SiteGuardのログインURLを忘れたときの確かめ方

SiteGuard WP Plugin の「ログインページ変更」を使うと、WordPress のログイン画面のアドレスが wp-login.php から別の名前（初期値は「login_」のあとに5桁の数字）に変わります。変更後のログインURLを忘れたときは、まず変更したときに管理者のメールアドレスに届くメール（件名「WordPress: ログインページURLが変更されました」）を探します。見つからなければ、サイトのアドレスの末尾に ?siteguard_rescue=1 を付けて開く「ログインURLレスキュー」で、変更後のURLを管理者のメールアドレスに送らせます。どちらも使えないときは、サーバーの .htaccess から SiteGuard の記述を消すと、ログインページ変更が止まり、元の wp-login.php から入れるようになります。

この記事は、SiteGuard WP Plugin の公式サイト（開発元のジェイピー・セキュアの説明・FAQ）と WordPress.org のプラグインのページを、2026年11月14日に確かめた範囲で書いています。ログイン画面そのものの開き方はWordPressのログイン方法に、パスワード違いやロックなどログインできない原因全体はWordPressにログインできないときにまとめたので、ここでは「SiteGuard で変えたログインURLが分からない」という一点に絞ります。

この記事の結論

ログインしていないブラウザで /wp-admin/ を開くと、設定によっては変更後のログインページに転送され、そのアドレスがそのまま答えになります。
次に、変更時に届くメールを探します。送り先は WordPress の管理者のメールアドレスなので、制作会社や前の担当者の受信箱にあることもあります。
ログインURLレスキューは、管理者として登録されたメールアドレスにしか送られません。1時間に3回以上使うとロックがかかります。
最後の手段は、.htaccess の「#SITEGUARD_PLUGIN_SETTINGS_START」から「#SITEGUARD_PLUGIN_SETTINGS_END」までを消すことです。それでも入れなければ、プラグインのフォルダ siteguard を消します。

ログインページ変更で、何が変わっているのか

公式の説明（ログインページ変更）では、この機能は、機械的にユーザー名とパスワードを試す攻撃を受けにくくするために、ログインページの名前を変えるものです。初期状態で ON になっていて、変更後の名前の初期値は「login_」に5桁の乱数を続けたものです。英数字・ハイフン・アンダーバーで好きな名前にも変えられます。Nginx のサーバーや、.htaccess が使えない Apache のサーバーでは、アドレスの末尾に .php が付きます。

つまり、変更後のログインURLは、たとえば https://（自社のドメイン）/login_12345 のような形です（数字は例です）。元の wp-login.php を開いても見つからない表示になるのは、壊れたのではなく、この機能が働いているからです。

確かめ方1：/wp-admin/ を開いて、転送先を見る

いちばん手早いのはこれです。公式の説明では、ログインしていない状態で管理画面（/wp-admin/）を開くと、変更後のログインページに転送されます。転送されたら、ブラウザのアドレス欄に出ているのが変更後のログインURLです。

ブラウザのシークレットウィンドウ（プライベートウィンドウ）を開きます。ログインしていない状態で試すためです。
https://（自社のドメイン）/wp-admin/ を開きます。
ログイン画面が出たら、アドレス欄のURLを控えます。

ただし、この転送は止められます。公式の説明では、オプションの「管理者ページからログインページへリダイレクトしない」にチェックが入っていると、ログインページではなくトップページに移動します（1.6.0 以前の版では 404 を返していました）。「管理ページアクセス制限」を併用している場合も転送されません。トップページに飛ばされたり、見つからない表示になったりしたら、次の方法に進みます。

サイトのサイドバーなどに WordPress の「メタ情報」のウィジェットを置いている場合は、公式の説明にあるとおり、そこにログインページへのリンクが出ます。自社のサイトを開いて、「ログイン」のリンクがないかも見てください。

確かめ方2：変更したときに届いたメールを探す

公式の FAQ では、Version 1.1.0 以降、新しいログインページのURLを管理者にメールで知らせるとされています。件名は「WordPress: ログインページURLが変更されました」です。メールソフトでこの件名を検索し、迷惑メールのフォルダも見ます。

見つからないときに多いのは、管理者のメールアドレスが自社のものではないことです。WordPress の「設定」→「一般」にある管理者のメールアドレスが、サイトを作った制作会社や前の担当者のアドレスのままになっていると、メールはそちらに届いています。心当たりがあれば、その人に件名を伝えて探してもらうのが早道です。

確かめ方3：ログインURLレスキューでメールを送らせる

メールが残っていなくても、SiteGuard には変更後のURLをメールで送り直す「ログインURLレスキュー」があります。公式の FAQ では Version 1.8.0 以降の機能で、この機能を無効にしている場合は使えません。

https://（自社のドメイン）/?siteguard_rescue=1 を開きます。レスキューの画面が出ます。
メールアドレスと画像認証（画像に出ている文字）を入れます。
「メールを送信」を押し、届いたメールに書かれたURLを開きます。

公式の説明では、送り先は WordPress に管理者として登録されているメールアドレスだけです。編集者など、管理者でないユーザーのアドレスを入れても届きません。1時間に3回以上使うとロックがかかるので、届かないからといって何度も押さず、迷惑メールのフォルダを見てから時間をおいて試します。

なお、2026年11月14日時点で、公式の機能説明のページでは /?siteguard_rescue=1（アンダーバー）、FAQ では ?siteguard-rescue=1（ハイフン）と、書き方が分かれています。片方で画面が出なければ、もう片方も試してください。

確かめ方4：サーバーのファイルで止める

管理者のメールアドレスが使えない、レスキューを無効にしていた、という場合は、サーバーのファイルを直接触ります。公式の FAQ（ログインできなくなりました）に書かれている手順です。サーバー会社の管理画面のファイルマネージャーか、FTP のソフトを使います。

WordPress を入れたフォルダ（wp-config.php があるところ）にある .htaccess を、パソコンに保存して控えを取ります。名前が「.」で始まるファイルは、ソフトの設定によっては一覧に出ないことがあります。
.htaccess を開き、「#SITEGUARD_PLUGIN_SETTINGS_START」の行から「#SITEGUARD_PLUGIN_SETTINGS_END」の行までを消して保存します。ほかの部分（「# BEGIN WordPress」から始まる部分など）は触りません。
https://（自社のドメイン）/wp-login.php を数回開きます。公式の FAQ では、Version 1.2.2 以降はこの手順で「管理ページアクセス制限」と「ログインページ変更」が無効になります。
それでもログイン画面が出ないときだけ、/wp-content/plugins/ の中の siteguard フォルダを消します。プラグインそのものが消えるので、入れたあとで入れ直して設定し直します。

公式の FAQ では、ログインページ変更は .htaccess の設定で動いており、該当部分が消えると、その機能を自動で OFF にするとされています。消す前に区間の中身を見ると、変更後の名前らしき文字列が書かれていることがあります。ただし、これは公式の説明にはないことで、当社の推測です。見つからなくても、上の手順で入れるようになります。.htaccess を書き換えたあとにサイトが 500 エラーで開かなくなったら、すぐ控えに戻し、WordPressで500エラーが出るときの手順で確かめます。

Nginx のサーバーや .htaccess が使えないサーバーでは、ログインURLの末尾に .php が付く形で動きます。WordPress.org の更新履歴では、この形を「.php（スタブ）形式」と呼んでいます。この場合は .htaccess の手順が当てはまらないと考えられるので、無理に探さず、サーバー会社か制作会社に聞く方が安全です（ここも推測を含みます）。

入れたら：次に迷わないためにやること

「設定」→「一般」の管理者のメールアドレスを、社内で今も読まれているアドレスにします。変更のお知らせもレスキューのメールも、ここに届きます。
「SiteGuard」→「ログインページ変更」で、今の名前を確かめ、社内の決まった場所に控えます。.htaccess を消して止めた場合は、ここで ON に戻し、新しい名前を控え直します。
ほかのプラグインのログインURLを変える機能と一緒に使わないようにします。WordPress.org のプラグインのページでも、ほかのプラグインのログインURL変更とは併用できないとされています。
ログインURLは、ブラウザのブックマークに入れておきます。パスワードとは別のものなので、社内で共有してかまいません。

ログインURLを変えると、機械的な攻撃は減りますが、それだけでサイトが守られるわけではありません。何から手を付けるかはWordPressのセキュリティ対策に書きました。乗っ取られたサイトが、検索結果に出る偽サイトの踏み台に使われる例はSEOポイズニングとはで触れています。

今日、自社で確かめられること

シークレットウィンドウで /wp-admin/ を開き、どこに転送されるかを見ます。
メールソフトで「ログインページURLが変更されました」を検索します。
管理者のメールアドレスが誰のものかを確かめます（分からなければ、サイトを作った会社に聞きます）。
サーバーの管理画面やFTPに、社内の誰が入れるかを確かめます。最後の手段は、そこに入れないと使えません。

当社は、中小企業や士業のホームページの運営を引き受けています。「前の制作会社と連絡がつかず、管理画面にもサーバーにも入れない」といった状態からの立て直しも、お問い合わせからご相談ください。

参考にした公式の説明

いずれも2026年11月14日に内容を確かめました。WordPress.org のページでは、このときの版は 1.8.11、有効インストール数は60万以上です。画面の表示名は、版によって変わることがあります。