【WordPress】管理用と執筆用のアカウントを分けたほうが良いよねーという話

このたび、寺子屋雑記のライターが1名増えました。それに伴いWordPressに執筆用のユーザーを追加しました。そこでふと思いました。管理用のユーザーと執筆用のユーザーを分けたほうがよくないかと。

一般論
サーバーでもなんでもそうですが、管理用のユーザーと作業用のユーザーを分けることってよくあるんですよ。少し専門的な話になって申し訳ありませんが、この寺子屋雑記のWEBサーバーにも管理用のユーザーと作業用のユーザーがあり、最強の権限を持っている管理用のユーザーはSSHでの接続を禁止しております。というのも、管理用のユーザー(rootユーザー)は本当になんでもできるような権限が付与されています。そのため、ひとたび悪用されると凄まじい被害が出る可能性をはらんでいるからです。

それはなにもサーバーに限った話だけではなく、iPhoneなどの多くの人が使っているような機器でさえ、権限昇格の脆弱性(勝手に最強権限を持ったユーザーになれちゃう)が見つかりアップデートが提供されることがあります。

それだけ危険性のあるユーザーを普段使いするのってとても怖いのです。

アカウントを作ろう
そんなわけで執筆用のユーザーと管理用のユーザーに分けることにしました。寺子屋雑記では1名ライターが増えることもあり、私4Kと新人ライターの分で計2つのアカウントを作りました。

ですが、管理用兼執筆用ユーザーだったこともあり、今までのアカウントを管理者にしてしまうと新しいユーザーで記事を書いた際に、この記事は誰が書きましたという項目が別々になってしまいます。ですので、新しく管理者用のユーザーを作成し、今まで使っていたユーザーの権限を落とすという方法で4Kのアカウントの作業は終了。

あとは新人ライターの分のアカウントを作成し完了。新規の記事を作成してもらうことになるので、権限は投稿者です。

セキュリティはしっかりと
WordPressでは何にも設定していない場合、標準でこの記事は誰が書いたかというユーザー名を表示してくれる機能が有効になっています。そのユーザー名というのがログイン用のユーザー名と同じであるため、何にも策を講じていない場合、ブルートフォースアタックの餌食になってしまうことが考えられます。

ですので、管理用のユーザーIDは外部へ一切漏らさないことが望ましいです。さらに言えば、管理用ユーザーにはワンタイムパスワード等の強固なセキュリティ機能を設定しておくことが好ましいです。

WordPressの場合は、無料でGoogleのワンタイムパスワード生成アプリと連携させられるプラグインがあるので、そういったものを使うと良いでしょう。

では記事の執筆用のユーザーはどうかのかというと、執筆用のユーザーには管理者ほどの権限がなく、ベースとなる部分を触ることができません。ですので管理用ユーザーにログインされるよりもマシではあるものの、最低限英数字記号を混ぜたパスワードにしておくとよいでしょうね…。ただ、セキュリティと可用性は相反するもので、強固にすればするほど使い勝手は落ちていくようなことも考えられます。ワンタイムパスワードのアプリをインストールしてログインする度に変動する6桁の数字入力するのってちょっと手間じゃんって思われる方もいるでしょう?

まとめ
執筆用のユーザーと管理用のユーザーは分けるのがベター
管理用のユーザーにはワンタイムパスワード等の強固なセキュリティ設定を

ただ、冒頭で説明したiPhoneの権限昇格の脆弱性のようなものがWordPressやプラグインで見つかる可能性もありますので、アップデートがある際には極力アップデートするよう心がけましょう。

以上、WordPressをご利用の方の参考になれば幸いです。