Limit Login Attempts Reloadedの設定方法【不正ログインをブロックする手順】

「WordPressに不正ログインを試みる攻撃が来ているけど、どう対策すればいいかわからない」
「シンプルにログイン失敗回数を制限するだけのプラグインが欲しい」と感じていませんか？

Limit Login Attempts Reloadedは、WordPressへのログイン失敗回数を制限してブルートフォース攻撃（総当たり攻撃）をブロックする、
シンプルで軽量なプラグインです。設定項目が少なく、インストールしてすぐに使い始められる点が特徴で、
世界中で250万以上のサイトに導入されています。

この記事では、Limit Login Attempts Reloadedのインストールから推奨設定まで、
スクリーンショットをまじえてわかりやすく解説します。

Limit Login Attempts Reloadedとは？特徴と主な機能

Limit Login Attempts Reloadedは、WordPressのログインページへのブルートフォース攻撃（総当たり攻撃）を防ぐシンプルなプラグインです。
ログイン失敗が一定回数を超えたIPアドレスを自動的にロックアウト（ブロック）します。

SiteGuardやWordfenceなどと比べると機能はシンプルですが、
「ログイン失敗回数の制限だけでいい」という場合には軽量で使いやすいプラグインです。

Limit Login Attempts Reloadedのインストール手順

Limit Login Attempts ReloadedはWordPress公式ディレクトリで配布されているため、管理画面から直接インストールできます。

Limit Login Attempts Reloadedの設定画面の見方

有効化が完了すると、管理画面の「設定」メニューの中に「Limit Login Attempts」という項目が追加されます。

設定画面には「ダッシュボード（Dashboard）」「設定（Settings）」「ログ（Logs）」の3つのタブがあります。

Limit Login Attempts Reloadedの推奨設定

「設定（Settings）」タブをクリックして設定を変更します。初期設定でも基本的な保護は機能していますが、より強固な設定にするために以下の推奨値を参考にしてください。

App（アプリ）設定

「Allowed Retries」を少なくしすぎると、パスワードを忘れた場合に自分がロックアウトされやすくなります。3～5回が実用的なバランスです。

通知設定

ロックアウトが発生した際にメールで通知を受け取ることができます。攻撃を受けていることをいち早く知るために有効にしておくことをおすすめします。

IPアクセス制御（ホワイトリスト・ブラックリスト）

「Allowlist（ホワイトリスト）」と「Blocklist（ブラックリスト）」でIPアドレスを個別に管理できます。

ログイン失敗時のメッセージの設定

ログイン失敗時に「残り○回試行できます」というメッセージを表示するかどうかを設定できます。デフォルトでは残り回数が表示されますが、これは攻撃者にヒントを与えることにもなります。

「Show login failure message（ログイン失敗メッセージを表示する）」の設定で、メッセージを非表示にしたり、残り回数を表示しないシンプルなメッセージに変更することをおすすめします。

設定の保存

設定が完了したら、ページ下部の「Save Settings（設定を保存）」ボタンをクリックして保存します。

ロックアウトログの確認方法

「Logs（ログ）」タブでは、過去にロックアウトされたIPアドレスの一覧を確認できます。攻撃を受けているかどうかの確認や、誤ってロックアウトされた場合の対処に使います。

ロックアウトを手動で解除する方法

自分自身や正規のユーザーが誤ってロックアウトされてしまった場合、管理者が手動でロックアウトを解除できます。

ダッシュボードで攻撃状況を確認する

「Dashboard」タブでは、現在のロックアウト状況や統計情報を確認できます。

設定完了チェックリスト

Limit Login Attempts Reloadedの設定が完了したら、以下のチェックリストで確認しましょう。

Limit Login Attempts Reloadedと他プラグインの使い分け

Limit Login Attempts Reloadedはログイン保護に特化しているため、他のセキュリティ機能と組み合わせると効果的です。

自分がロックアウトされてしまいました。どうすれば解除できますか？

ロックアウト時間（デフォルト20分）が過ぎれば自動的に解除されます。急いで解除したい場合は別の回線（スマートフォンのモバイル通信など）でIPアドレスを変えてアクセスするか、FTPでプラグインフォルダをリネームして無効化する方法があります。別の管理者ユーザーがいれば、そちらのアカウントでログインしてLogsタブからロックアウトを解除することもできます。

SiteGuardとLimit Login Attempts Reloadedを両方使っても問題ありませんか？

両方を同時に使うこと自体は技術的に可能ですが、ログイン失敗回数制限の機能が二重になります。どちらか一方だけ有効にしておく方が管理が簡単です。SiteGuardを使っている場合はSiteGuardのログイン失敗回数設定を使い、Limit Login Attempts Reloadedの失敗回数機能をオフにする（または逆）といった運用をおすすめします。

設定を変更したら攻撃のメール通知が大量に届くようになりました

「Lockouts before notification（通知までのロックアウト回数）」の設定値を増やしてください、1に設定すると1回のロックアウトで通知が届くため、攻撃が多い場合は大量のメールが届くことがあります。3～5程度に設定すると通知の頻度が減ります。また、攻撃元のIPをブラックリストに追加することで、そのIPからの試みを事前にブロックすることもできます。

旧バージョンの「Limit Login Attempts」とどう違いますか？

旧バージョンの「Limit Login Attempts」は更新が止まっており、現在は非推奨です。「Limit Login Attempts Reloaded」はコミュニティによって引き継がれ、継続的にアップデートされています。機能的には似ていますが、ReloadedバージョンにはクラウドベースのIPブロック・WooCommerce対応・より詳細なログなど追加機能があります。旧バージョンを使っている場合はReloadedへの移行をおすすめします。

Limit Login Attempts Reloadedの設定まとめ

Limit Login Attempts Reloadedは、ブルートフォース攻撃対策をシンプルに実現できる軽量なプラグインです。設定項目が少なく、インストールしてすぐに不正ログイン対策が有効になります。

ログイン保護だけでなくサイト全体のセキュリティを強化したい場合は、SiteGuardやWordfenceなど他のプラグインとの組み合わせをおすすめします。

ホームページの乗っ取りが自分で解決できない時は

ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。

こんなお悩みなら最短30分ですぐに解決します！
いまなら期間限定で3つの安心保証