできなくなります。少なくともしばらくの間は。

クライアントが古いパスワードを試した後にこのロックアウトが発生しました。監視システムは、実際の脅威と、どのパスワードマネージャーのエントリが最新か忘れた人を区別できません。どちらも同じように扱われます。

ブロックはどこから来ているのですか？

設定を変更する前に、何が原因でロックアウトされたのかを特定してください。原因によって対処法が異なり、間違った対処法を試すと、時間がないのに無駄にしてしまいます。

あなたのセキュリティプラグイン

セキュリティプラグインをインストールした場合、それが最も可能性の高い原因です。

Wordfence、Limit Login Attempts Reloaded、All In One WP Security はすべて、デフォルトでこのようなブルートフォースブロック機能を備えています。

以下に手順を示します：

• wp-admin にログインできないため、FTP またはホストのファイルマネージャー経由で接続して、アクティブなプラグインを確認してください。
• 特定のプラグインが原因だと疑われる場合は、wp-content/plugins 内のそのプラグインのフォルダ名を変更してください。これにより、ログインせずに無効化できます。
• 再度ログインできたら、**ロックアウト期間**や**最大ログイン試行回数**のような設定を探してください。プラグインがこの動作を制御している場所です。
• 原因がプラグインであると確認できたら、プラグインの設定で自分のIPアドレスをホワイトリストに追加してください。これにより、この特定のロックアウトが再び発生するのを防ぐことができます。

ホストのファイアウォールまたはサーバールール

場合によっては、ブロックは WordPress に全く影響しません。サーバーレベルで発生し、WordPress がロードされる前に対処されます。

多くのマネージド WordPress ホスティングサービスは、プラグインとは独立した独自のログイン保護を実行しているため、プラグインを無効化しても何も解決しません。

あるホストのサポートケースでは、WordPress 側の設定を変更せずにログインリクエストを outright にブロックするカスタムファイアウォールルールが記録されていました。通常、これは標準的な普遍的なルールではなく、独自の WAF アドオンから提供されるため、正確なルール番号はホストによって異なります。

ホスティングコントロールパネルのセキュリティまたはファイアウォールログを確認するか、サポートに直接連絡して、IPアドレスがブロックされているかどうかを尋ねてください。これが続く場合は、特に一貫した場所から作業している場合は、ホストにIPアドレスをホワイトリストに追加するように依頼してください。

CDNまたは外部ファイアウォール

サイトが Cloudflare、Sucuri、または同様のサービスを実行している場合、リクエストがサーバーに到達する前にブロックが発生する可能性があります。

これらのサービスは、/wp-login.php および /wp-admin へのトラフィックを監視し、たとえ実際の人物が速すぎたり何度も再試行したりする自動化されたように見えるリクエストをブロックできます。

CDN またはファイアウォールが原因だと疑われる場合：

• CDN のファイアウォールまたはセキュリティイベントログで、自分のIPアドレスに一致するブロックされたリクエストを確認してください。
• これが原因であると確認できたら、CDN のファイアウォールルールで自分のIPアドレスをホワイトリストに追加してください。

WordPressのログインロックアウトはどのくらい続きますか？

ほとんどの初めての WordPress ロックアウトは 15 分から 20 分で解除されます。その時間待てば、ログインページは自動的に元に戻ります。

その間に誰かがログインを試み続けると、タイマーがリセットされます。アクティブなロックアウト中に失敗した試行ごとに延長されるため、何度も「再試行」すると状況が悪化します。

もしそれが自分のミス（パスワード間違い、古い保存ログイン、またはチームメンバーによるテストなど）によるものであると確信している場合は、待つのが最も速い解決策です。タイマーをセットして、後で戻ってきてください。

待ってもロックアウトが毎回発生する場合は、それは別の問題です。ログインページがまだ積極的に攻撃されているか、しきい値が非常に厳しく設定されているため通常の利用でトリップしている可能性があります。

どちらの場合も、待っても解決しません。上記の手順を使用してソースを特定し、直接対処する必要があります。

phpMyAdminまたはWP-CLIでロックアウトを自分でクリアする

データベースへのアクセス権がある場合は、待つ必要はありません。ほとんどのロックアウトプラグインは、ブロックをサイトのデータベースの行として保存しており、その行を削除するとすぐにクリアされます。

Limit Login Attempts Reloaded は、アクティブなロックアウトを wp_options テーブル内のオプションまたはトランジェントとして保存します。その行を見つけて削除すると、プラグインはあなたがブロックされていたことを忘れます。

phpMyAdmin のパスは次のとおりです。

• ホスティングコントロールパネルから phpMyAdmin にログインし、サイトのデータベースを開きます。
• wp_options テーブルを開きます。
• option_name 列で、limit_login_lockouts のようなプラグイン名に一致するもの、または _transient_limit_login で始まるトランジェントを検索します。
• その行を削除してから、再度ログインを試してください。

コマンドラインに慣れている場合は、WP-CLI を使用するとより速く完了できます。

• wp plugin deactivate limit-login-attempts-reloaded のようなコマンドで、問題のプラグインを直接非アクティブ化します。
• または、名前がわかっている場合は wp transient delete を使用して、ロックアウトを保持している特定のトランジェントを削除します。

これによりロックアウトはクリアされますが、発生した原因は解決されません。実際の攻撃が原因で発生した場合、行を削除しても、攻撃を受けているサイトへのアクセスが回復するだけです。上記でソースを特定し、IP アドレスをホワイトリストに追加することと組み合わせてください。そうしないと、20 分後にここに再び戻ってくることになります。

待てない場合はどうすればよいですか？

20 分待つことができない場合があります。ローンチの最中であったり、クライアントが監視していたり、サイトの他の部分にすぐに注意が必要な場合で、WordPress ダッシュボードにアクセスするのが唯一の方法である場合などです。

災害復旧が構成された最近のバックアップがある場合は、ログインページを完全にスキップしてアクセスする方法があります。

Duplicator の災害復旧 URL は、保存された復旧ポイントから直接サイトを復元します。URL をブラウザに貼り付けると、wp-admin を使用せずに処理が開始されます。

これは、待機やトラブルシューティングが十分に速くない場合のセーフティネットです。

ただし、ロックアウトが発生する前に設定した場合にのみ機能します。災害復旧には、そのオプションがオンになっている 既存のバックアップ が必要です。後から作成することはできません。

これを事前に設定していなかった場合は、一時的なロックアウトの原因を特定することに戻ってください。

一時的なWordPressロックアウトが再び発生しないようにするにはどうすればよいですか？

再びアクセスできるようになったら、再びここにたどり着かないように、10 分かけて確認する価値があります。

私がやることの概要は次のとおりです。

• ログイン試行回数の上限を、チームの実際の運用に合わせて設定してください。3回の試行でパスワードを間違えた人をロックアウトし、10回以上の試行では実際の攻撃者に推測される余地を与えすぎます。
• 2要素認証を追加して、ログイン試行のブロックが攻撃者とダッシュボードの唯一の障壁とならないようにしましょう。
• ブルートフォース攻撃が頻繁な場合は、ログインURLを非表示にして、ボットが /wp-login.php を見つけられないようにすることを検討してください。
• ロックアウトで不意を突かれる前に、災害復旧を有効にした最新のテスト済みバックアップを、必要になる前に用意しておきましょう。ロックアウトされてから慌てて用意するのではなく。

これはハッキングまたは禁止されているのと同じですか？

いいえ、そして率直に言う価値があります。なぜなら、その言葉遣いが人々にあらぬ誤解を招くからです。

一時的なWordPressロックアウトがあれば、これらの問題について心配する必要はありません。

• 永久的な禁止ではありません。ブロックは意図的に一時的なものであり、ロックアウト期間が経過するか、自分で解除すると通常のアクセスが回復します。
• サイトがハッキングされた証拠ではありません。これは、不正なログインアクティビティが検出されたことを意味し、侵害を確認することとは異なります。
• WordPressが標準で独自に行うものではありません。コアにはネイティブなロックアウト機能がないため、これは常にあなたまたはホストが追加したものから来ています。
• ロックアウト中に他に何も起こらなかったことを確認するために、アクティビティログにはサイトで行われたすべての操作の完全な記録があり、推測する必要はありません。

よくある質問（FAQ）

メッセージは仕事をしています：その活用方法

WordPress は、このメッセージが表示されたときに壊れたわけではありません。保護機能が設計どおりに機能し、失敗した試行が多すぎた後にドアを閉めました。次回発生したときに覚えておくべき点はそこにあります。

本当の問題はロックアウトそのものではありません。ほとんどのサイトでは、プラグインまたはホストが出荷時に設定したデフォルト値でこれらのしきい値を実行しており、実際のチームのログイン方法に合わせて調整されていません。この不一致が、セキュリティ機能を日常的な煩わしさへと変えてしまうのです。

復旧したらまず行うべきことの1つは、セキュリティプラグインのロックアウトログを開くことです。これにより、ブロックされたすべての試行の背後にあるIPアドレスとユーザー名が記録されます。

ランダムなユーザー名をヒットする1つのIPでいっぱいのログは、実際の攻撃です。あなた自身のものと一致する単一のIPで、あなたのユーザー名に関連付けられているものは、あなた自身だけです。そのログは、どちらに対処しているのか、パスワードを変更する時期なのか、それとも単に閾値を調整する時期なのかを示します。

完全にロックアウトされる前に、必ず復旧できるようにしてください

一度ロックアウトされるのは不便です。復旧方法がない（バックアップがなく、復旧オプションも設定されていない）ため、復旧できずにロックアウトされるのは、はるかに悪い一日です。

Duplicator Pro の災害復旧 URL は、保存されたバックアップから直接ダッシュボードにアクセスできますが、それは事前に設定されている場合に限ります。150 万人以上の WordPress プロフェッショナルが Duplicator を使用して、ロックアウトを含め、サイトのバックアップと復旧を維持しています。

必要になる前に災害復旧を設定してください！

この投稿で、ロックアウトとサイトアクセスについてより広く考えるようになった場合は、これらのガイドを読む価値があります。

• WordPressからロックアウトされましたか？ 16の方法で（迅速に）復帰する方法
• このウェブサイトで致命的なエラーが発生しました。迅速な修正方法
• WordPressサイトを手動で復元する方法
• WordPressデータベースを更新する方法
• エラー「Cookieがブロックされているか、ブラウザでサポートされていません」を修正する方法