グーグルreCAPTCHAで WordPress 会員登録、ログインページのセキュリティ強化する

WordPress サイトで会員登録機能を有効にする場合は、スパム会員が加入している場合があります。 このような場合、Google reCAPTCHAを適用すると、スパム会員登録が目に見えて減少されます。

WordPressにGoogle reCAPTCHAを追加できるいくつかのプラグインがあります。 この記事では、無料のプラグインであるGoogle Captcha（reCAPTCHA）by BestWebSoftについて簡単に見てみましょう。 他にもLogin No Captcha reCAPTCHAなどのプラグインがあります。

Google Captcha (reCAPTCHA) by BestWebSoftプラグイン

BestWebSoftの Google Captcha（reCAPTCHA） プラグインを使用すると、 WordPress ログイン、会員登録、パスワードリセット（初期化）ページとコメントフォーム、そして BestWebSoftで販売するContact FormなどのプラグインにGoogle reCaptchaを追加できます。 このプラグインは現在20万以上のサイトにインストールされ使用されています。

このプラグインをインストールすると、 Google Captchaという項目が左側のメニューに表示されます。 Google Captchaをクリックすると、設定ページが表示されます。

「Register your website with Google to get required API keys and enter them below. Get the API Keys」の「Get the API Keys」リンクをクリックして、Google reCAPTCHA 用のサイトキー（Site Key）と秘密キー（Secret Key）を作成します。してください。

Google reCAPTCHA管理コンソール（https://www.google.com/recaptcha/admin#list）サイトで新しいサイトを登録します。

reCAPTCHA タイプとして reCAPTCHA v3 と reCAPTCHA v2 から選択できます。 私はreCAPTCHA v2を選択し、「表示されていないreCAPCHAバッジ」を選択してみました。 ドメインにドメインを入力して「+」を押すと、ドメインが登録されます。 条件に同意して保存すると、サイトキーと秘密キー（シークレットキー）が生成されます。

サイトキーと秘密キーをコピーして、Google Captcha Settingsページに貼り付けます。

Site KeyとSecret Keyフィールドにサイトキーと秘密キーを入力して、 Enable reCAPTCHA forで、「セキュリティ文字」を表示するページを選択します。 次のフォームを選択できます。

• Login form（ログインフォーム）
• Registration form（登録フォーム）
• Reset password form（パスワードの初期化フォーム）
• Comments form（コメントフォーム）

設定を保存した後、ログインページなどを見てみると、Google reCAPTCHAが表示されていることを確認することができます。

一部のサイトのGoogle reCAPTCHAでは、車や動物の絵があるブロックをクリックするようにして非常に面倒な場合がありますが、このプラグインを使ってGoogle reCAPTCHAを追加する場合、「I'm not a robot」をクリックするとすぐに認証されて面倒これは少ないようです。

このプラグインの Misc（その他） 設定では、プラグインの使用を追跡するためのオプションが提供されます。

Track Usageを選択すると、匿名でのプラグインの使用を追跡することができるようにします。 Proのオプションが表示されないようにするには、 Pro Optionsのチェック欄を無効にするようにします。

最後に、

WordPressで会員登録が可能になると、ボットによる会員登録の試みが増えます。 Google Captcha (reCAPTCHA) by BestWebSoftなどのプラグインを使用すると、スパムボットのメンバーシップとログインの試みを大幅に減らすことができます。

サイトに登録可能が必要ない場合会員登録機能を無効にしてください。 会員登録を許可しない場合は WordPress 伝言板>設定>一般>メンバーシップで「誰でも参加できます」のチェックを外すだけです。

そしてサイトにログインしているコンピュータのIPアドレスは、いくつかのされていない場合、このサイトのように、ログインページにアクセス自体を遮断することも可能です。 訪問者がログインページにアクセスできないようにwp-login.phpページへのアクセスをブロックするには、次のコードを.htaccessファイルに追加します。

<Files wp-login.php>
Order Deny,Allow
Deny from All
Allow from xxx.xxx.xx.xxx
</Files>

ここでxxx.xxx.xx.xxxは、ログインページにアクセスを許可するIPアドレスです。

メモ：

• WordPress ログインセキュリティプラグイン - Wordfence Login Security
• Contact Form 7 / QuformでreCAPTCHAを使用する