WordPressでサブディレクトリ切替後にスマホだけ403エラーでログインできなかった原因と解決法

WordPressログイン画面とスマホで403エラーが表示される様子を示したモノクロの線画イラスト

WordPressサイトをリニューアルする際、これまで /sub/ をルートに見せる設定をしていたものを、新しく /sub-new/ をルートに見せる設定に切り替えました。PCでは問題なくログインできたものの、スマホからログインすると403エラーが発生するという不思議な状況に陥りました。

.htaccessに残っていた古いアクセス制御が原因

調査を進めると、原因は .htaccess に残っていた古いアクセス制御でした。具体的には wp-login.php へのアクセスを特定のIPだけ許可するルールが残っており、PCは既存セッションで動いていたため気づかず、スマホは新規アクセスだったため403で弾かれていたのです。

<Files wp-login.php>
order deny,allow
Deny from all
Allow from 118.xxx.xxx.xxx
...
</Files>

このルールを削除し、代わりに以下のように「すべて許可」に書き換えたところ、スマホでも正常にログインできるようになりました。

<IfModule mod_authz_core.c>
  <Files "wp-login.php">
    Require all granted
  </Files>
</IfModule>
<IfModule !mod_authz_core.c>
  <Files "wp-login.php">
    Order allow,deny
    Allow from all
  </Files>
</IfModule>

キャッシュをクリアした後に再テストすると、PC・スマホともに問題なくログイン可能になり、リニューアル作業を続行できました。

補足：なぜ許可IPでも403だったのか

今回のログを詳しく確認すると、Apacheの access_compat モジュール経由でエラーが出ていました。これは、Apache 2.2形式（order/deny/allow）と2.4形式（Require）が混在している時に起こる現象です。結果として、上位で「Require all denied」が効いてしまい、許可IPを指定してもスマホからのアクセスがブロックされていた可能性があります。

さらに、スマホやVPNはIPv6でアクセスすることも多く、IPv4の Allow from にだけ許可を書いても、IPv6ではマッチせず403になるという落とし穴も考えられます。

SiteGuardの影響

今回の .htaccess の記述は、過去に導入していたセキュリティプラグイン（SiteGuard WP Plugin など）が自動で書き込んだものと思われます。プラグインを削除しても .htaccess に残骸が残ることがあり、リニューアルやディレクトリ切替の際に思わぬトラブルの元になります。