当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
WordPressでは複数のユーザーを登録し、それぞれに管理者、編集者、投稿者など異なる権限を設定できる。
複数人でサイトを運営する場合だけでなく、予備の管理者を作成した場合や、テーマ・プラグインのサポートを受けるため一時的な管理者を追加した場合など、運用を続けるうちにユーザーが増えることがある。
使用していないアカウントや必要以上の権限を残しておくと、それぞれが侵入経路や被害拡大の要因となり得るため、必要なアカウントだけを適切な権限で維持する。
WordPressのユーザーと権限
WordPressでは一つのサイトに複数のユーザーを登録し、それぞれに異なる権限グループを割り当てられる。
管理者はサイト設定、ユーザー、テーマ、プラグインなどを広く管理できる。一方、記事の編集や投稿だけを行うユーザーには、より限定された権限を設定できる。
サイトを利用するすべてのユーザーに管理者権限が必要なわけではない。利用者ごとに必要な操作を確認し、その範囲に合った権限を割り当てる。
ユーザーが増える場面
サイトを長期間運営していると、開設時には存在しなかったユーザーが追加されることがある。
管理担当者の追加や変更、予備の管理者アカウント、記事を投稿する担当者など、継続して利用する目的で作成する場合がある。
テーマやプラグインの不具合について開発元のサポートを受けるため、一時的な管理者アカウントを作成することもある。制作会社や保守事業者へ管理者権限を付与する場合も同様である。
アカウントの追加自体に問題はないが、役割を終えたものがそのまま残らないよう管理する必要がある。
不要なアカウントによる侵入
使用していないアカウントでも、ログインできる状態で残っていれば攻撃対象となる。
例えば、以前の管理者が使用していたアカウントのパスワードが漏洩し、現在は使われていないアカウントから侵入されることが考えられる。
サポートのために作成した一時的な管理者を削除し忘れ、その認証情報が後から第三者に取得されるケースも想定できる。
現在使用している管理者が堅牢なパスワードやMFAを利用していても、別の管理者アカウントの認証が弱ければ、そちらが侵入経路となり得る。
必要最小限の権限
必要以上の権限を与えると、アカウントが侵害された場合の影響も大きくなる。
記事の投稿だけを行うユーザーが管理者権限を持っていれば、そのアカウントからサイト設定やプラグインなど、本来必要のない範囲まで操作されるおそれがある。
ユーザーごとに実際の用途を確認し、必要な操作を行える範囲まで権限を限定する。管理者権限を持つユーザーについても、現在その権限が必要なのかを個別に確認する。
不要なユーザーの削除
WordPressに登録されているユーザーを一覧で確認し、それぞれの利用者、用途、権限を整理する。
退職した担当者、過去の制作会社、終了したサポートのために作成したアカウント、使用していない予備アカウントなど、今後使用する理由がないものは削除する。
ユーザーを削除する際は、そのユーザーが所有する投稿も確認する。残す必要がある投稿は別のユーザーへ引き継いでから削除する。
利用者ごとのアカウント
アカウント数を減らすために、一つの管理者アカウントを複数人で共有することは避ける。
サイトを管理する人が複数いる場合は、それぞれに個別のアカウントを用意する。担当者が変わった場合も、該当するアカウントだけを削除できる。
必要な利用者には個別のアカウントを用意し、不要になった時点で削除することが基本となる。
外部事業者へ一時的にアクセスを許可する場合
テーマやプラグインのサポートなどで、外部の担当者へ一時的にWordPressの管理画面へのアクセスを許可する必要が生じることがある。
普段使用している管理者アカウントの認証情報は渡さず、必要な権限だけを持つ作業用アカウントを別に用意する。作業が終了したら削除する。
一時アクセス用のプラグインを利用する方法もある。例えばTemporary Login Without Passwordでは、通常の管理者パスワードを共有せず、有効期限と権限を指定した一時的なログインリンクを発行できる。
利用する場合は、付与する権限、有効期限、期限後のアクセス停止を確認する。必要以上に長い期間や高い権限を与えない。
ユーザーと権限の定期確認
ユーザーの追加や権限変更は必要になった時点で行われる一方、不要になった際の削除は忘れられることがある。
サイトのセキュリティ設定を確認する際などにユーザー一覧も見直し、用途不明のアカウント、不要な管理者、過剰な権限が残っていない状態を維持する。
他の認証対策との併用
必要なアカウントについては、適切なパスワードやMFAなどの認証対策も併用する。