当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
Webサイトの管理画面を一般のインターネットから直接利用できる状態にしておくと、攻撃者もログイン画面や管理機能へ接続を試みることができる。
別のUnitで扱った「IP制限」や「地域制限」は接続元の条件で通信を遮断する対策だが、ここでは管理機能へ到達する経路そのものを限定する方法を扱う。
アクセス経路を制限する基本的な考え方
管理画面へのアクセス経路を制限する方法には、VPN経由での管理や、前段に認証ゲートウェイを設ける構成などがある。
どの方法を利用できるかは、共用レンタルサーバ、VPS、自社サーバなどの環境によって異なる。公開サイトと管理機能が同じアプリケーション上で動作するWordPressでは、管理画面だけを単純に別ネットワークへ移せるとは限らない。
小規模環境では、現在のホスティング環境を大きく変更せずに利用できる方法から検討するのが現実的である。
アクセスゲートウェイによる管理
管理画面の前段に認証ゲートウェイを設け、許可された利用者だけが管理機能へアクセスできる構成である。
例えばCloudflare Accessなどを利用すれば、WordPressのログイン画面へ到達する前に、別の認証やアクセス条件を設けることができる。
共用レンタルサーバでも検討しやすく、管理者が少ない小規模環境では有力な選択肢となる。
利用するサービス・機能の確認
Cloudflareを利用している場合は、Cloudflare Zero TrustのAccess機能を調べる。管理画面のURLを対象としたアクセス制御や、利用者認証の設定が可能か確認する。
利用中のホスティングサービスとの組み合わせについても確認が必要である。特に、オリジンサーバのIPアドレスやホスティング事業者が提供する別ドメインなど、ゲートウェイを経由せず管理画面へアクセスできる経路が残っていないか確認する。公開サイトの動作への影響も調べておく。
Cloudflare以外のサービスを利用する場合も、アクセスゲートウェイやゼロトラストアクセスなどの機能が調査対象となる。
VPN経由での管理
VPN接続後にのみ管理機能へ到達できる構成である。管理者は先にVPNへ接続し、その経路を通じてWebサイトの管理画面を利用する。
Tailscale、WireGuard、OpenVPNなどを利用した管理用ネットワークが選択肢となる。VPSや自社サーバなど、ネットワーク構成を制御できる環境では実現しやすい。
ただし、VPNを導入しただけで管理画面が非公開になるわけではない。一般のインターネットからの直接アクセスを遮断し、VPN経由でのみ利用できる構成にする必要がある。
固定IP付きVPNを利用してIP制限するだけの方法は、前Unitで扱う接続元IP制限の運用例となる。
利用するサービス・機能の確認
VPSや自社サーバを利用している場合は、VPNの導入可否と、管理機能への接続をVPN側に限定できるかを確認する。
Tailscaleなどの公式マニュアルや、利用中のサーバ事業者が提供するVPN、ファイアウォール、プライベートネットワークに関する情報が調査先となる。
共用レンタルサーバでは、利用者がサーバ側のネットワーク構成を自由に変更できない場合が多い。VPN経由でのみ管理する構成を実現できるか、ホスティング事業者へ確認しておく。
管理機能の非公開ネットワークへの分離
管理機能をプライベートネットワーク側へ配置し、一般のインターネットから直接アクセスできない構成にする方法もある。
クラウドのVPCやプライベートネットワーク、ファイアウォール、リバースプロキシなどを組み合わせて実現する。
ただし、WordPressでは公開サイトと管理機能が同じアプリケーション上で動作するため、管理画面だけを単純に別ネットワークへ移せるとは限らない。
このような構成は、複数のサーバやネットワークを管理する、やや規模の大きい企業向けの選択肢となる。小規模環境では、まずアクセスゲートウェイやVPNなど、より簡単に導入できる方法を検討するほうが現実的である。
公開サイト・外部サービスへの影響
管理画面へのアクセスを制限する際は、公開サイトの動作に必要な通信まで遮断しないよう注意が必要である。
例えば /wp-admin/ 配下には、WordPressやプラグインが公開側の機能から利用するエンドポイントも存在する。一括して閉じると、フォームや動的な機能、外部サービスとの連携などに影響する場合がある。
管理者が利用する画面と、公開サイトの動作に必要な通信を区別し、必要な経路を残すことを基本とする。
経路制限による運用上の影響
VPNやアクセスゲートウェイを導入すると、それらのサービスが利用できない場合に管理画面へアクセスできなくなる可能性がある。
また、管理者の追加・削除、端末変更、認証情報の管理なども必要となるため、利用者が増えるほど運用負荷は高まりやすい。
また、設定ミスによって管理者自身が締め出される場合もある。導入前に制限を解除する方法や、緊急時の管理手段を確認しておく。
設定後のアクセス確認
正規経路からのアクセス確認
VPNやアクセスゲートウェイなど、許可した経路からWordPressの管理画面へ正常にアクセスできることを確認する。
直接アクセスの遮断確認
VPN未接続やゲートウェイ未認証の状態から、管理画面へ直接アクセスできないことを確認する。
公開ページやフォーム、外部サービスとの連携なども確認し、必要な機能が影響を受けていなければ設定完了となる。
他の不正アクセス対策との併用
経路制限は管理機能への到達を制御する対策であり、認証や脆弱性対策を置き換えるものではない。
許可された経路を利用できる端末やアカウントが侵害された場合には、管理機能へアクセスされる可能性が残る。多要素認証、管理者権限の管理、WordPressの更新などと組み合わせて利用する。