WordPressの管理画面に入るとき、毎回パスワードを打っています。
長くて複雑なものにしているので、管理ソフトから貼り付ける。それでも数秒かかります。
1日に何度も入る人なら、この数秒が積み重なります。
指を置くだけで入れるようになる、と言われたらどうでしょうか。
買い物のサイトで見かける、あの仕組みです。パスキーといいます。
WordPressでも使えます。プラグインを1つ入れるだけです。
パスキーとは何か
ひとことで言うと、パスワードを使わないログイン方法です。
登録するとき、端末の中で鍵のペアが作られます。
片方をサイトに預けて、もう片方は端末から出ません。
ログインするときは、サイトから出された問いに、手元の鍵で答えを返します。
つまり、破れば通る秘密が、サーバー側に置かれていません。
速いだけではありません
パスキーは、偽サイトでは成立しません。
認証のときにドメインが照合されるので、見た目がそっくりでも反応しない。
利用者が騙されても、鍵が渡らない仕組みになっています。
WordPressで使うと、何が変わるか
ログインが速くなる
指を置くだけです。
パスワードを探して、貼り付けて、送信する。その手順が丸ごと消えます。
ユーザー名が漏れても、困らない
これが、実は大きいところです。
WordPressは、投稿者の名前を外に出す経路をいくつも持っています。
投稿者アーカイブ、外部から取得できる情報、ページのソース。
塞いだつもりでも、どこかから漏れます。
名前が割れると、残る防御はパスワードだけになります。
パスキーなら、名前が分かっても総当たりの対象がありません。
使い回しの巻き添えを受けない
どこか別のサービスからパスワードが漏れて、それを使って試される。
実際に起きている攻撃です。
パスキーは、サイトごとに別の鍵になります。使い回しようがありません。
Rapls Passkey を使ってみる
WordPress向けのパスキープラグインです。無料版があって、そのまま使えます。
入れてから、使えるまで
やることは3つです。
プラグインを入れて、有効にする。
自分のプロフィール画面から、パスキーを登録する。
一度ログアウトして、試す。
設定ファイルを触る必要はありません。 管理画面だけで終わります。
実際の画面を録りました。登録から、指を置いて入るところまでです。
複数の端末に登録できます
パソコンとスマートフォンの両方に登録しておけます。
どちらからでも入れるので、片方を失っても困りません。
登録したパスキーには名前が付くので、あとから見分けられます。
パスワードも残せます
ここが安心できるところだと思います。
パスキーを入れても、パスワードでのログインは残ります。
いきなり切り替えて入れなくなる、ということがありません。
しばらく併用して、慣れてから考えればいいと思います。
動かすための条件
3つあります。入れる前に確認してください。
1. HTTPSであること
これは必須です。 ブラウザ側の仕様なので、どのプラグインでも同じです。
いまどきのレンタルサーバーなら、無料で設定できます。
アドレスが `https://` で始まっていれば問題ありません。
2. PHPのバージョン
パスキーの処理には、新しめのPHPが要ります。
サーバーの管理画面から確認できます。 古いままなら、上げてください。
上げると、サイト全体の表示も速くなります。
3. ドメインが決まっていること
これは見落としやすいところです。
パスキーは、登録したドメインに紐づきます。
サイトを移転すると、登録済みのパスキーは使えなくなります。
移転の予定があるなら、移転してから入れるほうが楽です。
そして、`www` の有無は先に統一しておいてください。
入れる前に決めておくこと
ひとつだけ、先に考えておいてほしいことがあります。
端末を失ったら、どうするか
パスキーの鍵は、端末から出ません。それが安全の理由ですが、失うと戻せません。
だから、こうしておいてください。
複数の端末に登録する。
パスワードも残しておく。
サーバーの管理画面に入れる状態を保つ。
これだけで、締め出される心配はほぼなくなります。
こういう人に向いています
毎日、管理画面に入る人。数秒の積み重ねが効きます。
複数のサイトを運営している人。サイトごとにパスワードを覚えなくて済みます。
スマートフォンから更新する人。小さい画面でパスワードを打つ手間が消えます。
不正ログインの通知が届いて、気になっている人。
急がなくていい人
月に数回しか入らないなら、いまのままでも困らないと思います。
サイトの移転を考えているなら、それが済んでからのほうが楽です。
もっと詳しく知りたい場合
設定の細かいところ、複数サイトでの運用、上位版でできること。
そういった内容は、開発元のページにまとまっています。
技術的な話や、実装の背景もそちらに書かれています。
まとめ
- パスキーは、パスワードを使わないログイン方法
- 破れば通る秘密が、サーバー側に置かれない
- 偽サイトでは成立しない。ドメインが照合されるため
- ユーザー名が漏れても、総当たりの対象がない
- 使い回しの巻き添えを受けない。サイトごとに別の鍵
- Rapls Passkey は無料で使える。管理画面だけで設定が終わる
- 複数の端末に登録できる。パスワードも残せる
- 条件は3つ。HTTPS／新しめのPHP／ドメインが決まっていること
- 端末を失ったときの備えを、先に決めておく
- 毎日入る人、複数サイトの人、スマホから更新する人に向く
パスワードを強くする努力は、いつまでも終わりません。
長くして、使い回しをやめて、管理ソフトに入れて、それでも漏れる可能性が残ります。
そもそも送らない、という方法があります。
無料で試せるので、一度入れてみてもいいと思います。
※本記事は2026年8月時点の内容です。仕様は更新されることがあります。
