二段階認証とは？ホームページの管理画面を守るいちばん手軽な方法

二段階認証とは：鍵を2つ重ねる考え方

二段階認証とは、ホームページの管理画面にログインする時に、パスワードに加えてもう1つの確認を求める仕組みです。多くの場合、スマートフォンのアプリや、登録したメールアドレスに届く数字（確認コード）を入力します。玄関の鍵に、もう1つ補助錠を付けるようなものとお考えください。

パスワードだけの場合、そのパスワードを知っている人は誰でも管理画面に入れます。たとえば、使い回しているパスワードが別のサービスから漏れていたり、スタッフの方がメモを机に貼っていたりすると、そこから入られる可能性があります。二段階認証があれば、パスワードが知られても、確認コードを受け取るスマートフォンが手元になければ先へ進めません。

ITに詳しくない院長・事務長にとって、「設定が難しそう」と感じるのは自然なことです。ただ、最近のWordPress（ホームページを更新するための仕組み）では、追加機能（プラグイン）を入れて数分で設定できるものが一般的です。日々のログインにかかる手間も、数秒増える程度です。

なぜ管理画面の入口を守るのか

ホームページの管理画面は、お知らせの文章や診療時間を書き換えられる、いわば院内の事務室の入口です。ここに第三者が入れてしまうと、内容の書き換えや、不審なページの追加ができてしまいます。くわしい兆候はホームページが改ざんされた時のサインでも解説しています。

2026年10月には、PHP（ホームページを動かすためのプログラムの言語）の深刻な弱点についてIPA（情報処理推進機構）の注意喚起（2026年10月21日）が出ました。この弱点はPHP本体の更新で対処するものですが、一方で、管理画面の入口を固めておくことは、PHPの更新とは別に、日頃から取り組める備えです。くわしくは2026年10月のPHPの脆弱性についての記事をご覧ください。

管理画面の守りは、1つの対策に頼らず、層を重ねるのが基本です。強いパスワード、使い回しをしないこと、ログインできる人を必要な人だけにすること、そして二段階認証。この記事では最後の二段階認証を中心にご紹介します。パスワードの管理についてはホームページのパスワード管理の記事もご参照ください。

確認コードの受け取り方：3つの種類

二段階認証の確認コードには、主に3つの受け取り方があります。クリニックの運用に合うものを選んでください。

一般には、認証アプリが安全性と手軽さのバランスが取れているとされています。メールで届く方式は、そのメールアドレス自体のパスワードが守られていることが前提になります。どの方式でも、パスワードだけの状態よりは確実に入口が固くなります。

なお、どの方式を使えるかは、お使いのWordPressの構成や追加機能によって異なります。制作会社や保守の担当者に「二段階認証を入れられますか」と聞くのが早道です。

設定の流れ：院内で決めておくこと

設定そのものは、制作会社や保守の担当者に頼む場合が多いと思います。ただ、院内で決めておくべきことがあります。次の手順で進めると、迷いません。

1. 管理画面に入れる人を洗い出す今、ホームページの管理画面にログインできる人（院内・制作会社・過去の担当者）を一覧にします。使っていないアカウントは、この時点で整理を依頼します。
2. 確認コードを受け取る端末を決める誰のスマートフォンで受け取るかを決めます。1台を共有にすると、その端末を紛失した時に全員が入れなくなるため、人ごとに決めるのが基本です。
3. 追加機能（プラグイン）の導入を依頼する制作会社や保守の担当者に、二段階認証の導入を依頼します。導入後は、院内の人が実際にログインして動作を確かめます。
4. 予備の手段を決めて保管するスマートフォンを替えたり紛失したりした時のための予備コードが発行される場合があります。紙に書いて、鍵のかかる場所に保管します。
5. 定期的に見直すスタッフの入れ替わりや退職があった時に、アカウントと確認コードの端末の登録を見直す日を決めておきます。

管理画面にログインできなくなった場合の対応は、WordPressの管理画面に入れなくなった時の対処法で解説しています。二段階認証を入れた後に入れなくなる原因の多くは、確認コードを受け取る端末の変更や紛失です。予備の手段が役立ちます。

運用で気をつけたい落とし穴

二段階認証は、入れた後の運用が大切です。よくある落とし穴をまとめます。

• 1台の端末を共有しない：全員が同じスマートフォンで確認コードを受け取ると、その端末を紛失した時に誰も入れなくなります。
• 予備コードを院内に置きっぱなしにしない：予備コードは、パスワードと同じくらい大切な情報です。机の上や、見える場所に貼らないでください。
• 退職した人のアカウントを残さない：確認コードの端末が退職者の手元にある状態は、避けたいところです。
• 確認コードを人に教えない：電話やメッセージで「確認コードを教えてください」と言われても、教えないでください。制作会社を名乗る場合でも、いったん院内の担当者に確認します。
• メールアドレスのパスワードも固める：メールで確認コードを受け取る方式では、そのメールが入口になります。

加えて、二段階認証を入れたからといって、パスワードを弱くしてよいわけではありません。パスワードと確認コードは、どちらも欠かせない2つの鍵です。

二段階認証を入れる前に確認しておきたいこと

二段階認証を入れる前に、次の点を確認しておくと、スムーズに進みます。院内でそろえておきたい項目をチェックリストにしました。

• 管理画面のアドレスと、ログインできる人の一覧がある
• WordPressの本体と追加機能（プラグイン）が、サポートされている版に更新されている
• ホームページの控え（バックアップ）が最近取られている
• 確認コードを受け取るスマートフォンが、人ごとに決まっている
• 予備コードの保管場所と、取り出せる人が決まっている
• スタッフが入れ替わる時のアカウントの見直し手順がある

特に、設定の前にバックアップを取っておくことは大切です。バックアップの考え方はホームページのバックアップの取り方で解説しています。万一、追加機能が原因で表示がおかしくなっても、元に戻せます。

また、追加機能そのものにも更新が必要です。追加機能の弱点について詳しくはWordPressのプラグインの脆弱性の記事をご覧ください。二段階認証用の追加機能も、更新を続けるものを選ぶことが大切です。

自院の状況が分からない時は：自動診断と無料セカンドオピニオン

「うちのホームページは、二段階認証が入っているのかも分からない」という場合は、まず今の状態を確かめることから始めましょう。HPドクターでは、ホームページのアドレスを入れるだけでできる無料の自動診断（/check）をご用意しています。通信の暗号化や、PHPなどの更新状況など、外から分かる範囲の状態を確認できます。

管理画面の中のこと（二段階認証や、ログインできる人の整理など）は、外からは見えない部分です。そのため、専門家による無料セカンドオピニオンで、現在の制作会社の契約はそのままに、第三者の目で見てもらうこともできます。今の制作会社との契約を変える必要はありません。

HPドクターは、月額10,000円〜30,000円（税別）・初期費用0円で、担当制のホームページ保守を行っています。緊急時は24時間受付です。ご興味があれば、無料セカンドオピニオンのお申込みからお気軽にご連絡ください。