WordPressの権限管理｜企業サイトでの権限グループの割り当て方とアカウント運用ルール

WordPressには、ユーザーごとにできる操作を決める「権限グループ」があります。初期状態で用意されている権限グループと、主にできることは次のとおりです。

このほか、複数のサイトをまとめて管理する「マルチサイト」では、すべてのサイトを管理できる「特権管理者」があります。

権限グループは、担当者の役割に合わせて割り当てます。企業サイトでの割り当ての例は次のとおりです。

管理者の権限を持つアカウントが乗っ取られると、プラグインの追加や設定の変更を通じて、サイト全体が改ざんされるおそれがあります。

管理者は、サイト全体の管理に責任を持てる1〜2名に限定しましょう。日常の記事の更新は、管理者ではなく編集者や投稿者のアカウントで行うのが安全です。

1. 管理画面の「ユーザー」→「新規追加」を開く
2. ユーザー名、メールアドレス、パスワードを入力する
3. 「権限グループ」で、担当者の役割に合ったものを選ぶ
4. 「新規ユーザーを追加」をクリックする

ユーザー名は、あとから変更できません。また、ログインに使うため、推測されにくい名前にしておきましょう。

1. 管理画面の「ユーザー」→「ユーザー一覧」を開く
2. 権限を変えたいユーザーにチェックを入れる
3. 「権限グループを変更」から新しい権限グループを選び、「変更」をクリックする

「固定ページだけ編集できるようにしたい」など、標準の権限グループでは対応できない場合は、「User Role Editor」などのプラグインで、権限を細かく調整できます。

ただし、権限を細かく変えると、誰が何をできるのかが分かりにくくなります。変更した内容は、記録しておきましょう。

権限を正しく割り当てても、アカウントの管理が不十分だと事故は防げません。企業として、次のルールを決めておきましょう。

1つのアカウントを複数人で使うと、誰がどの操作をしたのかを追えなくなります。トラブルが起きたときに原因を調べられず、パスワードを変えるときも全員に影響します。アカウントは、1人に1つずつ発行しましょう。

担当者が退職・異動したときや、外部委託先との契約が終わったときは、次の手順で対応します。

1. アカウントの削除、または権限の引き下げを行う
2. 削除するアカウントが作成した投稿を、ほかのユーザーに引き継ぐ（削除時に選択できる）
3. 共有していたパスワード（サーバーやFTPなど）を変更する

この手順を、人事の手続きや委託契約の終了の流れに組み込んでおくと、対応漏れを防げます。

四半期に1回など、時期を決めてユーザー一覧を確認しましょう。

・使われていないアカウントが残っていないか
・役割に対して、権限が大きすぎるアカウントがないか
・契約が終わった外部委託先のアカウントが残っていないか

権限の管理とあわせて、ログインそのものを守る設定も行いましょう。

推測されにくいパスワードにする：長く複雑なパスワードを設定し、ほかのサービスと使い回さない
ユーザー名を表に出さない：投稿者の表示名（ニックネーム）を、ログインに使うユーザー名と別にする
ログインの試行回数を制限する：パスワードを何度も試す攻撃を防ぐ。セキュリティ用のプラグインで設定できる

二段階認証は、パスワードに加えて、スマートフォンのアプリに表示される確認コードなどを入力してログインする仕組みです。パスワードが漏れても、確認コードがなければログインできないため、不正ログインを大きく減らせます。

WordPressでは、二段階認証用のプラグイン（WordPress公式のプラグインディレクトリで公開されている「Two Factor」など）や、サーバーの機能で導入できます。少なくとも、管理者と編集者のアカウントには設定しておきましょう。

IP制限は、管理画面にアクセスできる場所（IPアドレス）を限定する方法です。社内のネットワークからしかログインできないようにすれば、外部からの不正ログインを防げます。

サーバーの設定ファイル（.htaccessなど）や、サーバーの管理画面、プラグインで設定できます。

ただし、在宅勤務の担当者や外部の制作会社がログインする場合は、そのアクセス元も許可しておく必要があります。設定を誤ると自社の担当者もログインできなくなるため、導入前にアクセス元を整理しておきましょう。

二段階認証やログインの試行制限は、プラグインでも導入できます。ただし、プラグインの数が増えると、更新や相性の確認の手間も増えます。

NHNテコラスの「WP-Chorus」は、企業向けのWordPressクラウドホスティングです。二要素認証を利用できるほか、WAF（「攻撃遮断くん」のエンジンを搭載）とDDoS対策を全プランで標準提供しています。サーバー側で攻撃を遮断できるため、プラグインだけに頼らずにログインを守れます。

WP-Chorusについて詳細は以下をご覧ください。

WordPressの権限管理は、「権限は必要最小限」「アカウントは1人に1つ」「定期的に棚卸し」の3つが基本です。管理者は1〜2名に限定し、退職・異動・委託終了のときの手順を、社内の手続きに組み込んでおきましょう。

あわせて、二段階認証やIP制限でログインそのものを守れば、不正ログインによる改ざんのリスクを大きく減らせます。