Wordfence — パスキーの設定

パスキーを使うと、Authenticatorより安全なログイン環境を構築できます。パスワードレス環境にもなります。Wordfenceを使うなら設定しておきましょう。

設定の仕方

Wordfenceのログインセキュリティからパスキーを設定します。

次にパスキー名を入力して、その横の『＋』ボタンをクリックします。

これはMicrosoftアカウントのパスキーを使用している様子です。

アカウントにパスキーが設定されていれば、設定はスムーズにできます。

こうなったら設定完了です。

注意事項として、パスキーはデバイスごとに設定していく必要があるので、使用するすべてのデバイスにパスキーを設定するまではログイン方法を『パスキーのみ』にしないようにします。 の部分を変更してしまうと、スマホなどからログインできなくなってしまいます。

モバイルデバイスでの設定

やり方は同じです。

パスキー名を入力して、『＋』ボタンをタップします。

こちらのパスキーはGoogleアカウントやAppleのiCloudのものが使われると思います。混在していても問題なく使えます。そのほうがどちらかのパスキーが使えなくなっても復活が容易になると考えられます。

パスワードレス環境の構築

Wordfenceは推奨していませんが、ログイン方法をパスキーのみにすることができます。

これを設定すると、ID＆パスワードによるログインを受け付けなくなります。

これでパスワードの使いまわしが可能になりますね？！

念のため、複数のデバイスからサイトにアクセスできるようにしておきましょう。

パスワードレス環境の実際

レンタルサーバーのWordPress（インストール型WordPress）は仕様上、２週間に一度ほどログイン画面が出てくるので、そのたびにログイン認証を行う必要があります。

『ログイン状態を保存する』にチェックを入れていないと、６時間ぐらいでこの画面と出くわすようになります。チェックを入れるのを忘れないようにしましょう。

個人的には、２週間に一度ぐらいなら別に構わないと思っています。

2FAを無効化する

Wordfenceには『XML-RPC call authentication』を無効化する機能があります。Authenticatorなどの2FAを可能にする機能です。ここはハッカーが狙ってくる場所であるので、必要ないなら無いに越したことはありません。パスキーはこれを使用しません。

『変更を保存』のボタンを押し忘れないようにしましょう。

XML-RPC call authenticationが必要とされる場面はJetpackログインを使用している場合だと思いますが、Jetpackを使用していてもJetpackログインを使っていなければ問題はありません。そのままJetpackの機能が使えます。XML-RPC call authenticationの無効化とJetpackの併存は可能です。

またAuthenticatorを既に使用していたとして、そのままその2FAの設定を残していても問題はありません。パスキー以外にさらに2FAの認証も求められるといったことは起きません。サイトアクセスが遅くなるといった現象も認められませんでした。そのまま2FAを残しておいて、何か不具合が起きるまで様子を見たほうが良いと思われます。

パスキーが2FAみたいなものなので、将来的には無くすようにします。

お疲れさまでした。