WordPress サイトを要塞に例え、ログイン認証情報を城の鍵として使ったり、その鍵が侵入者が複製できないような形に変形する驚異のものに変身したりしたらどうなるでしょうか。
これが WordPress のソルトとセキュリティ キーの魔法です。これらの暗号化ツールは追加の保護層として機能し、ログイン プロセスを不正アクセスやブルート フォース攻撃に対する強力なセキュリティ バリアに変えます。
この包括的なガイドでは、WordPress ソルトの謎を解き明かし、サイトの防御を強化する上でのその重要な役割を探り、その力を活用する方法を紹介します。熟練した開発者であっても、好奇心旺盛なサイト所有者であっても、これらのランダムな文字列を理解して正しく実装することは、常に進化するデジタル環境で堅牢なセキュリティを維持するために不可欠です。
WordPress のソルトとキーとは何ですか?
WordPress のソルトとセキュリティ キーは、Web サイトのログイン プロセスのセキュリティを強化する暗号化ツールです。これらのランダムな文字列は、ユーザーのパスワードとログイン認証情報に対する追加の保護層として機能します。
素晴らしいウェブサイトを作成します
最高の無料ページビルダーElementor を使用
今すぐ始める主な側面の内訳は次のとおりです。
- ランダムな文字列: ソルトとキーは、本質的にはランダムな文字の寄せ集めです。
- wp-config.php にあります: サイトの wp-config.php ファイルで定義されています。
- パスワードのセキュリティを強化: パスワード ハッシュにソルトが追加され、クラッキングの試みに対する耐性が高まります。
- 認証 Cookie の保護: キーは Cookie を保護し、ユーザー セッションを維持するのに役立ちます。
- 各サイトに固有: すべての WordPress インストールには、独自のソルトとキーのセットが必要です。
- 定期的な更新を推奨: これらを定期的に変更すると、セキュリティ バリアがさらに追加されます。
これらの要素を組み込むことで、WordPress では、たとえ何らかの方法で暗号化されたパスワード データを入手したとしても、権限のないユーザーがサイトにアクセスすることが非常に困難になります。
WordPress ソルトキーを理解する
WordPress ソルトは、サイトのセキュリティ レシピを解読しにくくする秘密の材料のようなものです。パスワードやログイン認証情報などの機密データを解読不可能な文字の羅列にまとめる暗号化ツールと考えてください。ハッシュと呼ばれるこのプロセスは、多くのプラットフォームがユーザー情報を保護するために使用する重要なセキュリティ対策です。
仕組みは次のとおりです:
- パスワード保護: ログイン フォームにパスワードを入力すると、ソルトによってパスワードが複雑なコードに変換されてからデータベースに保存されます。つまり、誰かがデータベースをこっそり覗いたとしても、実際のパスワードを読み取ることはできません。
- Cookie のセキュリティ: Salt はブラウザの Cookie (ログインしたことを記憶する小さなデータ) も保護します。Cookie も暗号化されるため、攻撃者が Cookie データを盗んでユーザーになりすますことが非常に困難になります。
- ログイン セキュリティの強化: ソルトを導入すると、WordPress のログイン領域が要塞化されます。権限のないユーザーが侵入するのは非常に困難になります。
- 組み込みの保護: 嬉しいことに、WordPress にはすぐに使えるソルトが付属しています。ソルトは、サイトの wp-config.php ファイル (通常は public_html フォルダー内) にあります。ソルトはランダムな文字列のように見え、それぞれが固有のセキュリティ キーとして機能します。
これらのソルト キーを使用することで、WordPress はサイトに保護層を追加し、一般的なセキュリティの脅威に対する耐性を大幅に高めます。
WordPress ソルトの種類
セキュリティ キーと WordPress ソルトは、ランダムな文字の異なる文字列です。ユーザー名とパスワードは、ハッカーによる解読を防ぐために、これらの文字列を使用してハッシュ化されます。ハッシュ化された資格情報は、盗まれた場合でも、Web サイトにアクセスするために使用することはできません。これらのソルトは通常、WordPress ファイル構造の重要なコンポーネントである wp-config.php ファイルに保存されます。
「WordPress セキュリティ キー」と「WordPress ソルト」は、同じ意味でよく使用されます。ただし、8 つの文字列は同じです。4 つのセキュリティ キーは、AUTH_KEY、SECURE_AUTH_KEY、LOGGED_IN_KEY、および NONCE_KEY です。すべてのセキュリティ キーには、一致するソルトがあります。
WordPress ソルトはログイン認証情報を保護するため、その機密性を保つことが重要です。Cloudways などの一部のサーバーでは、ソルトは通常 wp-config.php ファイルに保存されますが、別の wp-salt.php ファイルに保存することを好みます。保存されているファイルに関係なく、ソルトは他の場所に保存しないでください。Pantheon.io などの一部の Web ホスティングでは、ソルトにアクセスしたり変更したりできないのもこのためです。
WordPress Salts はどのように機能しますか?
ステートレス システムの 1 つに WordPress があります。これは、他の特定のプログラムとは異なり、ユーザー セッションを保存できないことを意味します。代わりに、WordPress ブラウザーの Cookie を使用して、ユーザーを「ログイン」状態に保ちます。したがって、ユーザー名とパスワード (WordPress のセキュリティを真剣に考えている場合は 2FA) でログインすると、WordPress はブラウザーに配信される Cookie を作成します。その Cookie があり、その要件が満たされている場合は、「ログイン」状態が維持されます。
WordPress がユーザーを識別するには、Web サイトを使用するたびにこの Cookie を WordPress に渡す必要があり、ユーザー自身を認証する必要があります。WordPress は Cookie に保存されたパスワードを暗号化して、データが可能な限り安全であることを確認します。このような状況ではソルトが役立ちます。
WordPress クッキー
WordPress クッキーの詳細を掘り下げることはこの記事の範囲外ですが、少し脱線してソルトとクッキーについて話す価値はあります。
クッキーは WordPress ユーザーのブラウザに保存されるテキスト ファイルであることを思い出してください。クッキーは、ユーザーの ID やサインインしているかどうかなどの重要な情報を WordPress に提供します。
- WordPress_logged_in_[ハッシュ]: WordPress は Cookie を使用して、ログインしているかどうかを判断します。LOGGED_IN_KEY キーと LOGGED_IN_SALT ソルトは、この Cookie をハッシュするために使用されます。次の部分では、これらについて詳しく説明します。
- WordPress_[ハッシュ]: この Cookie を使用すると、WordPress Web サイトを変更でき、管理ページで使用されます。SSL/TLS が使用されている場合、この Cookie のハッシュには SECURE_AUTH_KEY キーと SERCURE_AUTH_SALT ソルトが使用されます。SSL/TLS が使用されていない場合は、AUTH_KEY キーと AUTH_SALT ソルトが使用されます。
塩味クッキー
簡単に言うと、ソルトは Cookie のログイン認証情報などのプライベートデータをハッシュするために使用されます。このため、Cookie が盗まれた場合にパスワードを読み取ることはほぼ不可能になります。
ソルトとキーは標準の WordPress ブラウザ セッションとのみ互換性があることに注意してください。PHP セッションを使用している場合、データは WordPress ソルトを使用してハッシュ化されません。PHP セッションはいくつかの理由から推奨されません。
すでに述べたように、この方法は完璧ではありません。Cookie が盗まれた場合、その Cookie を持っている人がセッションを制御し、あなたに代わって WordPress ウェブサイトを使用できます。そうです、WordPress の観点から言えば、その人はあなたになります。
ソルトとキーは WordPress のインストール時に自動的に作成されますが、いつでも変更できます。変更方法と、どこで確認するかについて説明します。
WordPress のソルトを変更する方法 (2 つの方法)
場合によっては、WordPress ソルトを自分で作成する必要があります。他の状況では、セキュリティ キーは事前に定義されています。状況を調べ、ソルト キーが存在しない場合は、次の簡単な手順に従って設定してください。
手動の方法
手動で行うには、秘密鍵を作成する必要があります。WordPress に組み込まれているランダム キー ジェネレーターを使用すると、プラットフォーム内から作成できます。文字を解読するのが難しいため、秘密鍵を作成する代わりにこの方法を使用してください。完了するまでに数秒しかかからないため、時間の無駄にはなりません。
次に、WordPress のSecret Key Serviceにアクセスしてリストを取得します。これはソルト キーと置換キーのリストです。次のように表示されます。
次のステップは、これらの WordPress ソルトをコピーして FTP クライアントを起動することです。変更するには、Web サイトのルート フォルダーにある wp-config.php ファイルを右クリックします。「認証の一意のキーとソルト」の行を探し、このセクションの下にあるものを、コピーしたばかりの WordPress ソルトに置き換えます。ファイルをサーバーにアップロードし直して、変更を保存することを忘れないでください。サイトを安全に保つ最も簡単な方法は、これを 3 ～ 6 か月ごとに実行することです。キーを生成するには、常にWordPress.org の秘密キー サービスを使用してください。
プラグインの使用
これまでの手順が難しすぎると思われる場合は、より簡単な方法であるプラグインを使用できます。 Salt Shakerという無料のプラグインは、上で説明したすべての手順を自動化します。ダウンロードしてアクティブ化するだけです。プラグインを使用すると、手動で変更するときには利用できない追加機能が提供されます。 Salt Shaker を使用して WordPress ソルトを調整するタイミングを計画することで、義務の一部を省くことができます。 WordPress ソルトを変更するたびに、自分と他の Web サイト ユーザーは WordPress ログイン ページを使用して再度チェックインする必要があることに注意してください。
結論
WordPress ウェブサイトを安全に保つために最も重要なことの 1 つは、ソルトとセキュリティ キーを把握して管理することです。これらの推奨プラクティスに従えば、Cookie ハイジャックや不正アクセスなどの潜在的な危険からウェブサイトを保護できるようになります。
ウェブサイトのセキュリティをさらに強化するには、ソルトとキーを定期的に変更することを忘れないでください。また、不要なアクセスを回避するために、ソルトとキーを常に非公開にしてください。
よくある質問（FAQ）
1. WordPress ソルトとは何ですか?
回答: WordPress ソルトは、ユーザーのログイン認証情報を保護するために使用されるランダムな文字列です。ユーザー名とパスワードの暗号化ハッシュを作成し、セキュリティを強化します。
2. WordPress ではなぜ「ソルト」と呼ばれるのですか?
回答: 「ソルト」とは、暗号化の際に暗号化前に追加されるランダムなデータです。WordPress セキュリティ キーはこのように機能するため、「ソルト」という名前が付けられています。
3. WordPress でソルト キーを変更する必要があるのはなぜですか?
回答: セキュリティ侵害が発生したら、WordPress のソルトを変更します。ハッカーが wp-config.php ファイルにアクセスした場合、パスワードを解読される可能性があります。ソルトを変更すると、不正アクセスを防ぐのに役立ちます。
WordPress でソルトを変更するにはどうすればいいですか?
回答: WordPress のソルトを変更する 3 つの方法:
- wp-config.php または wp-salt.php を手動で編集する
- 強化機能を備えたセキュリティプラグインを使用する
- Salt Shakerプラグインを使用する
