WordPressでメールによる2段階認証ログインを行うプラグイン「Spirits and Goblins」

公開日:2017年1月25日 セキュリティ
Knowledge Base Wordpress セキュリティ
え??このサイトもWordpressなの?という位世界中で使われているWordpress。比較的導入も簡単、カスタマイズもしやすいツール、しかも本体や追加機能であるプラグインなども無料で使えることから人気のあるCMSなのですが、導入されることが多いからこそ懸念されるのがログインセキュリティ。

裏を返せば汎用のツールなのでログインする際のURLも簡単に判別でき、いろいろなところからユーザー名は類推できてしまう、残るセキュリティはパスワードのみというのがWordpressの泣き所でもあります。

とはいえ、たくさんリリースされているセキュリティプラグインの中にはログインURLを変更してしまうというものもあり、何等かの不具合でプラグインが機能しなくなったときにはログイン画面すら表示できない=ログインできなくなるということが起こる可能性があり、自身でもこのケースを経験していることから個人的にはおすすめしません。

とはいえ何もしないわけにはいかない・・・を解消するのが今回紹介する「Spirits and Goblins」です。

WordPressでログインセキュリティを確保するために必要なことは

  1. ユーザー名やパスワード容易に類推されないようにすること
  2. ユーザー名とパスワード以外のログインセキュリティ機能を設けること
  3. 生きたユーザーのみを残していくこと

の3つだと思います。今回紹介する「Spirits and Goblins」以外にもセキュリティ確保のためのプラグインは多数ありますので、このページの文末で紹介していきます。

「Spirits and Goblins」はメールによる2段階認証機能を追加することで上記項目の2と3とを両立させるログインセキュリティプラグインです

2段階認証を行うには通常Googleの提供する「Google Authenticator」という機能を使うのですが、このプラグインは「Google Authenticator」なしで使えるところが魅力です。

2年以上前にリリースされたプラグインですが、サイトでテストしたところWordpressのバージョン4.7.1で問題なく動作しました。

【Spirits and Goblins】プラグインの基本的な機能・できること

  1. 従来のユーザー名とパスワードによる認証+メールで送信するワンタイムパスワードを入力させることでセキュリティを確保する
  2. ワンタイムパスワードをメールで送信することで、ログインの度に現在使用しているメールアドレスなのかの確認ができる
  3. 独自apiに登録することでショートメールによる認証も可能
この記事の内容について
このプラグイン紹介記事は簡易的に動作テストをした上で紹介していますが以下の点にご注意願います
  1. すべての環境で動作するとは限りません
  2. できる限り最新のバージョンの情報を紹介するようにしておりますが、閲覧される時期によってはバージョンが変わり、仕様が大きく変更されている場合があります
  3. 有料版と無料版がある場合、テストは原則無料版のみで実施しています
  4. テスト環境については本文中に記載しています
  5. 使用方法で紹介しているショートコードやコードなどをコピーして使用すると、環境によっては記号などが文字化けすることがあります。コピーしたのに動作しない場合は特に「”」「’」などの記号を入力し直してみてください。

WordPressでログインやログイン失敗の履歴を一覧で確認できるプラグイン「Crazy Bone」

WordPressでコメントやログイン画面などにrecaptcha機能を追加するプラグイン「Are you robot? google recaptcha for wordpress」

WordPressで計算方式の認証を追加して不正ログインやスパムコメントなどを防止するプラグイン「Math Captcha」


【Spirits and Goblins】プラグインの設定画面や表示の日本語化と翻訳

このプラグインはもともと日本語翻訳ファイルが存在していたのですが、表示される文言が直訳的でしたので翻訳しなおしました。

変更した点は

  1. ワンタイムパスワードの送信メールタイトル
  2. 【「サイト名」ワンタイムパスワード】となっていたものを【「サイト名」へログインするためのワンタイムパスワード】へ変更

  3. ワンタイムパスワード入力画面のテキスト
  4. 【ワンタイムパスワード】となっていたものを【登録されているメールアドレス宛にお送りしたワンタイムパスワードを入力してください】へ変更

です。こうすることで、メールの件名も分かりやすくなり、何の説明文もないワンタイムパスワード入力画面について誰が見ても分かるようになったのではないかと思います。

翻訳ファイルは

からダウンロードできます(ダウンロードの方法や日本語の適用方法なども解説しています)

※ダウンロードした翻訳ファイルを適用するには「Spirits and Goblins」プラグインフォルダの「languages」フォルダにある「spirits-and-goblins-ja.po」と「spirits-and-goblins-ja.mo」へ上書きする必要があります。

また、プラグインが更新された際などに翻訳ファイルが上書きされてしまわないためには一旦「Spirits and Goblins」プラグインフォルダの「languages」フォルダにある「spirits-and-goblins-ja.po」と「spirits-and-goblins-ja.mo」を削除し、Wordpressのインストールフォルダ上にある「languages」内の「plugins」フォルダへダウンロードして解凍した「spirits-and-goblins-ja.po」と「spirits-and-goblins-ja.mo」2つのファイルをアップロードしてください

翻訳することで設定が容易になり、重要な項目の設定漏れも少なくなりますから日本語化をお勧めします。

【Spirits and Goblins】プラグインのインストールと設定

インストール方法

インストールはプラグインの新規追加でプラグイン名で検索してインストールするか、ページ先頭の画像をクリックして表示されるWordpressのプラグイン公式配布ページがダウンロードしてからアップロードインストールします。

インストール方法の詳しい解説は

を参照ください

ダッシュボードから「設定」→「Spirits and Goblins (魍魎)」を開いて設定します

設定項目は

  1. ワンタイムパスワードの長さ
  2. ワンタイムパスワードの有効期間 (秒)
  3. 送信オプション

です。特に変更することはないと思います。

また、送信オプションとしてショートメールでの送信もできるようですが、apiの登録などが面倒ですし、何よりユーザー情報として携帯電話番号を入手する必要がありますからあまり実用としてはおすすめしません。

せっかくGoogle Authenticatorを使わずに2段階認証を実装できるのですから、煩わしい設定はパスしましょう

【Spirits and Goblins】プラグインの基本的な使い方

  1. 通常のログイン画面上でいつも通りユーザー名とパスワードでログインする
  2. 1と同時にユーザー登録されているメールアドレス宛にワンタイムパスワードが送信される
  3. ちなみに実際に送信されたメールはこちら
    WordPressでメールによる2段階認証ログインを行うプラグイン「Spirits and Goblins」

  4. 下の画面へ受信したメールに書かれているワンタイムパスワードをコピペ
  5. メールに書かれているパスワードを単純にコピペする
    WordPressでメールによる2段階認証ログインを行うプラグイン「Spirits and Goblins」

  6. ログイン成功!!

【Spirits and Goblins】プラグインの便利な使い方・カスタマイズ方法など

より便利に使うカスタマイズ技やテストサイトで使用した結果や感想、Wordpressのプラグイン公式配布ページには書かれていない事柄などを紹介します。

管理者がログインできなくなってしまったときは

ちょっと意地悪に、管理者自体が何らかの理由でワンタイムパスワードのメールを受け取れなくなってしまったときにはどうしたらいいか?というのをテストしました。いくらセキュリティが高いと言えど、どうにもならなくなったら困りますからね。

こんなときは、プラグインに不具合が発生したときのお決まり作業
「FTPでプラグインフォルダを削除してしまう」
で解消できました。

ユーザーごとにワンタイムパスワードを使うか否かを選択できたらもっといいのに・・・と私的に思いましたが、ワンタイムパスワードを使わないようにしたいのは管理者で、この管理者こそ不正ログインされたら困るわけですから、このままでいいんですね、きっと。

その他ログインセキュリティをアップする方法いろいろ

こちらにWordpressのログインセキュリティをアップする方法をまとめましたのでついでに見てみてください

Wordpressの本

Amazonの人気商品楽天市場の人気商品
【中古】 WordPressレッスンブック 2.8対応 ステップバイステップ形式でマスターできる /エビスコム【著】 【中古】afb

【中古】 WordPressレッスンブック 2.8対応 ステップバイステップ形式でマスターできる /エビスコム【著】 【中古】afb

108 円 (税込)
エビスコム【著】販売会社/発売会社:ソシム発売年月日:2009/09/18JAN:9784883376735//付属品〜CD−ROM1枚付
【送料無料】 WordPress標準デザイン講座20LESSONS WordPress5 / Gutenberg対応 / 野村圭 【本】

【送料無料】 WordPress標準デザイン講座20LESSONS WordPress5 / Gutenberg対応 / 野村圭 【本】

2,786 円 (税込) 送料込
基本情報ジャンル建築・理工フォーマット本出版社翔泳社発売日2019年06月ISBN9784798156514発売国日本サイズ・ページ303p 23×19cm関連キーワード 9784798156514 【FS_708-2】出荷目安の詳細はこちら>>楽天市場内検索 『在庫あり』表記について 
楽天ウェブサービスセンター CS Shop
ひまあーと(管理人)
  • 記事の作者: ひまあーと(管理人)

  • ☆最後までお読みいただきありがとうございました。記事作者のひまあーとです。
    ☆Wordpressでサイトをカスタマイズしていく上で有用な情報を配信しつつ、「ココナラ」でサイトカスタマイズのお手伝い、不具合の修復、サイト引っ越し代行などをさせていただいております。
    ☆Wordpressネタが多いですが、趣味の「園芸」「卓球」などの情報や日々の出来事などもどんどん増やしていきますのでよろしくお願いいたします。


いつでもご相談・サイトカスタマイズの依頼を受け付けています

Wordpressのカスタマイズ、不具合解消のご相談はすべてココナラのダイレクトメッセージからお受けしております。まずはこちらのバナーからお気軽にお問い合わせください。

※一度もココナラを使ったことがない方はココナラへの無料登録が必要です。こちらから登録後、上のリンクをクリックする、またはココナラトップページから「ひまあーと」を検索してお問い合わせください。


【スポンサーリンク】


記事の拡散にご協力をお願いします

閲覧いただきありがとうございました。役に立つ情報でしたら是非SNSでシェアをお願いします

関連情報