WordPressでIPアドレスをホワイトリストに登録する方法【初心者向けステップバイステップガイド】

IPアドレスのホワイトリスト登録とは、特定のIPアドレスだけにWordPressサイトへのアクセスを許可する手動のアクセス制御方法です。限られたユーザーのみが利用する非公開サイトを運営している場合や、セキュリティプラグインがサーバーのIPをブロックしてしまい、プラグインが正常に動作しなくなった場合などに必要になります。

特に、複数のセキュリティプラグインを併用しているサイトではこの問題が起きやすく、All In One Security、Sucuri、iThemes Securityなどのプラグイン同士が互いのサーバーIPをブロックし合い、手動でのホワイトリスト登録が必要になるケースがよく見られます。

WordPressでIPアドレスをホワイトリストに登録する方法はいくつかありますが、すべてが同じように効果的で便利というわけではありません。この記事では、代表的なホワイトリスト登録の方法を紹介するので、自分のサイトに合った方法を見つけてください。

要点まとめ:IPアドレスをホワイトリストに登録することで、WordPressサイトへのアクセスをコントロールできます。MalCareのようなプラグインを使えば簡単に登録でき、チームメンバーやクライアントにもアクセスを許可できます。ただし、ホワイトリストは手動の仕組みのため、トラフィックの多いサイトでは運用が煩雑になりがちです。悪意のあるトラフィックが心配な場合は、MalCareのような優れたWordPressファイアウォールを導入する方が効果的です。

WordPressにおける「IPアドレスのホワイトリスト登録」とは

WordPressでのIPアドレスのホワイトリスト登録には、主に2つの考え方があります。

• 公開サイトのファイアウォール設定の場合:最も一般的なケースです。公開されているWordPressサイトのファイアウォールが、悪意あるトラフィックと一緒に正常なトラフィックまでブロックしてしまうことがあります。これを解消するために、管理者はそのIPアドレスを「安全なIP」としてホワイトリストに登録します。
• 非公開サイトの場合:ユーザー数を限定したプライベートなWordPressサイトでは、すべてのトラフィックが遮断されており、ホワイトリストは「そもそもサイトにアクセスできる人のリスト」を意味します。招待者限定のイベントをイメージすると分かりやすいでしょう。イベントの存在は誰でも知っていても、招待状を持つ人だけが入場できます。

ホワイトリストとブラックリストの違い

ホワイトリストはブラックリストと混同されがちですが、どちらもアクセス制御の手法である点は同じでも、働き方は正反対です。ブラックリストは悪意のあるIPアドレスをブロックするために使われます。一方ホワイトリストは、サイトの一部が機密情報を含む場合や、ユーザーが何らかの理由でブロックされてしまった場合に、アクセスを許可するために使われます。

また、Webホスティング会社はサイトが停止された場合によくホワイトリストを活用します。マルウェアに感染したサイトは訪問者から隔離するために一時停止されますが、その際、サイト所有者のIPアドレスをホワイトリストに登録することで、所有者がサイトのクリーンアップや修復作業を行えるようにするのです。

「許可リスト(Allowlist)」とは

許可リスト(Allowlist)は、ホワイトリストの基礎となる概念であり、ほぼ同じ意味で使われることも多いです。許可リストとは、常にウェブサイトへのアクセスが許可されるIPアドレスの一覧のことです。違いは、許可リストが必ずしもブラックリストへの対応策や非公開サイトのためのものである必要がない点です。あらゆるウェブサイト、デバイス、メール受信箱に許可リストを設定できます。

例えば、メールボックスプロバイダーは、メールの内容に関わらず特定の差出人アドレスを受信できるよう、ユーザーに許可リスト機能を提供しています。

WordPressでIPアドレスをホワイトリストに登録する方法

IPアドレスのホワイトリスト登録にはいくつかの方法があります。自分のスキルレベル、時間的な制約、利便性に応じて、最適な方法を選びましょう。

方法A:プラグインを使ってホワイトリストに登録する

IPアドレスのホワイトリスト登録には、プラグインを使用する方法を強くおすすめします。プラグインなら人的ミスのリスクを大幅に減らせるからです。他の方法ではWordPressのコアファイルやサーバー設定を直接いじることになり、わずかなミスでもサイト全体がダウンしてしまう可能性があります。

そこで、ブロックされたIPをホワイトリストに登録する最も簡単な方法は、MalCareを使うことです。さらに、MalCareのファイアウォールは悪意のあるトラフィックも自動的にフィルタリングしてくれます。

MalCareでIPアドレスをホワイトリストに登録する手順は以下の通りです。

• MalCareのダッシュボードにログインし、「Security and Firewall(セキュリティとファイアウォール)」タブを開きます。

• 「Traffic Requests(トラフィックリクエスト)」という項目が表示されるので、「Show more(詳細を表示)」をクリックします。

• サイトにアクセスしたすべてのIPアドレスと、それらが許可されているかどうかが一覧表示されます。

• ホワイトリストに登録したいIPアドレスを見つけます。
• 編集アイコンにカーソルを合わせると、ホワイトリストオプションが表示されます。

• 「Add to whitelist(ホワイトリストに追加)」を選択すれば完了です!

これで、目的のIPアドレスのホワイトリスト登録が完了しました。MalCareのフィルター機能を使えば、IPアドレスの範囲指定や特定の国からのIPだけを選んで登録することも可能です。

注意:この方法で登録できるのは、WordPressサイトを実際に訪問し、MalCareのファイアウォールに記録されたIPアドレスです。まだ記録されていないIPアドレスやIP範囲を登録したい場合は、MalCareのサポートに問い合わせてください。

方法B:.htaccessファイルを使ってホワイトリストに登録する

.htaccessファイルを使ったIPアドレスの許可も可能ですが、この方法はおすすめしません。理由は以下の2点です。

• 特定のIPアドレスを手動で許可すると、指定したIP以外のすべてのトラフィックがブロックされる可能性があります。通常のトラフィックは残しつつ、一部のIPだけを追加で許可したい場合、この方法は明らかに不向きです。
• この方法ではWordPressのコアファイルに直接アクセスしてコードを挿入する必要があります。専門知識がないとミスを犯しやすく、.htaccessは重要なコアファイルなので、小さなミスでもサイトが壊れてしまう恐れがあります。

それでも手動で行いたい場合は、以下の手順に従ってください。WordPressファイルにアクセスするにはFTPクライアントが必要です。またはFile Managerのようなプラグインがあると便利です。

1. BlogVaultなどでサイトの完全バックアップを取得します。ホワイトリスト登録は地味な作業に見えますが、重要なコードを誤って削除・変更するとサイトが壊れることがあります。その際、完全なバックアップがあればサイトを復元できます。
2. サイトのダッシュボードからFile Managerを開き、public_htmlフォルダを選択します。ここに.htaccessファイルがあります。

3. .htaccessファイルをダウンロードし、パソコン上のNotepadなどのテキストエディタで開いて編集します。
4. 単一のIPアドレスを許可する場合は、.htaccessファイルに次のコードを追加します:
   
   order deny,allow
   allow from xxx.xxx.xxx.xxx
   
   「x」の部分を許可したいIPアドレスに置き換えてください。

5. 複数のIPアドレスを許可する場合は、「allow from」の行を追加していきます:
   
   order deny,allow
   allow from xxx.xxx.xxx.xxx
   allow from xxx.xxx.xxx.xxx

6. 特定のIPアドレスだけを許可し、他のすべてのトラフィックを除外したい場合は、denyコマンドを次のように追加します:
   
   order deny,allow
   deny from all
   allow from xxx.xxx.xxx.xxx
   allow from xxx.xxx.xxx.xxx
7. 特定のファイルへのアクセスを制限したい場合(wp-login.phpなどのWordPressコアファイルが典型)は、次のコードを.htaccessファイルに追加します:
   
   <Files wp-login.php>
   order deny,allow
   deny from all
   allow from xxx.xxx.xxx.xxx
   </Files>
   
   管理者は、ログインページに大量のリクエストを送り続けるブルートフォース攻撃を防ぐために、このようなアクセス制限をよく行います。XML-RPCへのアクセスを手動でブロックする場合も同じ方法を使います。
8. 元のファイルを削除した後、編集したファイルをサイトのpublic_htmlフォルダに再アップロードします。

お疲れさまでした!これでWordPressサイトへのIPアドレスの手動ホワイトリスト登録が完了しました。念のため、別のIPアドレスやシークレットウィンドウからサイトにアクセスし、正常に動作しているか確認しておきましょう。

WordPressでIPアドレスがホワイトリストに登録されているか確認する方法

特定のIPアドレスがホワイトリストに登録されているかどうかを確認するには、MalCareのようなプラグインを使う必要があります。まだインストールしていない場合は、まずダウンロードしてインストールしてください。その後、以下の手順に従います。

1. MalCareダッシュボードの「Security and Firewall」タブを開きます。
2. 「Traffic Requests」セクションの「Show more」ボタンを選択します。
3. トラフィックログ上部の「Filter logs」ボタンをクリックします。
4. Status欄で「allowed」を選択し、「apply」をクリックします。
5. サイトへのアクセスが許可されているすべてのIPアドレスが表示されます。

ただし、これはホワイトリスト登録済みのIPとは完全に一致しません。トラフィックログに表示されるのは、実際に訪問して許可されたIPだけだからです。特定のIPアドレスを検索して状態を確認することもできます。

WordPressでIPアドレスをホワイトリスト登録するメリット・デメリット

ホワイトリストはアクセス制御ツールの一種で、主にサイトへの訪問者を管理するために使われます。しかし他のツールと同様に、メリットとデメリットの両方があります。WordPressでIPアドレスをホワイトリスト登録する前に、その長所と短所を理解して、十分な情報に基づいた判断をしましょう。

メリット

• 非公開サイトの維持に役立ちます。サイトを限定されたメンバーだけのものにしたい場合に最適な方法です。
• ログインページやXML-RPCなど、サイトの機密性の高い領域へのアクセスを遮断できます。ホワイトリストによって、サイトのどの部分に誰がアクセスできるかを細かくコントロールできます。

デメリット

• 自宅のIPアドレスが頻繁に変わる場合や、複数の場所で仕事をする場合、自分自身がサイトにアクセスしにくくなります。アクセスするたびに新しいIPをホワイトリストに追加する必要があります。
• 複数の人やチームがサイトにアクセスする必要がある場合、新しい共同作業者が加わるたびに手動でアクセス権を付与しなければなりません。相手のIPが変われば、その都度対応が必要になり、手間が増えます。
• IPアドレスは動的で頻繁に変わるため、すべてのトラフィックをホワイトリストに限定すると、気づかないうちに自分自身のIPをブロックしてしまうことがあります。

WordPressでIPアドレスを安全にホワイトリスト登録するためのベストプラクティス

ホワイトリストはよく使われるツールですが、サイトのコードに手を加える作業を伴うため、常に安全に実施することが大切です。以下のポイントを守れば、安全にホワイトリスト登録を行えます。

• MalCareのようなプラグインを使って、プロセスを簡素化し安全にしましょう。MalCareならワンクリックでIPアドレスをホワイトリスト登録でき、サイトが壊れる心配もありません。
• サイトのアクセス制御の要件を理解しましょう。ホワイトリスト登録したIP以外のトラフィックを誤ってすべてブロックしたくない場合は、ブラックリスト方式を検討するか、さらに良い方法として、MalCareを使って悪意あるIPのブロックを自動化しましょう。
• .htaccessファイルでホワイトリスト登録を行う場合は、コードを追加・削除する前に必ずサイトのバックアップを取ってください。
• ホワイトリストに登録するIPアドレスが固定IPであることを確認しましょう。そうでないと、IPが変わったときにホワイトリストが機能しなくなります。

これらのプラクティスを実践すれば、サイトの安全性とパフォーマンスを最大限に保てます。

まとめ

IPホワイトリスト登録は、諸刃の剣とも言える機能です。誰がサイトを訪問できるか、どのIPがサイトの一部にアクセスできるかを完全にコントロールできるため、WordPress管理者にとって非常に便利です。プラグインのIPが原因で正常に動作しない問題が発生したときには、実装が必要になることもあります。

一方で、サイトのセキュリティを誤って損なわないよう、正しく実施することが重要です。WordPress管理者が自分のサイトから締め出されてしまい、復旧が非常に複雑になるケースも少なくありません。

この記事が、IPホワイトリストの概念を理解し、自信を持って実践するための一助となれば幸いです。ホワイトリストやアクセス制御についてさらに質問がある場合は、お気軽にお問い合わせください。

よくある質問(FAQ)

1. WordPressでIPアドレスをホワイトリストに登録するには?

WordPressでIPアドレスをホワイトリストに登録する主な方法は2つあります。プラグインを使う方法と、.htaccessファイルを編集する方法です。サイトへのアクセスをより細かくコントロールできるため、MalCareのようなプラグインを使う方がはるかに安全で確実です。

MalCareでIPアドレスをホワイトリストに登録する手順は以下の通りです。

• MalCareをインストールし、「Security and Firewall」タブを開きます。
• 「Traffic Requests」セクションを選択し、ホワイトリストに登録したいIPアドレスを見つけます。
• 編集アイコンにカーソルを合わせ、「Add to whitelist」をクリックします。

2. IPホワイトリスト登録とは何ですか?

IPホワイトリスト登録とは、サイトへの訪問者のアクセスを制御する手法です。IPホワイトリストを使えば、特定のIPアドレスにのみネットワークアクセスを許可し、サイト全体または一部への他のすべてのトラフィックをブロックできます。

3. WordPressでIPアドレスをホワイトリストに登録する理由は?

IPホワイトリスト登録は、以下のような状況で活用できます。

• WordPressサイトを非公開に保ちたい場合。
• WordPressサイトの機密性の高い領域へのアクセスを制限したい場合。
• サイトの準備やリニューアルが完了するまで、誰にもサイトを見られたくない場合。