外部アプリからWordPressを操作する入口と、ログインに何度も失敗した接続の制限を設定します。使っているアプリを確認してから変更します。
こんなときに使います
たとえば：外部投稿アプリを使っていないので、不要な接続の入口を減らしたい。
アプリの利用状況に合わせてXML-RPCの動作を決めます。ログイン失敗の検知と、実際に遮断する設定は別です。
操作する画面の開き方
WordPress管理画面の「OptiB」を開き、管理パネルの「セキュリティ・認証」→「セキュリティ」→「セキュリティ設定」へ進みます。
必要な入口は残す
連携アプリやサイトが動くか確認する
XML-RPCとは？
XML-RPCは、外部の投稿アプリなどがWordPressを操作するための通信方法です。玄関とは別の「アプリ用の入口」と考えるとわかりやすくなります。不要なら閉じられますが、使っているアプリがこの入口を必要としている場合は閉じないでください。
3つの設定の選び方
- 「有効」：XML-RPCを使う機能を利用できます。必要なアプリがある場合に、そのアプリの条件を確認して選びます。
- 「無効」：この入口を閉じます。XML-RPCを使う連携は動かなくなります。
- 「Pingbackのみ無効」：入口は残し、ほかの記事からリンクされたことを知らせる「Pingback」という機能だけ止めます。初期設定はこの状態です。
設定する手順
- 投稿アプリやJetpackなど、外部と連携するサービスを確認します。
- 現在の設定をメモして、OptiBの「XML-RPC設定」を開きます。
- 必要な連携に合わせてモードを選び、保存します。
- 連携アプリから、普段行っている操作ができるか確認します。動かなくなった場合は、変更前の設定へ戻して調べます。
何度もログインに失敗した接続を止める
「ロックアウト」は、一定時間ログインできない状態にすることです。同じIPアドレスから15分以内に5回以上失敗した場合に制限します。IPアドレスとは、インターネット上の接続元を区別する番号です。同じ会社や家庭の人が同じ番号を使うこともあります。
制限する時間は初期設定で15分です。設定できる範囲は5分〜24時間です。本人の入力間違いでも対象になるため、長くしすぎないように考えて設定します。
「検知」と「遮断」は違います
「ブルートフォース検知」は、パスワードを何度も試すようなログイン失敗を見つけて記録する機能です。記録するだけではログインを止めません。実際に止める役割は「ロックアウト」が担います。
検知の回数は5〜100回の範囲で設定でき、初期値は20回です。記録はアクティビティログで確認できます。
利用者が間違って制限されたら
設定した時間が過ぎると、自動で制限が解除されます。管理者はロックアウト状況の一覧から手動解除もできます。解除する前に、本人の接続かどうかを確認してください。
変更前に知っておくこと
XML-RPCの設定は、REST APIという別の通信方法には影響しません。外部アプリを使っているという理由だけで判断せず、そのアプリがどちらを使うのか確認しましょう。