【WordPress】ユーザIDがバレる？投稿者アーカイブの無効化方法

2017年8月5日 2023年7月16日

この記事では、Wordpressの投稿者アーカイブを無効化する方法を説明します。

こんにちは、管理人のうみにん(@11tejun)です。

今日は前回アップした記事[【WordPress】ユーザ名がバレる？原因と対策を説明！]が大変好評だったので、後継版として「そもそもユーザIDがバレるようなコマンドを受付禁止にする」方法を説明します。

5分で導入できる超簡単な手順ですので、あなたのサイトにもぜひ導入してみて下さい！

内容（押すと移動できるよ）

1 【必見！】当サイトに初めて来た方へ
2 【勉強】「/?author=1」は投稿者アーカイブ機能の呼び出しコマンド
3 【手順1】使用するコマンド
4 【手順2】function.phpに追記
5 【手順3】投稿者アーカイブが無効になっていることを確認
6 【まとめ】今からセキュリティ対策を！

【必見！】当サイトに初めて来た方へ

この記事に初めて来た方もいると思るので、まずはWordpressのセキュリティ脅威について説明します。

早速ですが、以下のコマンドをあなたのWEBサイトのURLの一番後ろに付けて、アクセスしてみて下さい。

/?author=1

ご自身のサイトURL「http://XXXXX.com」の場合は「/?author=1」を一番後ろに付けて「http://XXXXX.com/?author=1」といった具合です。

このアクセスの結果、URLにご自身のWordpress管理画面にログインするためのユーザIDが表示されていませんか？

ご自身のユーザIDが表示されてしまった方、一気に青ざめたのではないでしょうか。

私も初めてこのコマンドを知った時は「なんでやねん！アカンやん！」ってツッコミを入れました。

今、ご自身のWEBサイトがユーザIDの垂れ流しだということに気づいたあなた！必ずこのページ、または前回の記事[【WordPress】ユーザ名がバレる？原因と対策を説明！]の手順を実施し、セキュリティ対策をしてくださいね。

ちなみに前回の記事はユーザIDをダミー化する手順で、今回の記事はそもそもこの「/?author=1」コマンドを禁止する手順になります。

【勉強】「/?author=1」は投稿者アーカイブ機能の呼び出しコマンド

先ほどあなたに入力してもらった「/?author=1」というコマンドの意味について簡単に触れておきたいと思います。

「/?author=1」は投稿者の過去記事(アーカイブページ)を表示するためのコマンドです。

つまり、「author1という名前のユーザが過去に投稿した記事を一覧で表示しなさい！」という意味のURLだったのです。

そして、Wordpressの仕様として、投稿者アーカイブページを表示する場合のURLに、ユーザIDを表示してしまうのです。

「author1とか作った覚えがない！」と感じるかもしれませんが、Wordpressはログイン用のユーザを作成する度に内部的にはauthor「1」「2」…という風にIDを採番しているのです。

以上の経緯から、あなたのサイトはユーザIDが垂れ流しになっている状態だと認識いただけたかと思います。

そこで、ココからはこの投稿者アーカイブページを表示するコマンドを禁止する方法を説明します。

【手順1】使用するコマンド

投稿者アーカイブページ表示を無効化するコマンドは以下の通りです。

//投稿者アーカイブを廃止
add_filter( 'author_rewrite_rules', '__return_empty_array' );
function disable_author_archive() {
	if( $_GET['author'] || preg_match('#/author/.+#', $_SERVER['REQUEST_URI']) ){
		wp_redirect( home_url( '/404.php' ) );
		exit;
	}
}
add_action('init', 'disable_author_archive');

コードの意味はとてもシンプルで「/?author=X」というURLを受け付けた場合は、404.php(何も見つかりませんエラーページ)を表示するように指示したものです。