WordPress 429 Too Many Requestsの原因と安全な対処

この記事は、WordPressで429 Too Many Requestsが出たときに「どこがアクセスを制限しているか」を切り分ける記事です。サーバー、WAF、CDN、セキュリティ機能、外部APIなどを確認し、むやみにWAF全体や防御機能を無効化しません。原因が分からない場合はWordPressトラブル解決ロードマップから症状を整理します。

YOHAKU 5-STEP CHECK最初にやること

時間を置いて再確認する
自分だけか全訪問者かを切り分ける
直前に変更したプラグイン・WAF・CDN設定を確認する
サーバーやセキュリティログを確認する
原因が不明ならホスティング会社へ相談する

429エラーとは

HTTP 429は、一定時間内のリクエスト数が多すぎると判断されたときに返されるステータスコードです。WordPress本体だけでなく、レンタルサーバー、WAF、CDN、セキュリティプラグイン、ログイン保護、外部APIなど複数の層で発生する可能性があります。

429が出る場所	最初に見る候補
ログインだけ	ログイン保護・セキュリティ機能
管理画面全体	WAF・CDN・サーバー制限
特定API・連携だけ	外部サービスのレート制限
自分だけ	IP単位の制限・短時間の試行過多

WAF全体を切るのではなく、どの層が429を返しているかを先に特定します。発生時刻、URL、直前操作、別回線でも再現するかを残してから設定変更へ進みます。

再発時は6項目を1行で記録します。 発生時刻／対象URL／操作内容／何回目で出たか／別回線でも出るか／何分で復旧したか。サーバー・WAF・CDN・セキュリティプラグインのどこが返しているかを絞る材料になります。

429の切り分けは3段階

自分だけ：IP制限・ログイン試行・端末側を確認。
特定機能だけ：API・セキュリティ機能・プラグインを確認。
サイト全体：サーバー・CDN・WAF側の制限や障害情報を確認します。WAF全体を無効化する前に、どの層が返しているかを特定します。

429で設定変更へ進む前の条件

発生時刻と対象URLを記録した
何回目の操作で出たか分かる
別回線・別端末でも再現するか確認した
数分待った後の復旧有無を確認した
サーバー・WAF・CDN・プラグインのどこが返しているか候補を絞った

この5点がそろう前に制限値を広げたり、WAF全体を切ったりしません。

主な原因を切り分ける

原因候補	確認すること	注意点
アクセス集中	同時刻にアクセスが急増していないか	一時的なら時間を置いて再確認
WAF・サーバー側制限	管理画面のアクセス制限・ログ	WAFを全体停止しない
セキュリティプラグイン	ログイン制限・bot対策・Rate Limit	変更前の設定を記録する
CDN・プロキシ	Rate LimitingやFirewallイベント	WordPress側だけ見ても原因が分からない場合がある
外部API	プラグインや連携サービスのAPI呼び出し	提供元の利用制限も確認

安全な確認手順

1．数分〜しばらく待って再確認する

短時間の制限なら自動で解除されることがあります。連続リロードやログイン試行を繰り返すと制限時間が延びる場合があるため、何度も試さないようにします。

復旧後は同じ操作を1回だけ再確認し、発生時刻・復旧時刻・原因候補を残します。再発時に前回と同じ条件か比較できる状態にしておくと切り分けが速くなります。

2．別回線・別端末でも確認する

自分のIPアドレスだけが制限されているのか、サイト全体で429が出ているのかを分けます。管理画面だけ、ログイン画面だけ、特定機能だけで発生するかも記録します。

3．直前の変更を確認する

セキュリティプラグイン、CDN、WAF、ログインURL変更、キャッシュ設定などを直前に変更している場合は候補になります。ただし、複数設定を同時に戻すと原因が分からなくなるため、1項目ずつ確認します。

4．ログを見る

サーバーのアクセスログ・エラーログ、セキュリティプラグインのブロック履歴、CDNのFirewallイベントなどで、どの機能が429を返しているかを確認します。

429で制限を広げる前に確認すること

原因確認なしにWAFを全体停止する
制限中に何度もログインやリロードを繰り返す
複数のセキュリティ設定を同時に変更する
本番サイトでいきなりプラグインを大量停止する

復旧後に確認すること

通常ページが表示できる
WordPress管理画面へログインできる
投稿保存・画像アップロードができる
問い合わせフォームなど主要機能が動く
429が再発していない

関連エラーの切り分けでは、403エラーの確認手順、504 Gateway Timeoutの対処法、503 Service Unavailable、502 Bad Gatewayもあわせて確認すると、アクセス制限とサーバー側障害を切り分けやすくなります。表示されるコードが毎回変わる場合は、WordPressトラブル解決ロードマップから症状全体を見直してください。

症状別に最初の確認先を決める

症状	最初に確認する場所	避けたい対応
ログイン画面だけ429	ログイン保護・セキュリティプラグイン・WAF	パスワード試行を繰り返す
特定IPだけ429	IP制限・Rate Limit・CDNイベント	制限解除を連続実行する
サイト全体で429	サーバー負荷・WAF・CDN・アクセス集中	WAFを全体停止する
外部連携時だけ429	API利用上限・連携プラグインのログ	同じ処理を短時間に何度も再実行する

再発時に残す記録

429は時間や回数の条件で発生するため、再現条件を残すと原因を絞りやすくなります。

発生日時と復旧した日時
対象URLと操作内容
利用端末・回線・IPを変えたときの結果
同時刻のアクセス数やログイン試行
WAF・CDN・セキュリティログのイベント
直前に変更した設定やプラグイン

429が止まらないときに共有する情報

数十分以上続く、複数端末・回線で再現する、管理画面に入れない、ログに同じ制限が繰り返し出る場合は、発生時刻・対象URL・エラー画面・直前の変更内容をまとめてレンタルサーバーやCDNのサポートへ相談します。

YOHAKU 429 TRACE｜1つだけ記録

429は「操作・回数・間隔・復旧」を1表に残す

記録	確認すること
操作	ログイン、保存、API、フォーム送信など何をしたか
回数	何回目で429になったか
間隔	短時間の連続操作だったか
復旧	何分置くと戻ったか。レスポンスにRetry-Afterがあればその値も記録
範囲	特定IP・ログイン中・APIだけか、公開側も同じか

429は「一定時間内のリクエストが多すぎる」ことを示すHTTPステータスです。RFCでは、応答に Retry-After を含めて再試行までの待ち時間を示す場合があるとされています。表示がある場合は連続再試行せず従います。

403との違い：403は回数制限とは限りません。429が出たのにWAF全体を無効化する、403なのにAPI回数だけ減らす、といった混同を避けます。

次に読む

WAFやアクセス拒否との違いは403エラーの確認手順、502・503・504も含めて症状から探すならWordPressトラブル解決ロードマップへ進めます。

無料ツール｜429安全確認5点

連続リロードを止めた
発生URLと時刻を記録した
別回線・別端末でも再現するか確認した
WAF・CDN・プラグインのログを確認した
全体解除せず原因候補を1つずつ確認した

5/5：安全に切り分けできています。
4以下：制限値変更やWAF停止より先に記録と再現確認を行います。

429は「待つ」ことも対処の一部

429は一定時間あたりの回数制限で出るため、短時間に何度も再実行すると制限が長引くことがあります。復旧を急いで連続操作するより、発生条件を記録して一定時間置く方が原因を確認しやすい場合があります。

よくある質問

WAFを切ればすぐ直りますか？

原因がWAFとは限りません。全体停止は避け、イベントログや該当ルールを確認して必要な範囲だけ調整します。

自分だけ429になるのはなぜですか？

特定IPやログイン試行回数に対する制限の可能性があります。別回線・別端末で比較し、サーバーやセキュリティログも確認します。

API連携だけ429になります

外部サービス側のAPI上限や短時間の連続呼び出しも候補です。提供元の利用制限・レスポンス・再試行間隔を確認します。

WordPressで429 Too Many Requestsが出る原因｜WAF・制限・プラグイン確認