WordPress バージョン5.6以降、デフォルトでマウントされています アプリケーションパスワード（Application Passwords） 機能は、外部アプリケーションまたはAIツールがREST APIを介してサイトにアクセスできるようにする認証手段です。活用度が高い機能ですが、デフォルト設定のままにすると外部アプリに管理者レベルのフル権限が付与され、投稿、プラグイン、テーマ、ユーザーまですべてを制御できる状態になります。
REST API 連動やAIツールを全く使わない一般ブログなら、この機能を有効にしておく理由はありません。むしろ無効にしないと、攻撃者が信頼できるアプリを偽装して権限を奪取したり、SSLが適用されていない環境でパスワードが公開される危険性があります。この記事では、アプリケーションパスワードの役割とセキュリティの脅威、およびこの機能を無効にする方法について説明します。
アプリケーションパスワードとは？
アプリケーションパスワードは外部アプリケーションです WordPress サイトに特定の権限を要求できるようにする個別の認証手段です。管理者ユーザーのログインパスワードを共有しなくても、外部アプリはREST APIを介してユーザーの代わりに操作を実行できます。
一般ログインパスワードとの違い
| 区分 | 一般ログインパスワード | アプリケーションパスワード |
|---|---|---|
| 用途 | 管理画面直接ログイン | REST API 外部認証 |
| 管理画面へのアクセス | 可能 | 不可能 |
| 個々の削除 | 不可 | それぞれ独立削除可能 |
| 発行数 | 1개 | 複数発行可能 |
アプリケーションパスワード（アプリケーションパスワード）は WordPress 管理者ページ » ユーザー » プロフィール 画面下部の「アプリケーションパスワード」セクションで作成できます。
新しいアプリケーションパスワード名に名前を入力してボタンをクリックすると、xxxx xxxx xxxx xxxx xxxx xxxx形式のパスワードが発行されます。
私は見てみると、あるサイトで数年前にPC用自動投稿プログラムテストのためにアプリケーションパスワードが設定されていることを発見して削除（廃棄）しました。 😀
アプリケーションパスワードが必要な場合
REST APIを利用する外部連携がある場合は、アプリケーションパスワードが必要です。代表的なユースケースは次のとおりです。
- AI自動投稿アプリ（プログラム） - チャットGPT APIで生成された投稿をPythonなどに自動的にアップロードしたい場合
- AIツール連動 - WordPress MCPアダプター, MCP for WordPress などAIエージェント接続時
- 自動化サービス — Zapier、Make(Integromat)など外部自動化ツール連動時
- ヘッドレス WordPress - Next.jsなど別のフロントエンドと接続するとき
- WordPress 公式アプリ — モバイル・デスクトップアプリでサイトを管理するとき
上記のケースに該当しない一般的なブログやサイトであれば、アプリケーションパスワードは必要ありません。
アプリケーションパスワードを無効にする理由
アプリケーションパスワードは外部アプリケーションまたはツールです WordPress アカウントへのアクセスに使用する固有の認証手段で、発行したアカウントの権限をそのまま継承します。外部連携が不要なサイトであれば、未使用の機能を開いておく理由がないので、この機能を無効にして不要な攻撃経路を事前にブロックすることが望ましいです。
1. デフォルトでは、管理者全体の権限が付与されています
アプリケーションパスワードは、発行したアカウントの権限をそのまま継承します。管理者アカウントで発行すると、投稿やプラグインなどすべてのアイテムを削除する権限が外部アプリになります。この状態でパスワードが漏洩すると、サイト全体が危険にさらされます。
2. 詐称攻撃に脆弱
攻撃者が信頼できるブランド名を偽装したアプリケーションを作成し、管理者をだまして権限を付与するように誘導する可能性があります。権限が付与されると、サイトコンテンツの変更やデータ消臭が可能になります。
3. SSL未適用環境のパスワード公開
SSL証明書が適用されていないサイトでは、サイトと外部アプリ間のネットワーク区間でパスワードが平文で公開される危険性があります。
幸い、最近ではほとんどのWebホスティングでSSL証明書を無料で提供しています。 Cafe24を使用している場合、 ニューマネージド WordPress（またはマジニード WordPress）ホスティングを使用すると、無料のSSLセキュリティサーバー証明書をインストールできます。 クラウドウェイズ 他のほとんどの海外ホスティングは、昔から無料のLet's Encrypt SSL証明書を提供してきました。
4. 使用しない機能は無効にすることが望ましい
セキュリティの基本原則は、不要なアクセスパスを最小限に抑えることです。 API連携を使用していない場合は、この機能自体を無効にすることが最も確実な防御策です。
アプリケーションパスワードを無効にする方法
さまざまな方法でアプリケーションパスワードを無効にできます。
方法1 - プラグインを使用して無効にする
簡単な方法で、プラグインを使用することができます。
セキュリティプラグインであるWordfenceを使用している場合 Wordfence » ファイアウォール » 追加オプション セクションで "WordPress アプリケーションパスワードを無効にするをチェックしてこの機能を無効にすることができます。
ワードフェンス設定を保存すると、 「アプリケーションパスワード」に「使用しない - WordPressでパスワードを無効にしました」 案内フレーズが表示されます。
ワードフェンスなど、機能の多いセキュリティプラグインは重いためサイトの速度が遅くなる可能性がありますが、セキュリティが重要な場合はインストールを検討することができます。私は過度の悪意のあるIPアクセス攻撃を防御するためにWordFenceをインストールしました。
Wordfenceがインストールされていない場合 Disable Application Passwordsプラグインをインストールできます。
このプラグインは2,000個を少し超えるサイトにインストールして有効になっており、インストールして有効にすればよいです。プラグインの説明を見るとコード一行だけなので軽いそうです。
方法2 - コードで無効にする
チャイルドテーマの関数ファイル（functions.php）に次の1行を追加すると、アプリケーションパスワードが無効になります。
add_filter( 'wp_is_application_passwords_available', '__return_false' );
プラグインを使用したくない場合は、この方法を使用できます。 （Wordfenceセキュリティプラグインを使用している場合は、WordFenceの機能を使用すると、面倒にFTPに接続してコードを追加する必要はありません。）
よくある質問（FAQ）
Q1 WordPress アプリケーションパスワードは通常のログインパスワードとどのように異なりますか？
一般ログインパスワードは管理者（ダッシュボード）画面に直接アクセスするために使用されますが、アプリケーションパスワードは外部アプリまたはプログラムがREST APIを介してサイトにアクセスするときにのみ使用する個別の認証手段です。流出しても管理画面のログインには使用できず、いつでも特定のパスワードのみを選択的に削除（破棄）できます。
Q2.アプリケーションパスワードを無効にするとサイトの機能に問題はありませんか？
REST API を使用する外部サービスを使用していない場合、無効にしてもサイトに影響はありません。ただし、JetpackのようにREST API認証を内部的に使用するプラグインがある場合、その機能が中断されることがありますので、あらかじめご確認ください。
Q3. AI自動投稿プログラムを使用するときに管理者アカウントとして発行できますか？
それはお勧めできません。管理者アカウントで発行すると、投稿だけでなくプラグイン・テーマ・ユーザー削除など、すべての権限が外部プログラムに開かれます。投稿をすぐに発行する自動投稿であれば、作成者（Author）ロールの専用アカウントを、発行前レビューが必要な構造であれば、寄稿者（Contributor; 外部寄稿者）ロールの専用アカウントでアプリケーションパスワードを発行する方がセキュリティ上より安全です。役割に付与された権限が少ないほど、パスワードが漏洩しても被害範囲を最小化できる大文です。
Q4.アプリケーションパスワードが漏洩した場合はどうすればよいですか？
WordPress 管理者画面で ユーザー » プロフィールに移動すると、発行されたパスワードのリストが表示されます。流出が疑われるパスワード右側 Revoke（廃棄） ボタンをクリックすると、対応するパスワードが削除され無効になります。
Q5. Wordfenceなどのセキュリティプラグインを使用している場合は、個別に無効にする必要はありませんか？
Wordfenceなどの主要なセキュリティプラグインでアプリケーションパスワードを無効にする機能を提供することがよくあります。ワードフェンスの場合、上記のように Wordfence » ファイアウォール » 追加オプション 部分で "WordPress アプリケーションパスワードを無効にする オプションを確認できます。
コメントを残す