WordPress総合ポータルLimit Login Attempts Security（旧Limit Login Attempts Reloaded）
Limit Login Attempts Security – ブルートフォース攻撃対策プラグイン
Limit Login Attempts Securityは、ログインページへのブルートフォース（総当たり）攻撃を防ぐ、この分野で最も導入実績の多いプラグインです。一定回数ログインに失敗したIPアドレスを一時的にブロックし、不正アクセスの試行を大幅に減らします。2026年には従来の「Limit Login Attempts Reloaded」から「Limit Login Attempts Security」に名称変更されており、同年3月には多要素認証（MFA）機能も追加されました。設定項目が少なくシンプルなため、セキュリティプラグインを初めて導入する方にも扱いやすい点が特徴です。
基本情報
| プラグイン名 | Limit Login Attempts Security（旧称：Limit Login Attempts Reloaded） |
|---|---|
| 料金 | 無料版あり。有料版でIP情報分析・クラウド連携等の追加機能 |
| アクティブインストール | 100万〜200万以上（情報源により幅あり） |
| 評価 | 4.8 / 5 |
| 脆弱性報告 | 2026年8月、ユーザー名デニーリストの大文字小文字判定の不備・メールアドレスでの回避を悪用した認証バイパスの脆弱性が報告（バージョン3.3.5で修正済み）。必ず最新版を使用すること |
| 名称変更 | 2026年に「Limit Login Attempts Reloaded」から「Limit Login Attempts Security」に変更。設定は引き継がれる |
| 多要素認証 | 2026年3月のバージョン3.0で追加 |
| WordPress.org | wordpress.org/plugins/limit-login-attempts-reloaded/ |
主要機能一覧
ログイン試行回数の制限
一定回数ログインに失敗したIPアドレス・ユーザー名を一時的にロックアウトし、ブルートフォース攻撃を防ぐ。
ロックアウト通知
ロックアウトが発生するたびにメール通知を受け取れる（無料版で対応）。
ログ・レポート機能
失敗したログイン試行のIPアドレス・対象ユーザー名を記録し、管理画面から確認できる。
多要素認証（MFA）
2026年3月のバージョン3.0で追加された、パスワードに加えた追加認証の仕組み。
ユーザー名デニーリスト
特定のユーザー名でのログインを常時拒否できる。ただし大文字小文字の区別・メールアドレスでのバイパスに関する脆弱性が過去に報告されており、必ず最新版を利用すること。
他プラグインとの高い互換性
WooCommerce・UltimateMember等、カスタムログインページを持つ主要プラグインとの互換性も確保されている。
導入手順
1「プラグイン」→「新規追加」で「Limit Login Attempts Reloaded」を検索し、インストール・有効化
2管理画面に追加される「Limit Login Attempts」メニューから設定画面を開く
3許容するログイン失敗回数・ロックアウト時間を設定
4ロックアウト発生時のメール通知先を設定
5自分自身のIPアドレスを誤ってロックアウトしないよう、必要に応じてホワイトリストに追加
こんな人におすすめ
こんな人におすすめ
- ログインページへの不正アクセス試行を手軽に減らしたい
- 設定項目が少ないシンプルなセキュリティプラグインを探している
- Wordfence等の総合セキュリティプラグインと役割を分けて併用したい
向かないケース
- WAF・マルウェアスキャン等、総合的な保護機能を1つのプラグインでまとめたい（Wordfence等が適している）
- ログインURL自体を変更したい（WPS Hide Login等、別の機能が必要）
よくある質問（FAQ）
- Limit Login Attempts ReloadedとLimit Login Attempts Securityは違うプラグインですか？
同じプラグインです。2026年に「Limit Login Attempts Reloaded」から「Limit Login Attempts Security」へ名称が変更されました。既存の設定はそのまま引き継がれます。
- 無料版だけで十分ですか？
個人ブログ・小規模サイトであれば無料版で十分機能します。IP情報の詳細分析やクラウド連携等の高度な機能が必要な場合のみ、有料版を検討してください。
- ログインできなくなってしまいました。どうすればいいですか？
ロックアウト時間が経過するのを待つか、別のIPアドレス（モバイル回線等）からアクセスする、またはFTP・サーバーのファイルマネージャーからプラグインフォルダを一時的にリネームして無効化する方法があります。
まとめ
Limit Login Attempts Securityは、100万〜200万以上という高い導入実績を持つ、ブルートフォース攻撃対策の定番プラグインです。設定がシンプルで、他のセキュリティプラグインとの併用もしやすいため、まず入れておく1本として広く選ばれています。2026年の名称変更・多要素認証機能の追加など、開発も活発に続いています。