WordPressの安全点検は、ログインを守る設定だけでなく、更新・利用者の権限・復旧まで確認します。項目を全部埋めれば安全が保証される、というものではなく、いまの管理範囲と不足を見つけるための点検です。
使っている構成と、更新する担当を揃える
WordPress本体、テーマ、プラグイン、PHP、サーバーの設定を一覧にします。使っていない機能も、残す理由と管理担当を確認します。管理画面の更新通知だけで、サーバー側の更新まで完了したとは判断しないようにします。
構成ごとの注意はWordPress公式の安全対策で確認できます。提供元の更新情報と、試験環境での動作を合わせて点検します。
利用者ごとに、必要な操作を確認する
| 担当 | 確認する操作 |
|---|---|
| 原稿を書く人 | 必要な記事だけを書けるか、公開の権限は必要か |
| 編集する人 | 確認する範囲と他の原稿へのアクセス |
| 保守する人 | 設定・更新・復旧を担当できるか |
| 外部接続 | APIや自動処理の許可範囲と失効方法 |
担当者が変わったときは、不要なアクセスを残さず、接続の所有者も引き継ぎます。全員で一つの管理者アカウントを共有する運用は、判断者や変更を追いにくくなります。
AIへ渡す権限は、必要な操作から決める
原稿を作る、画像を登録する、他人の記事を編集する、公開する、プラグインを更新する、と操作を分けます。必要な仕事にない操作は、許可する理由を持たせないようにします。
プラグイン内部の実行権限と、外部API用アカウントの権限も別です。ユーザーの役割を変えたことだけで、すべての処理が制限されたとは判断せず、入口ごとに拒否の結果を確認してください。
下書き用の例では、作成と画像登録の成功に加え、公開、別作者の記事変更、失効後の操作の拒否をWordPressの入稿手順で確認できます。自分のプラグインや構成へ同じ結果を無条件に当てはめないようにします。
ログイン、フォーム、APIの入口を別々に見る
強い認証、試行への制限、必要なアクセス範囲を確認します。フォームはスパム対策と通知先、APIは対象操作と認証を点検します。ログイン画面を守る機能だけで、外部APIの権限まで限定できるとは限りません。
入口の記録
ログイン：利用者と認証
フォーム：送信・保存・通知
API：利用者・操作・対象
試験環境：閲覧者と外部接続
バックアップ：保管先と閲覧権限異常を見つけた後の復旧も、点検へ入れる
何を異常として見つけるか、誰へ連絡するか、復旧する版を決めます。侵害が疑われる場合は、状況を記録し、接続や秘密を見直したうえで専門の保守担当へ相談します。原因を残したまま、表面のファイルだけ戻して終えないようにします。
まず更新担当と復旧担当を一人ずつ決め、バックアップからの復元を試してください。新しい対策プラグインの導入は、いま不足している役割が分かってから比較します。