WordPress を立ち上げたら、ログイン名が外から見えていた｜見えていた4つの経路と、確かめ方の落とし穴

開発記録（第11回）。AI に日本株の売買判断をさせる投資システム investTool を個人で開発しています。全体像は目次記事にまとめています。

この記事の要点

やりたかったこと

このブログ用に新しく WordPress を立ち上げ、固定ページを公開した直後に、外から見える情報を確かめました。

ログイン名は、パスワードと並んでログインに必要な情報の片方です。本名から作ったログイン名なら、個人の情報が見えていることにもなります。そのため、外から見えないようにしておく必要がありました。

REST API のユーザー一覧には、公開済みの記事や固定ページを持つユーザーが出ます。固定ページを公開した時点で、管理者が一覧に出ていました。

まず、ハンドルネームのログイン名で投稿用のユーザー（編集者）を作り、固定ページの作成者を移しました。ところが、管理者は記事もページも持たなくなったのに、一覧から消えませんでした。理由までは突き止めていません。

原因を追うより確実な方法として、ログインしていない人にはユーザー一覧そのものを返さないようにしました。

テーマを変えるときは設定も移す

この対策はテーマの側に入れています。テーマを変えると消えるため、移さないとログイン名が再び見えるようになります。

有効にすると、/?author=1 はトップページへ転送されるようになりました。ただし、この設定は REST API のユーザー一覧（1つ目の経路）は塞ぎません。

1と2を塞いだ後、デザインを整えたトップページを撮影して見返したときに見つかりました。記事や固定ページではそのページの作成者が出ますが、トップページやカテゴリの一覧では管理者が出ていました。

REST API を塞いでも、テーマが HTML に直接書き出す部分からは見えます。API を調べるだけでなく、実際の画面を見て確かめる必要がありました。

ログイン URL を変える設定で、標準のログイン画面は開けなくなりました。しかし、管理画面を開けば新しい URL が分かるのでは、隠した意味がありません。ログイン URL の変更だけでは足りず、組み合わせる設定がありました。

確認は、管理画面にログインしていたのと同じ回線の PC から行っていました。そのため、許可された側として扱われ、効いていないように見えました。スマートフォンのモバイル回線から開くと、404 になっていました。

ポイント

IP アドレスで許可する仕組みは、許可されていない回線から確かめないと、効いているかどうか判定できません。自分の PC から見た結果だけで「効いていない」「効いている」と決めないようにしています。

記事を自動で投稿するようになると、すべての記事に著者のリンクが付きます。立ち上げの時点で塞いでおいたことで、記事が増えても管理者のログイン名が出ることはありません。投稿用のユーザーを編集者の権限で分けたことは、前回書いた API の認証情報の安全にもつながっています。

まとめ

ログイン名は1か所を塞いでも、別の経路から見えました。API、転送、テーマが書き出す HTML と、見える場所ごとに確かめる必要がありました。

※ Amazon のアソシエイトリンクを含みます。

『体系的に学ぶ安全なWebアプリケーションの作り方第2版』（徳丸浩、Kindle版）
Web アプリケーションの脆弱性と対策の本です。この記事の、ログイン名が外から見えていた話と近い内容です

当サイトは情報提供を目的としており、投資助言を行うものではありません。掲載している売買記録は仮想売買（ペーパートレード）であり、実際の取引の結果ではありません。投資判断はご自身の責任で行ってください。詳しくは免責事項をご覧ください。