WordPressを愛用中のブロガーの皆さま。普段何気なくWordPressの管理画面にアクセスしていますが、それって他人も簡単に入れるの知っていますか？
特別な設定をしていない限り、WordPressの管理画面へのログイン画面URLは「http://サイトのURL/ファイルを配置したディレクトリ/wp-login.php」でアクセスできます。
しかも、大抵の場合は「http://サイトのURL/wp-login.php」でアクセス可。試してみたければ、自分が購読しているブログのURLの後ろに「wp-login.php」と入力してみたら良いと思います。
私のブログで試しますか？なら、こちらのURL→「https://bamka.info/wp-login.php」にアクセスしてみてください。
どうでしょう。ページが表示される前に、IDとPasswordを要求されたんじゃないでしょうか。
これはベーシック認証と言って、特定のページにアクセスするためにIDとPasswordを要求するよう、設定することができるんです。
誰もが簡単にWordPressのログイン画面に入れてしまうからこそ、こうした設定はしておいたほうが、セキュリティ面で安心できます。
今日は、WordPressのログイン画面にのみベーシック認証を設定する方法をご紹介しましょう。
ベーシック認証とは
「ベーシック認証」という物について正しく認識する必要は、今はあまりないと思います。私は「あるウェブページに、自作のロックをかけられると物」と思っています。合っているのかな……。
詳細な説明は、Wikipedia先生にお願いすることにします。私は読んでも分からなかった。
Basic認証（ベーシックにんしょう、Basic Authentication）とは、HTTPで定義される認証方式の一つ。基本認証と呼ばれることも。
Basic認証では、ユーザ名とパスワードの組みをコロン ":" でつなぎ、Base64でエンコードして送信する。このため、盗聴や改竄が簡単であるという欠点を持つが、ほぼ全てのWebサーバおよびブラウザで対応しているため、広く使われている。
▶ Basic認証 - Wikipedia
ベーシック認証の設定手順
ベーシック認証を設定するためには、「.htaccess」と「.htpasswd」というファイルを作成し、それをサーバーにアップロードする必要があります。
「.htpasswd」ファイルには、IDとPasswordを設定します。
「.htaccess」には、「.htpasswdで作成したIDとPasswordを読み込んでくれー」という命令を書き加えます。
そして、それぞれのファイルを、パスワードをかけたいディレクトリにFTPでアップすればOKです。
それではこれらの具体的な設定方法をご紹介しましょう。
1. 「.htpasswd」を作成する
まずは認証に必要なIDとPasswordを設定します。
ただ、普通のテキストでは作れません。暗号化しなければならないので、こちらのページから作成しましょう。
IDとPasswordを入力したら、「生成」をクリック。出来た「.htpasswd」のテキストをコピーします。
テキストエディタを起動して、コピーしたテキストをペーストします。ファイルを保存する際は、名前を「htpasswd.txt」で保存します。
「.htpasswd」については、とりあえずはこれで完了。次に「.htaccess」です。
2. 「.htaccess」を作成する
「.htaccess」ファイルに記述するテキストは以下の通り。この記述をテキストエディタにコピペして、ファイル名「htaccess.txt」で保存してください。
[html]<Files "wp-login.php">
AuthName "Please enter your ID and Password"
AuthUserFile /.htpasswdまでのフルパス/.htpasswd
AuthType Basic
require valid-user
</Files>[/html]
フルパスについて
３行目の「AuthUserFile」、「/.htpasswdまでのフルパス/」となっている部分は、先ほど作成した「htpasswd.txt」へのパスを記述する部分です。
ただ、このフルパスは通常、ホームページを表示するときのパスとは異なります。レンタルサーバー毎に違うので、ヘルプページなどから確認してみてください。
私が使っているsixcoreサーバーでは、以下の通りでした。
既に.htaccessがある場合
「.htaccess」は、もしかしたら既にサーバーの方にアップロードされているかもしれません。その場合は、そのファイルの中に追記して保存すればOKです。
▼私の場合はアプリ「FileZilla」を使っています。「.htaccess」ファイルをテキストエディタで開いて、中身を編集。
▼追記する場所は「# END WordPress」の下でOKでした。
3. サーバーに両ファイルをアップロードする
ここまで来たら、最後の仕上げ。
ベーシック認証をかけたいディレクトリに「htaccess.txt」と「htpasswd.txt」をアップロード。
最後に、ファイル名を変更。それぞれ「.htaccess」「.htpasswd」に変更すればOKです。
あとがき
ログイン画面は結構無防備なので、ぜひ設定しておくことをオススメします。
それでは、今日はこの辺りで。
