※当オフィスはエックスサーバーのビジネスパートナーです。本記事のお申し込みリンクを経由してご契約いただいた場合、当オフィスに報酬が発生します。
結論から言います。
XServer for WordPressで「wp-login.phpが開けない」「/wp-admin/ が404になる」ときは、故障ではなくセキュリティ設定でログインURLが変わっている可能性が高いです。
公式マニュアルによると、「セキュリティ自動最適化モード」を有効にすると、
ログインURLが次のように変わります。
| ログインURL | |
|---|---|
| 標準 | https://ホスト名/wp-login.php |
| 変更後 | https://ホスト名/xxxxxxxx（ランダム英数字8桁） |
さらに「管理者ページからログインURLにリダイレクトしない」がONになるため、
/wp-admin/ にアクセスしても新しいログイン画面へ案内されません。
何が起きているのか
ログインURLの変更は、XServer for WordPressに組み込まれた
セキュリティ対策プラグイン「CloudSecure WP Security」の機能です。
プラグイン側のマニュアルでは、リダイレクトしない設定のときに
直接 /wp-admin/ にアクセスすると404エラー（Not Found）が表示されると説明されています。
つまり「ページが見つかりません」は設定どおりの動きです。
攻撃者から管理画面の場所を隠すための仕組みなので、URLを知っている人だけがログインできます。
ログインできないときの確認順
「入れない」の原因はログインURLだけではありません。
XServer for WordPressでは、次の順に確認すると早く切り分けられます。
| 症状 | 疑う設定 |
|---|---|
| wp-login.php や /wp-admin/ が404 | ログインURL変更 |
| ログイン画面は出るが、何度か失敗したら入れなくなった | ログイン試行回数制限（制限から24時間で解除） |
| 海外・VPN・クラウド環境からだけ入れない | 国外アクセス制限 |
| 社外や自宅など、ネットワークを変えたら入れない | IPアドレス制限、または管理画面アクセス制限 |
CloudSecure WP Securityの「管理画面アクセス制限」を有効にしている場合、
24時間以上ログインしていない接続元IPアドレスからは /wp-admin/ が404になります。
外出先で入れないときは、ログインURLへ移動して再ログインします。
ログインURLを確認・変更する場所
WPパネルで対象サイトの設定画面を開き、「WordPressセキュリティ」に進みます。
ここからCloudSecure WP Securityの各種設定を行えます。
ログインURLは、半角英小文字・数字・ハイフン・アンダースコアで4〜12文字の好きな文字列にも変えられます。
ランダムのままだと忘れやすいので、社内で管理しやすい文字列に変えてもかまいません。
ただし推測されにくいものにしてください。
それでも入れない場合は、WPパネルの「WordPressリカバリー」に
「ログインパスワードのリセット」「ログインできなくなったWordPressの復旧」があります。
ログインURLを変えたあとに起きる3つの事故
1. 担当者が交代したらURLが分からない
ランダム8桁は覚えられません。
パスワード管理ツールや社内の管理台帳に、ログインURLも一緒に記録しておきます。
2. ウィジェット「メタ情報」でURLが公開される
CloudSecure WP Securityのマニュアルでは、WordPressのウィジェット「メタ情報」を使っていると
変更後のログインURLがサイト上に表示されてしまうと注意しています。
必要なければ非表示にします。
3. BASIC認証の保護が新しいURLに付いてこない
WPパネルのパスワード保護を「ON（WordPress管理画面のみ）」にしている場合、
保護対象になるのはその設定をした時点のログインURLです。
あとでログインURLを変えると、新しいURLには自動で保護がかかりません。
URLを変えたら、パスワード保護の設定もやり直してください（/wp-admin/ は常に保護されます）。
XML-RPCは別に対策が必要
ログインURLを変えても、xmlrpc.php 経由のログイン試行は対象外です。
CloudSecure WP Securityの「XML-RPC無効化」を併用すると塞げます。
セキュリティ自動最適化モードでは、この「XML-RPC無効化（ピンバック無効）」も有効になります。
スマホアプリや外部サービスから投稿している場合は、動かなくなっていないか確認してください。
XServer for WordPressがどんなサイトに向いているかは、こちらでまとめています。
➡ エックスサーバーとXServer for WordPress、どっちを選ぶべきか
まとめ
✔ 自動最適化モードでログインURLはランダム8桁に変わる
✔ /wp-admin/ の404は設定どおりの動き
✔ 確認・変更はWPパネルの「WordPressセキュリティ」
✔ ログインURLは管理台帳に記録する
✔ URLを変えたらBASIC認証の設定もやり直す
管理画面に入れなくなったサイトの復旧や、社内で運用しやすいセキュリティ設定の見直しは当オフィスでも承っています。
➡ お問い合わせ
出典
- WordPressセキュリティ設定（XServer for WordPress公式マニュアル）
- パスワード保護（BASIC認証）（XServer for WordPress公式マニュアル）
- WordPressリカバリー機能（XServer for WordPress公式マニュアル）
- ログインURL変更（CloudSecure WP Security マニュアル）
- 管理画面アクセス制限（CloudSecure WP Security マニュアル）
仕様は2026年9月時点の公式マニュアルの記載にもとづきます。設定画面や初期値は変更される場合があるため、作業前に公式マニュアルをご確認ください。