WordPress管理画面にログインできない｜原因8つと確認手順【2026】

会社のホームページを更新しようとしたら、WordPressの管理画面に入れない。パスワードは合っているはずなのに弾かれる、そもそもログイン画面が出てこない、真っ白になる——。このとき一番やってはいけないのが、心当たりのある設定を片っ端から触ることです。原因を特定しないまま操作を重ねると、元の状態に戻せなくなります。

先に結論です。「パスワードを忘れた」が原因のケースは、実際にはそれほど多くありません。中小企業のサイトで多いのは、サーバー側のセキュリティ設定（ログイン試行回数制限・国外アクセス制限・WAF）と、プラグインによる管理画面URLの変更です。どれも設定を戻せば直りますが、症状の見え方が違うので、見分けられれば10分で切り分けられます。

この記事では、WordPress公式ドキュメントとレンタルサーバーの公式マニュアルで確認できる仕様だけを使って、リスクの低い順に8つの原因を確認していく手順を整理します。データベースを触る話は最後です。そこに行く前に終わることがほとんどです。

最初の切り分け：ログイン画面は「出る」か「出ない」か

やみくもに試す前に、https://あなたのドメイン/wp-login.php を開いて、どうなるかを見てください。ここで原因グループが3つに分かれます。

ログイン画面すら出ていないのに、パスワードを何度もリセットしようとしても解決しません。逆に、ログイン画面が出ているならサーバーは生きているので、落ち着いて構いません。

なお、サイト全体がまるごと表示されない場合は、WordPress以前にドメインやサーバーの契約が切れている可能性もあります。その場合はドメイン更新忘れでサイトが消えた｜復旧の期限と3つの原因を先に確認してください。期限があるので、こちらは急ぎます。

ログイン画面は出るのに入れない（原因1〜3）

原因1：ブラウザのCookieとキャッシュ（最初に試す）

WordPress公式のトラブルシューティングでも、最初に案内されているのがこれです。WordPressのログインはCookieで状態を保持するため、Cookieが無効・壊れていると、正しいパスワードでもログイン画面に戻され続けます（「Cookieが無効になっています」と表示されることもあります）。

• ブラウザのCookieとキャッシュを削除してから、もう一度ログインする
• それでも駄目なら、別のブラウザ（普段Chromeなら Edge や Safari）で試す
• 拡張機能（広告ブロッカー・セキュリティ系）をオフにして試す

地味ですが、この手順だけで解決することが本当にあります。所要1分・リスクゼロなので、必ず最初にやってください。

原因2：ユーザー名とメールアドレスを取り違えている

WordPressのログインIDは「ユーザー名」か「登録メールアドレス」のどちらでも通りますが、ユーザー名は表示名（記事の著者名）とは別物です。「山田太郎」と表示されていても、ユーザー名は yamada かもしれません。

心当たりがなければ、ログイン画面の「パスワードをお忘れですか?」からメールアドレスでリセットを試すのが早道です。届いたメールにユーザー名が書かれているので、IDの確認も同時にできます。

ここで「リセットメールが届かない」場合は、パスワードの問題ではなくメールの問題です。独自ドメインのメールが受信できない状態になっていることが多いので、独自ドメインのメールが受信できない｜原因7つと確認手順を確認してください。退職した担当者のアドレスが管理者に登録されたまま、というケースもよくあります。

原因3：ログイン試行回数制限でブロックされている

ここからがサーバー側の話です。何度かログインに失敗した直後から急に弾かれるようになったなら、これを疑ってください。

エックスサーバーの「WordPressセキュリティ設定」にはログイン試行回数制限があり、公式マニュアルによれば初期状態はON（有効）、短時間に連続してログインに失敗するとアクセスが制限され、制限されてから24時間後に解除されます。つまり、思い当たるパスワードを10回試した結果としてロックされている、ということが起こります。

対処はシンプルです。

• サーバー管理画面（サーバーパネル）にログインできるなら、該当ドメインの設定を確認し、必要なら一時的にOFFにする
• サーバー管理画面に入れないなら、24時間待ってから、正しいパスワードを1回だけ入れる

他社のサーバーでも似た機能があり、プラグイン（SiteGuard WP Plugin、Limit Login Attempts 系）で同じことが起きている場合もあります。「失敗を繰り返すほど状況が悪化する」のがこの原因の特徴なので、3回試して駄目なら手を止めてください。

ログイン画面そのものが出ない（原因4〜6）

原因4：国外アクセス制限・IPアドレス制限に引っかかっている

エックスサーバーの「WordPressセキュリティ設定」には、国外アクセス制限とIPアドレス制限があります。公式マニュアルの記載では、対象になるのは /wp-admin（ダッシュボードのフォルダ）と /wp-login.php（ログイン時にアクセスするファイル）です。

• 国外アクセス制限：国外IPアドレスに加えて、海外の主要クラウドサービスが所有する日本国内のIPアドレスからのアクセスも制限されます。海外出張中、VPN経由、一部のモバイル回線やテレワーク環境で突然入れなくなるのはこれが原因です。
• IPアドレス制限：ホワイトリストに登録したIP以外を、国内外を問わず遮断します。公式マニュアルではIPアドレス制限が優先と明記されており、これがONだと国外アクセス制限の設定は実質的に無効になります。事務所の固定回線だけを許可している会社で、自宅から入れないのはこれです。

もうひとつ注意点があります。WordPress 5.0以降は記事の投稿にREST APIを使うため、公式マニュアルでは国外からWordPressを利用する場合、「ダッシュボード アクセス制限」とあわせて「REST API アクセス制限」もOFFにする必要があると案内されています。ダッシュボードには入れたのに投稿の保存だけ失敗する、という症状はここを疑ってください。

原因5：サーバーのWAFが誤検知している

WAF（Webアプリケーションファイアウォール）は、攻撃に見えるアクセスをサーバー側で遮断する仕組みです。エックスサーバーの公式マニュアルでは、検知された場合はアクセスが拒否されエラーページが表示されると説明されています。

厄介なのは、正当な操作まで巻き込まれることです。記事本文にコード（<script> など）を書いて保存した、プラグインの設定画面でファイルパスを入力した、といった操作が「XSS」「ファイル不正アクセス」と判定されて403になります。

切り分け方は、該当ドメインのWAF設定を一時的にOFFにして再現するかを見るだけです。ただし設定の追加・変更後、反映まで最大30分程度かかると公式に書かれているので、切り替えた直後に「変わらない」と判断しないでください。そして確認が終わったら必ずONに戻します。OFFのまま放置するのは、鍵を開けたまま出かけるのと同じです。

原因6：管理画面のURLが変更されている（404が出る）

/wp-login.php を開いて404（ページが見つかりません）が出る場合、サイトが壊れているのではなく、セキュリティプラグインやサーバー機能でログインURLが別のアドレスに変更されている可能性が高いです。SiteGuard WP Plugin は、有効化すると /login_<数字5桁> のようなURLに変更します。

探す順番はこうです。

1. プラグイン導入時に管理者宛に届いた通知メールを検索する（新しいログインURLが書かれている）
2. 前任者や制作会社から受け取った引き継ぎ資料・パスワード一覧を確認する
3. ブラウザのブックマークや保存済みパスワードに、見慣れないURLが残っていないか見る

どれも見つからない場合は、FTPまたはサーバーのファイルマネージャーで /wp-content/plugins/ の中にあるプラグインのフォルダ名を変更すれば、そのプラグインは無効化されて標準URLに戻ります。ただしこれはサーバーの認証情報が必要です。そもそもサーバーに誰も入れないという状態なら、先にホームページのドメインとサーバーの管理会社がわからない時の調べ方3手順を読んでください。

サイトごとおかしい（原因7〜8）

原因7：プラグインやテーマの致命的エラー（真っ白になる）

更新ボタンを押した直後から真っ白になった、というのが典型です。いわゆる「ホワイトスクリーン」で、PHPの致命的エラーが起きています。

WordPressは5.2（2019年）でリカバリーモードを搭載しました。公式のリリース情報でも、致命的エラーの扱いを改善し、エラーの原因になっているプラグインやテーマを一時停止して管理画面に入れる仕組みだと説明されています。致命的エラーが起きると、管理者のメールアドレス宛にリカバリーモードのリンクが届くので、まずメールを確認してください。これが一番安全な入口です。

メールが届かない（＝原因2と同じくメール側が死んでいる）場合は、FTPやファイルマネージャーで /wp-content/plugins/ フォルダの名前を plugins_old などに変更します。WordPress公式ドキュメントにも、管理画面に入れないときにプラグインを一括で無効化する方法として案内されている手順です。これでログインできたらプラグインが原因と確定するので、フォルダ名を戻してから1つずつ有効化して犯人を特定します。テーマが原因の場合も、同様に /wp-content/themes/ 内の使用中テーマのフォルダ名を変えると既定テーマに戻ります。

原因8：データベース側の問題（ここは最後・要バックアップ）

公式ドキュメントには、phpMyAdmin で wp_options テーブルの active_plugins の値を a:0:{} に書き換えて全プラグインを無効化する方法や、users テーブルを直接編集してパスワードを再設定する方法も載っています。確実ではありますが、手が滑れば復旧できません。

実務としての線引きはこうです。

• データベースのバックアップを自分で取って戻せるなら、やってよい
• そうでないなら触らない。サーバーの自動バックアップの有無と保持期間を先に確認する

ここまで来たら、時間で押し切るより専門家に渡したほうが安く済むことが多い領域です。

やってはいけない3つ

1. wp-login.php を書き換える／削除する。公式ドキュメントにはファイルの再アップロード手順もありますが、原因が特定できていない段階で触ると、ログインできない原因が1つ増えるだけです。
2. バックアップを取らずにデータベースを編集する。戻せない変更は、直せない障害になります。
3. セキュリティ設定をOFFにしたまま放置する。WAFや国外アクセス制限は、切り分けのために一時的に外すのは構いませんが、確認が終わったら必ず戻します。ログインできない期間より、乗っ取られてからのほうがはるかに高くつきます（ホームページのセキュリティ対策｜中小企業が最低限やる5つ）。

同じことを繰り返さないための運用

今回の件が片付いたら、次の4つだけ決めておくと再発しません。どれも費用はかかりません。

• 管理者アカウントを2つ持つ。1つが使えなくなっても、もう1つで入れます。退職者のアカウントを消す前に、必ず現役の管理者を作ってから消します。
• 管理者のメールアドレスを、今受信できるアドレスにする。パスワードリセットもリカバリーモードも、最終的にメールが命綱です。
• ログインURL・サーバーパネル・ドメイン管理会社を1枚の紙にまとめる。WordPressのIDだけ知っていても、サーバーに入れなければ打てる手は半分になります。
• 更新の前にバックアップ。真っ白になる事故のほとんどは、更新直後に起きています。

ちなみに、こうしたトラブルが年に何度も起きるようなら、サイトの構成そのものが古くなっているサインかもしれません。判断の目安はホームページをリニューアルすべき7つのサインに、WordPressを使い続けるべきかどうかの考え方はWordPressとNext.jsどっち？中小企業のHP制作で失敗しない選び方にまとめています。

まとめ：確認の順番だけ守る

最後にもう一度、リスクの低い順に並べておきます。

1. Cookieとキャッシュを消す／別のブラウザで試す（1分・リスクなし）
2. ユーザー名を疑う・メールでパスワードリセット（5分）
3. ログイン失敗を繰り返していないか（試行回数制限なら24時間で解除）
4. いつもと違う場所・回線から入っていないか（国外アクセス制限・IP制限）
5. WAFを一時的にOFFにして再現するか（反映まで最大30分・確認後は必ず戻す）
6. /wp-login.php が404ならログインURLの変更を探す
7. 真っ白ならリカバリーモードのメール、次にプラグインフォルダの改名
8. データベースは最後。バックアップが取れないなら触らない

Mihataでは、こうした「誰も触れなくなったサイト」の引き取りと立て直しも行っています。ログインできない原因の特定だけでも構いませんので、状況を書いてご相談ください。