WordPressでアーカイブのスラグをユーザー名と異なるものにしてセキュリティーをアップするプラグイン「Edit Author Slug」

Wordpressには投稿などのコンテンツを作成すると、作成したユーザーが記録されるようになっています。そしてテーマを通じてユーザーごとのコンテンツ一覧が表示できるようになっています。

この作者アーカイブを実際にご覧になったことはありますか？

コンテンツの作成と同時に自動で作ってくれるので便利なのですが、実際に表示して確認した人は少ないのでは？？

で、表示してみるとセキュリティに関係する重大な問題が・・・この一覧を表示したときに何とユーザー名が表示されてしまうのです。

試しに以下の方法でユーザーのコンテンツ一覧を表示してみてください。

サイト表示画面（フロントエンド）上に作成者のリンクがあればクリック
「http://サイトのURL/?author=1」

※author=1の「１」はユーザーIDですので、ページが見つからないときには「２」「３」などにしてみてください

ユーザーの投稿一覧が表示されたら、上のアドレスバー（URL）の表示を見てみてください。どうなっていますか？

何も対策していなければ
「http://サイトのURL/ユーザー名」
が表示されていませんか？

WordPressは汎用のサイト作成ツールですから、ログイン用のURLが「http://サイトのURL/wp-admin」が管理画面、そこにアクセスしてみてログイン画面にリダイレクトされればWordpressで作ったサイトであることが簡単に分かってしまいます。

そしてWordpressは標準の状態だと「ユーザー名」と「パスワード」の２つの要素でログインできるようになっていますから・・・

ログイン画面が分かっている
ユーザー名が分かっている

という状態になり、残る砦はパスワードだけという状態になってしまいます。非常に危険な状態です。

これを回避するために統合的なセキュリティプラグインが配布されていますが、それらは管理画面などバックエンドのURLを書き換えたりするものが多く、セキュリティ上は安全になったとしても、何かの不具合でこのプラグインが壊れたり、設定を誤ったりすると全くログインできなくなったり、元に戻せなくなったりすることがあります（私自身も経験があります）。

こうしたトラブルを防ぐためにはより簡単かつ安全な対策を行う必要があります。「Edit Author Slug」は単純にフロントエンドでのユーザー投稿一覧で表示されるURLを任意のものに変更し、ユーザー名の類推を防ぐことができるプラグインです。