古いアカウントを今の問題にしない、WordPressのアクセス権監査

WordPressのアクセス権監査では、誰がサイトを変更できるか、どの外部ツールがそのアカウントを通じて操作できるか、という二つの問いに答える必要があります。担当者名の一覧だけで分かるのは前者です。作成者がログインしなくなった後も、古い連携用の認証情報が有効な場合があります。

最初に、復元可能なサイトのコピーと、所有者が管理する確実な管理者アカウントを用意します。その後、個人別のユーザー、実際の権限、アプリケーションパスワードを確認します。このガイドは標準的な単一サイトのWordPressを前提にしています。Multisite、会員制製品、権限管理プラグインでは仕組みが変わるため、役割名を証拠とせず、実際のインストール環境の権限を確かめてください。

便利な役割ではなく、仕事から決める

WordPressの権限グループと権限のドキュメントは、標準の権限を説明しています。寄稿者は自分の投稿を作成・管理できますが公開できず、投稿者は自分の投稿を公開でき、編集者は他人の投稿も管理できます。管理者はさらに広いサイト管理権限を持ちます。外注担当者が下書きを提出するだけなら、この違いが重要です。

各アカウントの現在の仕事を一文で記します。「マーケティング」より「編集確認用に週次レポートをアップロードする」の方が役立ちます。その仕事と実行可能な操作を比較してください。標準の役割が合わない場合は、権限プラグインを導入・変更する前に要件を定め、表示名ではなく実際に得られた権限をテストします。

新しいユーザーを作る手間を省くために、管理者ログインを共有しないでください。個人別アカウントなら、一人のアクセスを取り消す際に、他の全員へ新しいパスワードを配り直す必要がありません。代理店や外注先との契約終了と同時に、唯一の管理手段まで失わないよう、所有者が管理する復旧経路を残します。

権限を下げる際は、下書き保存、必要なメディアのアップロード、対象コンテンツの編集、禁止されるべき操作を試して確認します。標準の寄稿者はファイルをアップロードできないため、画像が必要な業務には適切な調整が必要です。将来あり得るすべての依頼に備えて管理者権限を渡すのではなく、具体的な要件を満たしてください。

アプリケーションパスワードは別の認証情報として把握する

WordPressのREST API認証ガイドは、HTTPS経由で認証付きAPIアクセスを行うアプリケーションパスワードを説明しています。これは通常のログインパスワードとは別です。本人が日常的に使うパスワードを渡さず、連携ごとに専用の認証情報を持たせられる点が運用上の利点です。

各認証情報の所有アカウント、使用するサービス、その保守担当者、現在も必要な接続かどうかを記録します。分かりやすい名前は用途の識別に役立ちますが、名前だけで実行可能なリクエストを制限することはできません。サービスアカウントの権限を、連携が実際に行う仕事に合わせてください。

WordPressのアプリケーションパスワード連携ガイドは、管理と取り消しの仕組みを説明しています。一つのツールを廃止するために同じユーザーの全連携を止めなくて済むよう、接続ごとに別の認証情報を使います。パスワードを監査表、サポートメール、公開チケットへ貼り付けないでください。記録するのは担当者と用途であり、秘密そのものではありません。

連携の担当者が不明なら、無条件で削除する前に調べます。関連する公開処理、バックアップ、同期を特定し、責任者を探してください。不明だから安全とは限りませんが、未使用とも限りません。監査では、不確実さを「維持」「置き換え」「取り消し」という明確な判断に変えます。

順序を管理してアクセスを取り消す

予定された離任では、予約公開、コンテンツの所有、メディア処理、連携など、継続すべき業務を最初に特定します。運用責任を引き継ぎ、権限のあるアカウントから必要な代替認証情報を作成します。継続サービスに必要な古い認証情報を取り消す前に、代替が動くことを確認してください。

侵害が疑われる場合は、通常の引き継ぎを待たず、封じ込めとサイトのインシデント対応手順を優先します。このガイドはアクセス権の点検であり、インシデント対応の成功を保証するものではありません。関連記録を保存し、通常のアカウント整理を超える調査が必要なら、担当管理者やセキュリティ専門家を関与させてください。

通常の整理では、選んだアプリケーションパスワードを取り消し、古い接続が認証できなくなったことと、関係のない連携が動くことを確認します。その後、必要に応じて本人のログイン権限を縮小・削除します。ボタンを押しただけでは取り消しの検証になりません。想定した拒否と、影響を受けない処理の継続が有用な証拠です。

ユーザー削除の前には、コンテンツと著者表示がどうなるかを確認し、必要な再割り当てを意識して選びます。アクセス整理を誤った記事削除にしないでください。権限プラグインなどの設定を変える場合は、WordPressのステージングとロールバックのガイドにある変更管理の考え方が役立ちます。

維持できる小さな台帳にする

ユーザーごとに一つ、連携ごとに関連付けた一つの記録を作り、用途、担当者、役割または権限、確認日、判断を残します。秘密の認証情報は、閲覧用台帳の隣ではなく、チームが承認した秘密情報管理システムへ保存します。台帳は後任者の理解を助けるもので、すべての秘密を自動的に渡すものではありません。

契約終了、担当業務の変更、ツール廃止を明確な見直しのきっかけにします。定期確認は漏れを見つけられますが、離任対応を次の予定通知まで待つべきではありません。サイトの保守ルーチンに、完了責任を持つ担当者とともに組み込んでください。

最後に変更の両面をテストします。残した編集者は必要な仕事ができ、廃止したアカウントや認証情報は、許可を失った操作に失敗する必要があります。サイト全体の安全性が証明されたとは言わず、テストと結果を記録してください。

有用な監査は、必ずしもアカウント数ではなく、説明できない権限を減らします。目的別の個別アカウントは、少数の共有管理者ログインより管理しやすいことがあります。すべての有効な権限を説明でき、削除した権限が確かになくなったと示せることが目標です。