はじめに
ここでは、WordPressサイトのセキュリティを向上させるためにTOTP（Time-based One-Time Password）またはHOTP（Hash-based One-Time Password）認証アプリケーションとの連携方法について説明します。この設定は、ユーザーがアカウントへのアクセス時に追加の認証ステップを要求することで、不正なアクセスやハッキングからサイトを守ります。
症状・背景
このテーマが必要になる主な場面:
- <場面1>
セキュリティ上の懸念がある場合
- <場面2>
特定のユーザーが特別な権限を持つ場合
- <場面3>
外部からのアクセスが多い場合
- <場面4>
データ保護法に準拠する必要がある場合
手順・設定方法
ステップ1: 2段階認証プラグインのインストールと有効化
# WordPress管理画面からプラグインの検索ページを開く
/wp-admin/plugins.php?page=plugin-search-install
# 「Two Factor Authentication」プラグインを検索し、インストールする
/wp-admin/plugin-install.php?tab=search&term=two+factor+authentication
# インストールされた「Two Factor Authentication」プラグインを有効化する
/wp-admin/plugins.php?action=activate&plugin=akismet%2fakismet.phpステップ2: TOTP/HOTP認証アプリの設定
# 「Two Factor Authentication」設定ページを開く
/wp-admin/admin.php?page=two-factor-options
# 認証方法として「Google Authenticator」を選択する
/wp-admin/admin.php?page=two-factor-providers&provider=googleauthenticator
# アプリケーション登録用のQRコードを表示する
/wp-admin/admin.php?page=two-factor-setup
# QRコードを認証アプリ（例：Authy, Google Authenticator）で読み込むステップ3: TOTP/HOTP認証のユーザー設定
# 「Two Factor Authentication」設定ページを開く
/wp-admin/admin.php?page=two-factor-options
# 対象となるユーザーを指定して、2段階認証を有効にする
/wp-admin/users.php?paged=1&action=edit&user_id=1
# ユーザーの「Two Factor Authentication」設定ページを開く
/wp-admin/profile.php?page=two-factor-settings
# 既に登録されているアプリケーションを使用して、2段階認証を有効にするステップ4: TOTP/HOTP認証のテストとトラブルシューティング
# ログアウト後、通常通りログインページを開く
/wp-login.php
# 「Two Factor Authentication」プラグインが有効であれば、追加の認証ステップが表示される注意事項
- <実践的な注意点1>
バックアップを取ってから設定を行うこと。
- <実践性的な注意点2>
全てのユーザーに対して強制的に適用する前に、テスト環境で確認すること。
- <セキュリティ上の注意>
認証アプリケーションは信頼できるものだけを使用すること。
- <パフォーマンス/運用上の注意>
大規模サイトではCPU使用率が上昇することがあるので、定期的なモニタリングを行うこと。
まとめ
1. セキュリティ向上: TOTP/HOTP認証はユーザーのアカウントへの不正アクセスを大幅に防ぐ。
2. 手軽さ: 標準的な認証アプリと連携可能で、導入が容易である。
3. 可視性: 管理者は全てのユーザー設定を一覧できるため管理しやすい。
4. 柔軟性: 特定のユーザーに対する適用や無効化も容易に行える。
5. 継続的な監視: 定期的にシステムパフォーマンスとセキュリティ状況を確認することが重要。
関連記事: