この記事で紹介している「Rapls Passkey」は、筆者が作って公開している WordPress のプラグインです。この記事は、そのプラグインの宣伝を含みます。
WordPress のログインをパスキーにしたい。でも、すでにログインを守るプラグインを入れている。
エックスサーバーなどで WordPress を使っていると、SiteGuard WP Plugin や CloudSecure WP Security が入っていることが多いと思います。画像認証をかけたり、ログインページの URL を変えたりしているサイトもあるはずです。
そこにパスキーのプラグインを足して、ぶつからないのか。
自分はパスキーのプラグインを作って公開しているので、この2つと一緒に動くかを試しました。
結果：どちらとも、設定を変えずに使えました
| 一緒に入れたもの | 試した機能 | パスキーでのログイン |
|---|---|---|
| SiteGuard WP Plugin | 画像認証 | 問題なし |
| SiteGuard WP Plugin | ログインページ変更 | 問題なし |
| CloudSecure WP Security | 画像認証 | 問題なし |
| CloudSecure WP Security | ログインURL変更 | 問題なし |
どちらのプラグインも、設定は何も変えていません。 画像認証もログイン URL の変更も、有効にしたまま、パスキーでログインできました。
試した環境：XServer / WordPress 7.1.2
SiteGuard WP Plugin で試したこと
ログインページの変更は、有効にしてあります。ログイン画面の URL は、SiteGuard が決めた「login_」で始まる文字列に変わっています。
画像認証は、ログイン、コメント、パスワード確認、ユーザー登録の4つのページで、ひらがなにしてあります。
CloudSecure WP Security で試したこと
ログイン URL の変更は、有効にしてあります。ログイン画面の URL は、wp-login.php から、自分で決めた文字列に変わっています。
画像認証は、ログインフォーム、コメントフォーム、パスワードリセットフォーム、ユーザー登録フォームのすべてで有効にしてあります。
この状態で、変更後の URL のログイン画面を開き、パスキーでログインしました。
パスキーのボタンは画像認証の下にでます。パスキーのログインに、画像認証を入れる必要はありません。
なぜ、ぶつからないのか
ログインを守るプラグインと、パスキーのプラグインは、守っているところが違います。
| 機能 | 守っているところ |
|---|---|
| ログイン URL の変更 | ログイン画面の場所を分かりにくくする |
| 画像認証 | 機械がパスワードを何度も試すのを止める |
| パスキー | そもそもパスワードを使わずにログインする |
場所を隠す、試される回数を減らす、パスワード自体を使わない。重ねるほど、守りが厚くなる組み合わせです。
このサイトでも、ログインを試すアクセスが毎週来ていました。その記録は別の記事にまとめています。
個人サイトにも毎週来ていた｜WordPressへのログイン試行を1週間分見てみた
パスキーを入れるときに気をつけること
- サイトが HTTPS になっていること。 パスキーは、HTTPS のサイトでしか使えません
- パスワードでのログインも残しておく。 パスキーを登録した端末をなくしたときのためです
- 使う端末ごとに、パスキーを登録する。 パソコンとスマートフォンの両方でログインするなら、両方で登録します（同じ Apple アカウントや Google アカウントで同期される場合もあります）
- ログイン URL を変えたら、新しい URL をブックマークしておく
パスキーがどこに保存されて、機種を変えたときにどうなるかは、前の記事に書きました。
パスキーは端末に入っていると思っていた｜機種変更で引き継がれる条件
Macでパスキーを使う｜保存先・ブラウザの違い・うまくいかないときの確認
自分が作ったプラグイン：Rapls Passkey
ここからは、自分のプラグインの話です。
Rapls Passkey は、WordPress にパスキーでログインできるようにするプラグインです。無料版を WordPress.org で公開しています。
作るときには、すでにログインを守るプラグインを入れているサイトに、あとから足せることを大事にしました。この記事で試したとおり、画像認証やログイン URL の変更をそのまま残して使えます。
無料版でできることの一部です。
- パスワードを入れずに、パスキーでログインする
- 登録したパスキーの名前を変える、一時的に止める、再開する
- サイト全体で、誰がどのパスキーを登録しているかを一覧で見る
- ほかの2段階認証のプラグインと一緒に使う
- ログインの記録（監査ログ）を残し、CSV で書き出す
- 日本語の画面で使える
動かすには、WordPress 6.0 以上、PHP 8.2 以上、HTTPS が必要です。
スマートフォンで読み取ってログインする機能や、役割ごとにパスキーを必須にする機能などは、有料版にあります。有料版の内容と詳しい使い方は、作者のサイトにまとめています。
Rapls Passkey（WordPress.org）
Rapls Passkey の解説ページ（作者のサイト）
まとめ
- SiteGuard WP Plugin・CloudSecure WP Security の画像認証やログインページ（URL）の変更と、パスキーは一緒に使えた。設定は変えていない
- 守っているところが違うので、重ねると守りが厚くなる
- パスキーは HTTPS が必要。パスワードでのログインも残し、端末ごとに登録する
- ログイン URL を変えたら、新しい URL をブックマークしておく
2026年9月時点で試した結果です。プラグインの版や、サーバーの設定によって動きが変わることがあります。
