WordPress の基本認証を使用した安全な REST API ガイド
概要
WordPressのREST APIの基本認証 WordPressエンドポイントへのアクセスを保護するため、ユーザー名とパスワード、またはクライアント認証情報から生成されたトークンを使用してAPIリクエストを検証します。この認証方法は、Webサービスとのやり取り時にユーザーの身元を確認し、承認されたユーザーのみがWordPressのREST APIにアクセスできるようにします。
WordPressでREST APIを保護するために、基本認証を実装するにはどうすればよいですか?
WordPressのBasic Authプラグインは、基本認証を使用してREST APIのセキュリティを強化します。この方法では、すべてのAPIリクエストで認証情報(ユーザー名またはメールアドレスとパスワード)がbase64エンコードされて送信されるため、WordPressサイトと外部アプリケーション間の安全な通信が保証されます。
WordPress用REST API認証プラグイン

WordPress用REST API認証プラグインは、WordPressのREST APIへの不正アクセスからセキュリティを提供します。このプラグインは、基本認証、APIキー認証、OAuth 2.0認証、JWT認証など、複数の認証方法に対応しています。
詳細を見るWordPress の REST API の基本認証を設定する方法を教えてください。
WP API Basic Authを設定するには、 WordPress用REST API認証プラグインこのプラグインを使用すると、WordPress の REST API が、安全なアクセスを実現するための基本認証情報を受け入れることができます。
ステップバイステップガイド:
- ステップ1: プラグインをインストールする WordPressプラグインリポジトリで「REST API Authentication for WP」を検索してインストールしてください。このプラグインにより、サイトでREST APIの基本認証が有効になります。
- ステップ2:プラグインを有効化する インストールが完了したら、WordPressダッシュボードの「プラグイン」→「インストール済みプラグイン」に移動し、REST API認証プラグインの横にある「有効化」をクリックしてプラグインを有効化してください。
- ステップ3: 認証を構成する プラグインの設定を開き、手順に従ってREST APIの基本認証を設定してください。プラグインの設定ページに移動して、認証方法を設定します。
ユースケース:WordPressのREST APIエンドポイントのセキュリティを基本認証で強化するにはどうすればよいか?
1. WordPress用REST APIとの安全なやり取りにユーザー名とパスワードを使用する
ユーザーが自身のフィードやブログを投稿できるAndroidまたはiOSアプリを開発する場合、WordPressのREST APIとの安全で認証されたやり取りを確保することが非常に重要です。
ユーザー認証を安全に管理する方法:
- WordPressで基本認証を使用する: WordPress REST API に、ユーザー名とパスワードを使用した基本認証を実装してください。この方法により、アプリ経由で行われるリクエストが安全に認証されることが保証されます。
- ユーザーリクエストを認証する: ユーザーがアプリにログインすると、セッションが作成され、ユーザーの認証情報が暗号化された形式でBasic Authorizationヘッダー内に送信されます。
- 権限の管理: ユーザーのWordPress権限に基づいて、REST APIはユーザーが実行できる操作とアクセスできるコンテンツを決定します。これにより、ユーザーの権限を制御し、WordPressサイトとの安全なやり取りを維持することができます。
WordPressの基本認証をユーザー認証情報と併用することで、各ユーザーの操作が適切に認証および承認されることが保証され、ユーザー生成コンテンツのための安全な環境が提供されます。
2. WordPress の REST API との安全なやり取りにクライアント認証情報を使用する
AndroidまたはiOSアプリがあり、REST APIを介してWordPressコンテンツとやり取りする必要がある場合、サイトを不正アクセスから保護することが不可欠です。リスクを伴う可能性があるため、WordPressのユーザー認証情報を直接使用するのではなく、クライアント認証情報を使用したWordPressの基本認証を選択することをお勧めします。
クライアント資格情報を安全に使用する方法は次のとおりです。
- クライアントIDとクライアントシークレットを取得します。 WordPress ユーザーの資格情報を公開する代わりに、アプリのクライアント ID とクライアント シークレットを生成します。
- 安全なリクエストを送信: API リクエストを行うときは、クライアント ID とクライアント シークレットを含めます。これらの資格情報は、Basic Authorization ヘッダー内で暗号化された形式で送信されます。
- 検証とアクセス: WordPress用REST APIは、リクエストを受信すると、クライアント認証情報を検証します。検証が成功すると、サイトのセキュリティを維持しながら、必要なAPIエンドポイントにアクセスできるようになります。
クライアント資格情報を使用すると、アプリが WordPress サイトと効率的にやり取りできるようにしながら、WordPress ユーザー情報が保護された状態を維持できます。
WordPress の REST API 基本認証の設定手順
- Free
- プレミアムサーマルバッグ
プログラミング言語のコードサンプル
- ユーザー名パスワード
- クライアント認証情報
郵便配達員のサンプル:
- 以下を行うには、 郵便配達員のサンプル プラグインのタブ。
- 次に、Basic Authentication Postman Samples カードの上にマウスを置きます。
- ダウンロードしたものをインポートする JSONファイル 以下に示すように、Postman アプリケーションに入力します。
- jsonファイルをインポートしたら、最後の図に示すように、コレクションの下のREST APIリクエストをクリックします。 Wordpress ドメインを使用して、 http://<wp_base_url>/wp-json/wp/v2/posts そして、 Base64エンコード ヘッダーにはベースエンコードされた値が含まれます。
- ダウンロードしたものをインポートする JSONファイル 以下に示すように、Postman アプリケーションに入力します。
- jsonファイルをインポートしたら、最後の図に示すように、コレクションの下のREST APIリクエストをクリックします。 Wordpress ドメインを使用して、 http://<wp_base_url>/wp-json/wp/v2/posts そして、 Base64エンコード ヘッダーにはベースエンコードされた値が含まれます。
Postman を使用して REST API リクエストを作成するには、次の手順に従います。
例:
ユーザー名: testuser、パスワード: password@123 の場合、base64 でエンコードされた値は 'dGVzdHVzZXI6cGFzc3dvcmRAMTIz' になります。
機能説明
1. ロールベースの REST API の制限:
この機能は、ユーザーの役割に基づいてWordPressのREST APIへのアクセスを制限します。特定のREST APIリソースへのアクセスを許可する役割を、許可リストに登録できます。REST APIリクエストが行われると、ユーザーの役割がチェックされ、許可リストに登録されている役割の場合にのみアクセスが許可されます。
WordPress でロールベースの REST API 制限を構成する方法は?
- プラグインへ移動 詳細設定 タブには何も表示されないことに注意してください。
- 役割ベースの制限 セクションでは、すべてのロールがデフォルトで API にアクセスできるようになります。
- API へのアクセスを制限するロールの横にあるチェックボックスを有効にします。
- 上記の画像では、サブスクライバー ロールのチェックボックスが有効になっています。そのため、サブスクライバー ロールを持つユーザーが API リクエストを行うたびに、そのユーザーは要求されたリソースにアクセスできなくなります。
注意: ロールベースの制限機能は、Basic 認証 (ユーザー名: パスワード)、JWT 方式、OAuth 2.0 (パスワード付与) に有効です。
2. カスタムヘッダー:
カスタムヘッダー機能を使用すると、デフォルトの「Authorization」ヘッダーの代わりにカスタムヘッダーを使用できます。これにより、REST APIは定義済みのカスタムヘッダー名を持つリクエストのみを受け入れるため、セキュリティが強化されます。デフォルトの「Authorization」ヘッダーを使用してリクエストを送信しようとすると、アクセスは拒否されます。
WordPressのREST API認証でカスタムヘッダーを設定する方法は?
- プラグインへ移動 詳細設定 タブには何も表示されないことに注意してください。
- カスタムヘッダー セクションで、テキストボックスに希望するヘッダー名を入力します。
- 変更を保存して、API リクエストに新しいカスタム ヘッダーを適用します。
3. REST API を除外します。
「REST APIの除外」機能を使用すると、特定のREST APIエンドポイントへの認証なしのアクセスを許可できます。除外されたAPIは公開され、トークンやログインを必要とせずにアクセスできるようになります。
JWT 認証で除外される REST API を構成するにはどうすればよいでしょうか?
- プラグインへ移動 詳細設定 タブには何も表示されないことに注意してください。
- REST APIを除外する セクションで、必要な形式で API エンドポイントを入力します。
- 入力された API は認証から除外され、パブリックアクセスが可能になります。
-
例: REST API を除外するとします。
「/wp-json/wp/v2/posts」の場合は、テキストボックスに「/wp/v2/posts」と入力する必要があります。
4. HMAC を使用してトークンの高度な暗号化を有効にします。
この機能は、基本認証方式で利用できます。デフォルトでは、トークンはBase64エンコードで暗号化されますが、詳細オプションを使用すると、トークンにHMAC暗号化を適用できます。HMACは、より高いレベルのセキュリティを提供し、APIリクエストを改ざんや不正アクセスから強力に保護します。
WordPressの基本認証でトークンのHMAC暗号化を設定する方法は?
- プラグインへ移動 詳細設定 タブをクリックして開きます トークン暗号化方式 のセクションから無料でダウンロードできます。
- 選択 HMAC Base64 の代わりに、変更を保存してすべてのトークンに安全な暗号化を適用します。
よくある質問(FAQ)
WordPressの基本認証は安全ですか?
デフォルトでは、基本認証はBase64エンコードを使用しますが、これは完全に安全とは言えません。しかし、弊社のようなプラグインを使用すれば、高度なHMAC暗号化を有効にできるため、トークンのセキュリティが向上し、本番環境での使用に適したものになります。
JWT の代わりに Basic 認証を使用する必要があるのはどのような場合ですか?
基本認証は、シンプルさが重要なテスト、開発、または小規模なアプリケーションに最適です。トークンベースのセッションと拡張性を必要とする大規模なアプリケーションには、JWTが推奨されます。
モバイルアプリ(Android/iOS)で基本認証を使用できますか?
はい。モバイルアプリでは、基本認証をユーザー認証情報またはクライアント認証情報と組み合わせて使用することで、APIリクエストを安全に検証できます。
基本認証を無効にするとどうなりますか?
無効にすると、REST APIエンドポイントは基本認証によるリクエストの検証を行わなくなります。これにより、APIが不正アクセスに対して脆弱になる可能性があるため、認証は常に有効にしておくことをお勧めします。
ユーザーロールに基づいて API アクセスを制限するにはどうすればよいですか?
ロールベースの制限機能を使用すると、WordPressのどのロールに対してREST APIエンドポイントへのアクセスを許可または拒否するかを指定できます。
関連記事
プラグインのデモをリクエストする
フル機能のトライアル版を入手
ご返信ありがとうございます。すぐにご返信させていただきます。
何か問題が発生しました。 もう一度質問を送信してください

お困りですか?
メールでお問い合わせください apisupport@xecurify.com お客様のご要望について迅速なガイダンス(電子メール/会議経由)をご提供し、当社のチームがお客様のご要望に応じて最適なソリューション/プランの選択をお手伝いします。
