WordPress管理画面に入れない時は、すぐにパスワード、プラグイン、データベースを変更しないでください。最初に行うのは、サイトが公開されているか、ログイン画面まで開くか、どの表示で止まるかを、症状を変えずに記録することです。認証、権限、WordPressの重大エラー、サーバー障害、不正アクセスを同じ「ログイン不能」として扱わなければ、安全な相談先と復旧順を選べます。
改ざんや乗っ取りの兆候があれば通常の確認を止める
管理画面へ入れないだけなら、入力間違い、Cookie、権限、プラグイン、サーバー等の可能性があります。しかし、公開ページが知らない広告や別サイトへ転送される、見覚えのない管理者通知が届く、登録メールやパスワードが勝手に変わった、ホスティング会社から不正通信の警告が来た場合は、単なるログイン復旧として触り続けません。
- 画面、URL、発生時刻、通知メールのヘッダーを、個人情報と秘密を外部公開せず保存する
- ログ、ファイル、未知の管理者、警告メールを削除しない
- 安全な連絡経路で、責任者、ホスティング会社、保守担当、必要ならセキュリティ担当へ連絡する
- 顧客情報や決済が関わる場合は、通常の復旧と切り離して影響範囲と報告要否を判断する
WordPress.orgのサイト侵害時の案内も、管理者アカウントの乗っ取りを通常のログイン不能と分けています。IPAの中小企業向けインシデント対応手引きでは、検知・初動、報告・公表、復旧・再発防止を分け、不正アクセス時の証拠保全を求めています。兆候がある時はWebサイトのインシデント対応手順へ進み、この記事の自己確認は止めます。
操作前に10分で発生記録を作る
「入れない」だけでは調査できません。再試行で表示が変わる前に、次の事実を一枚へまとめます。スクリーンショットへパスワード、再設定URL、Cookie、個人情報を写したままメールやチャットへ貼り付けないでください。
| 記録項目 | 書く内容 | 理由 |
|---|---|---|
| 発生時刻 | 最初に気付いた日時と最後に入れた日時 | 更新、障害、ログと照合する |
| 対象URL | 開いたURLを文字列で保存 | 別サイトや旧URLとの混同を防ぐ |
| 正確な表示 | エラー文、HTTP番号、転送先 | 認証・権限・サーバーを分ける |
| 影響範囲 | 全員か一人か、全端末か一台か | アカウントと端末を分ける |
| 直前の変更 | 更新、移管、パスワード変更、担当交代 | 原因候補と戻し方を絞る |
| 公開側の状態 | トップ、主要ページ、フォームの表示 | 管理画面だけの問題かを分ける |
原因を5層へ分け、順番に切り分ける
WordPress.orgのログイン問題の案内は、ユーザー名・パスワードの大文字小文字、Cookieやキャッシュ、利用環境を確認事項に挙げています。ただし、会社のファイアウォールやセキュリティ機能を記事だけで無効化してはいけません。許可された別端末・別ネットワークで比較するか、社内管理者へ確認します。
| 層 | 症状例 | 変更せず確認するもの | 主な相談先 |
|---|---|---|---|
| 1. 公開サイト・サーバー | サイト全体が開かない、接続・DBエラー | 公開URL、ホスト障害情報、契約状態 | ホスティング会社、保守担当 |
| 2. ログイン入口・端末 | ログインURLが404、転送、繰り返し表示 | 正規URL、別端末差、Cookie、社内制限 | サイト管理者、社内IT |
| 3. アカウント・認証 | ユーザー名やパスワードを拒否 | 登録メール、再設定メール、共有ID有無 | 正規管理者、保守担当 |
| 4. 役割・権限 | ログイン後に管理メニューがない | 利用者名、現在の役割、必要な作業 | 管理者、サイト所有者 |
| 5. WordPress・サーバー処理 | 重大エラー、白画面、タイムアウト | 管理者メール、発生前変更、ホストログ | 開発・保守、ホスティング会社 |
WordPressの一般的なエラー一覧では、データベース接続、更新失敗、タイムアウト、メンテナンス表示、重大エラーを別の症状として扱っています。サイト全体が開かない時は、ログイン試行だけを繰り返すより、ホスティング側の状態と正確なエラー文を先に伝える方が早く切り分けられます。
安全に確認できるのは表示・所有情報・正規経路まで
担当者が自分で確認してよい範囲は、症状を変えない読み取りです。契約書や引き継ぎ票から正規ログインURL、サイト所有者、登録管理者メール、ホスティング会社、保守窓口を確認します。パスワード管理ツールに登録済みの正規URLと、現在開いているドメインが一致するかも見ます。
- 許可されたシークレットウィンドウまたは別ブラウザで、同じ正規URLの表示差だけを比べる
- ブラウザの保存候補を信用せず、ユーザー名と登録メールを区別する
- 再設定メールの送信先が自社管理か、退職者・制作会社・不明アドレスかを確認する
- 複数人で一つの管理者IDを共有していた場合は、誰が最後に使ったかを記録する
契約、ドメイン、サーバー、管理者メールの所有元自体が不明なら、ログイン画面の問題ではありません。制作データと管理権限を回収する手順で、所有権と連絡先から整理します。
パスワード再設定は正規メール経路から一度だけ試す
ログイン画面が開き、侵害兆候がなく、自社が管理する登録メールを確認できる場合は、「パスワードをお忘れですか」からの再設定が最初の候補です。WordPress.orgのパスワード再設定の公式案内も、通常はログイン画面の再設定機能を最も簡単な方法とし、残っているアクセス権に応じて別手段を選ぶと説明しています。
メールが届かない、送信先が不明、管理者が複数いる、侵害を疑う時は、何度も再設定しません。迷惑メールだけを確認し、発生記録へ結果を追記して相談します。公式文書にはphpMyAdmin、FTP、WP-CLI等の方法もありますが、データベースやファイルを書き換えます。同文書もphpMyAdminを自己責任とし、不安なら助言を求めるよう注意しています。候補者のIDを推測して直接書き換える、緊急スクリプトを公開領域へ置く、テーマへ一時コードを残す操作は、この記事の自己確認範囲外です。
ログイン成功と管理権限の回復を分ける
ログインできても、投稿編集、プラグイン、ユーザー、設定が表示されない場合は、パスワードではなく権限の問題です。WordPressの役割と権限では、Administrator、Editor、Author等で許可される操作が異なります。必要な作業を先に言い、最小限の役割を正規管理者から付与してもらいます。
一時対応のために全員を管理者にする、新しい管理者を無断で増やす、共有IDへ戻すのは避けます。誰が、何のために、いつまで、どの権限を必要とするかを記録し、回復後に不要な権限を戻します。
重大エラーやプラグイン停止は専門作業として扱う
「このサイトで重大なエラーが発生しました」等の表示なら、WordPressがサイト管理者メールへ送った案内と、直前の更新を確認します。これは単なる認証失敗ではありません。管理者メールの復旧リンクが使える場合も、原因候補のプラグインやテーマを確認し、公開側への影響と戻し方を決めてから操作します。
WordPress.orgのトラブルシューティングFAQには、管理画面外からプラグインを停止する方法もありますが、DBまたはファイル名の変更を伴い、不慣れならホスティング会社や開発者へ依頼するよう示されています。全プラグインを一括停止するとフォーム、決済、キャッシュ、セキュリティ機能も変わり得ます。変更対象、影響、復旧方法、実行者、受入確認を決めずに行いません。
公開サイトで闇雲にdebug表示を有効化するのも避けます。WordPressのdebug公式文書は、これらをローカルやステージング向けとし、公開サイトでの使用を推奨していません。ログに個人情報や秘密が含まれる可能性もあるため、保存場所と閲覧権限を決めた担当者が扱います。
相談先を症状と所有範囲で選ぶ
| 状況 | 第一候補 | 伝えるもの |
|---|---|---|
| サーバー・DB・契約停止の疑い | ホスティング会社、契約管理者 | 契約ID、発生時刻、正確なエラー |
| パスワード・登録メール・役割 | 正規WordPress管理者、サイト所有者 | 利用者名、必要作業、再設定結果 |
| 更新後の重大エラー | 保守担当、開発者 | 直前変更、管理者メール、戻し方 |
| 改ざん・未知ユーザー・不正転送 | 責任者、セキュリティ担当、ホスト | 証拠、影響範囲、連絡経路 |
| 所有元や制作会社が不明 | 契約責任者、ドメイン・ホスト窓口 | 請求書、契約書、登録通知 |
更新業務全体が止まっているならホームページ更新を再開する手順、実行方法や権限分担まで見直すなら更新方法の選び方へ分けます。ログイン復旧だけで契約や運用の問題まで解決したことにしません。
復旧作業は5つのゲートで承認する
相談先が決まっても、いきなり本番を変えません。発生記録、停止判断、変更前の復旧可能性、承認済みの最小変更、受入確認、再発防止を一件の記録へつなげます。バックアップは目的と復元方法を確認した一つを使い、操作のたびに無目的な複製を増やしても、安全性の代わりにはなりません。
| ゲート | 完了条件 | 未達なら |
|---|---|---|
| 1. 記録 | 症状、時刻、範囲、直前変更がある | 変更しない |
| 2. 判断 | 通常障害かインシデントかを責任者が決めた | 専門対応へ上げる |
| 3. 復旧 | 対象、実行者、戻し方、承認がある | 本番へ触れない |
| 4. 受入 | 本人ログイン、必要権限、公開側、主要機能を確認 | 完了にしない |
| 5. 再発防止 | 所有者、個別ID、連絡先、記録先を更新 | 恒久対応を残す |
復旧完了は本人の操作と公開側で確認する
「管理画面が開いた」だけでは完了ではありません。対象本人が新しい正規経路でログインでき、必要なメニューだけが見え、別ユーザーへ影響がなく、公開サイトと主要フォームが変わっていないことを確認します。プラグイン、テーマ、設定、ユーザーを変更した場合は、変更一覧と戻し方も受け取ります。
- 対象本人が正規URLからログイン・ログアウトできる
- 必要な作業に対して過不足のない役割になっている
- 知らない管理者や不要な共有アカウントが残っていない
- 公開ページ、問い合わせ、通知先、計測等の主要機能に差分がない
- 登録管理者メール、緊急連絡先、所有者、実行記録が更新されている
復旧後の個別アカウント、権限、更新、連絡先を継続管理する場合は止まらないサイト運用の設計へつなぎます。事故前の安全確認を別途計画する場合はWeb脆弱性診断の発注手順で、復旧作業と診断を混同せずに範囲を決めます。
費用は作業名ではなく残っている権限と影響範囲で変わる
「ログイン復旧一式」だけでは見積範囲が分かりません。正規登録メールが使えるのか、サーバーやDB調査が必要か、侵害対応か、復旧後の検証や権限整理まで含むかで作業が変わります。
| 範囲 | 主な内容 | 受け取る証拠 |
|---|---|---|
| 初期切り分け | 症状、所有、環境、直前変更の確認 | 原因候補と次の判断 |
| 認証・権限回復 | 正規経路で再設定、役割修正 | 対象ユーザーと変更記録 |
| 障害復旧 | プラグイン、テーマ、サーバー等の修正 | 差分、戻し方、受入結果 |
| インシデント対応 | 隔離、証拠保全、影響調査、安全化 | 時系列、影響、再発防止 |
| 継続運用 | 個別ID、連絡先、更新、監視 | 運用台帳と責任者 |
まとめ
WordPress管理画面に入れない時は、症状を変える操作より先に、発生時刻、正確な表示、影響範囲、直前変更、公開側の状態を記録します。改ざんや乗っ取りの兆候があれば通常の確認を止め、そうでなければ、公開サイト、ログイン入口、アカウント、権限、WordPress・サーバーの5層で切り分けます。
パスワード、ファイル、DB、プラグインを無断で変えず、残っている所有権と正規アクセスに合う相談先を選んでください。管理画面への復帰、必要権限、公開側と主要機能、変更記録、再発防止まで確認して初めて復旧完了です。
現在分かっている情報から安全な確認順を整理したい場合はホームページ保守・運用の支援範囲をご確認ください。緊急性、表示内容、最後に入れた日時、契約先が分かる範囲をまとめたうえで、お問い合わせページからご相談いただけます。パスワードや再設定URLは送らないでください。
