【2026年版】WordPress Security Keys・Saltsとは？安全な変更方法

2026年10月7日、WordPress公式ドキュメントと現行のwp-config.php仕様に合わせて更新しました。

WordPressのSecurity Keys（認証用ユニークキー）とSalts（ソルト）は、ログインCookieなどの認証情報を保護するために使われます。値を新しくすると既存のログインCookieが無効になり、ログイン中の全ユーザーが再ログインを求められます。

先に結論

通常はWordPressのインストール時に安全な値が設定されています。空欄や初期文字列のままなら設定し、侵害が疑われる場合や計画的に認証Cookieを無効化したい場合は新しい値へ交換します。

Security KeysとSaltsとは

「ログイン状態を保存する」を選ぶと、ブラウザには認証用Cookieが保存されます。Security KeysとSaltsは、このCookieを安全に署名・検証するためのランダムな秘密値です。

これらはユーザーのパスワードそのものではありませんが、第三者へ公開してはいけません。GitHubなどの公開リポジトリ、質問サイト、スクリーンショットへ実際の値を載せないでください。

WordPressルートディレクトリのwp-config.phpに、次の8つの定数があります。

put your unique phrase hereのような初期文字列や空欄になっている場合は、ランダムな値へ置き換えます。

データベース設定や「編集が必要なのはここまでです」の行は変更しないでください。

SSHとWP-CLIを利用できる環境では、WordPressのルートディレクトリで次を実行できます。

wp config shuffle-salts

実行前にwp-config.phpをバックアップし、実行後はブラウザで再ログインしてください。

頻繁に変更するだけでサイト全体の安全が保証されるわけではありません。WordPress本体・テーマ・プラグインの更新、強固なパスワード、二要素認証、最小権限、バックアップも併用します。

侵害が疑われる場合、Saltsの交換は既存セッションを無効化する一手段です。管理者パスワードの変更、不審ユーザーの確認、改ざんファイルの調査、プラグイン更新、アクセスログ確認も必要です。