保護機能の役割を理解し、ログインと編集を妨げない設定・確認手順を作れます。
作業を始める前に
- サーバー側WAFと既存のセキュリティ機能を確認します。
- 別のログイン確認と復旧ができる手段を用意します。
- 01サーバー側と既存プラグインの保護を確認する
- 02ログインの保護を一つずつ設定する
- 03API制限の影響を調べる
- 04管理画面制限とWAFを検証する
下の各項目で、判断のポイントと確認方法を説明します。
進め方・判断のポイント 05 STEPS
サーバー側と既存プラグインの保護を確認する
サーバーのWAF、ログイン制限、他のセキュリティプラグインを一覧にします。CloudSecureのダッシュボードで現在の設定を確認し、どの機能を誰が担当するか決めます。設定前の状態と復旧方法を記録し、管理画面へ入れなくなった場合に対応できる担当者を用意します。
現在の保護と、変更前に戻す手順を記録しました。
ログインの保護を一つずつ設定する
ログイン無効化、URL変更、エラー表示統一、画像認証、2段階認証はそれぞれ役割が違います。URLを変更するなら新しい入口を保管し、担当者のブックマークも更新します。2段階認証は本人の登録と復旧コードを先に準備します。一つ変更するたびに通常ログインと誤入力時の動作を確認します。
| 項目 | 入力する内容・例 |
|---|---|
| ログイン保護 | 1機能ずつ設定して試験入口と復旧方法を保管。 |
| REST API | 利用機能と例外条件を確認編集・フォーム・連携を試す。 |
| 通知 | 受信先と確認担当を指定送信されるだけで終わらせない。 |
普段の担当者が正常にログインできることを確認しました。
API制限の影響を調べる
XML-RPCとREST APIは同じ仕組みではありません。外部投稿ツール、ブロックエディター、フォーム、サービス連携がどの通信を使うかを確認します。REST APIを制限する場合は、公式の許可設定と対象範囲を確認し、投稿保存や画像追加等の操作を実際に試します。使っている機能を知らずに一律停止しないようにします。
制限後も必要な編集・連携が動くことを確認しました。
管理画面制限とWAFを検証する
管理画面のアクセス制限は、担当者の接続元が変わる場面も考えます。会社の回線だけで確認すると、出先やモバイル回線で締め出される場合があります。シンプルWAF等を使う際も、問い合わせや保存処理が拒否されていないか確認します。誤検知があれば該当操作とログを記録し、保護全体の停止ではなく対象を調査します。
必要な端末・回線・送信操作で利用できました。
通知とログの確認担当を決める
ログイン、更新、サーバーエラーの通知を使う場合は、実際の受信先と対応担当を決めます。ログイン履歴は時刻や利用者と照合し、不審な操作があればパスワード、権限、連携情報を見直します。プラグインの設定だけで安全が完了するわけではないため、更新とバックアップも継続します。
通知を受けた後に確認する人と手順を決めました。
終わったら確認すること
- ブロック編集・画像追加・フォーム送信を確認します。
- 通知の受信と、接続回線変更時のログインを確認します。
途中で困ったときは
REST APIを止めたら投稿の保存ができなくなりました。
制限との関連を調べ、変更前の設定と公式の許可条件を照合します。必要な通信を把握してから、対象を限定した設定を検証してください。
ログインURLを変えれば2段階認証は不要ですか？
役割が異なります。入口の変更だけで認証情報の漏えいや不正利用を防げるとは限りません。強いパスワードと追加認証、権限管理を合わせて検討します。
参照した公式資料
画面や条件が異なる場合は、ご利用環境と公式の最新案内を確認してください。
手順確認日 2026.10.30 ／ 読む時間は目安です。操作に必要な時間は環境によって異なります。
管理画面の項目を調べる
入力欄の意味・操作・確認方法を、項目ごとに確認できます。
CloudSecure WP Security →