新しくWPをセットアップしたり、ユーザを追加した際、とりあえずメールアドレス・ログイン名・パスワードは必須なのですが、その他の項目は手付かずでそのまま運用してしまう方も少なくないと思います。これがなかなかセキュリティ上、危険な事態を招いてしまいます。いうのは、デフォルトでは「ブログ上の表示名」は「ユーザー名」に設定してあります。いうことは、このユーザーが何か投稿した際、投稿にこの名前が表示され、ログイン名を公開していることになります。このユーザー名を手がかりにしてサイトをアタックする手法は古典的ですが、今でも相当数の攻撃が常時行われています。ランダムにパスワードを入力しログインできるまで攻撃を繰り返す「ブルート・フォース・アタック」と呼ばれる手法です。そこで、ユーザ作成時に必ずしなければいけないのが「ニックネーム」の設定と、「ブログ上の表示名」をニックネームに変更する操作です。これで一安心と思いきや・・・これでこのユーザーが何かを投稿しても、執筆者欄にはニックネームだけが表示され、ユーザー名を悟られる恐れがありません。・・・と思いたいところですが、意外なところに落とし穴があります。APIという仕組みが内蔵されています。これは何かと言うと、サイトの投稿記事を中心とした様々な情報を外部から簡単にアクセスできるようにする仕組みです。情報には投稿者のユーザ情報も含まれます。試しに、あなたのサイトのURLに/wp-json/wp/v2/usersと追加してみてくださいびっくりしましたか?もしかしたら管理者のユーザーIDとログイン名が入っているかも知れません。上の例では、ニックネームを設定したに関わらず、2箇所にユーザー名が入っております。標準的なjsonフォーマットですので、誰でも簡単にその部分を取り出すことが出来ます。プログラムを組んで自動化することも出来ます。大変なセキュリティ・ホールだと思いますが、「投稿者データは公開情報である」というポリシーにで基づいているのでしょうか?ちなみにここにリストアップされるのは1ページでも投稿したことのあるユーザだけです。ほとんどの場合、管理者自身が何らかの投稿をしているので、事は重大です。このように自らハッキング情報を晒しているような状態になっているサイトは非常に多いと思われます。プラグインの「新規追加」より検索してみてください。このプラグインは、特定のエンドポイント(データの受け渡し窓口のようもの)を開け閉めする機能を持っています。設定画面の中の’core’タブ内に’user’という項目があるのでチェックを入れてください。「変更を保存」をクリックします。Endpoints’にチェックを入れてもいいかも知れません。すると今度はユーザー情報の取得を試みてもこれでユーザー情報は完全に隠蔽されました。Loginなどの会員プラグインを利用したサイトのユーザーや管理者かも知れません。このようなプラグインにはメールアドレスでログイン出来る機能があり、その場合ユーザーネームがメールアドレスになっていたり、ニックネームがメールアドレスをベースに生成されている可能性が高いからです。この場合、ユーザのメールアドレスをいとも簡単に収集する事も出来てしまい、さらに重大な事態に晒される事になります。technology.。