WordPressでWAPのApplication Passwordを確認する方法

WordPressのアプリケーションパスワードは、通常、それを所有するWordPressユーザーのプロフィールに一覧表示されます。平文の秘密情報が表示されるのは作成時だけです。その後は名前、作成日、最終使用情報などのメタデータが表示され、元のパスワード値は表示されません。

認証情報のラベル、所有ユーザー、作成時刻、最終使用、組み込んだプラグインを対応付けます。「WAP」を含むラベルは命名の手掛かりであり、完全なデータフローや権限範囲の証拠ではありません。

考えられる原因

• 想定したApplication Passwordが未作成、取り消し済み、または別のプロフィールに属しています。
• 認証情報がクライアントの想定とは異なるWordPressユーザーに属しています。
• 似た名前の認証情報が複数あり、所有者と実際の使用先が不明確です。
• 表示名はラベルであり、作成元のページやワークフローを一意に示すとは限りません。
• 以前の認証情報がない、または無効なとき、プラグインが新しいApplication Passwordを自動作成します。

診断手順

1. 通知またはアシスタントを表示するプラグインと管理画面を特定します。
2. 変更前にWordPress、プラグイン、クライアント、コネクター、サーバーのバージョンを記録します。
3. 秘密情報を表示せず、対象プロフィールのApplication Password欄を確認します。
4. 現在の管理者が所有者だと決めつけず、候補となる全ユーザーを確認します。
5. 名前、作成日、最終使用日時、最終IPを観測したワークフローと照合します。
6. 各アシスタント、プラグイン、コネクターを一つのユーザーと一つの認証情報に対応付けます。

最小限の修正を適用する

1. 誰が認証情報を作成、ローテーション、再利用、取り消すかと各トリガーを記録します。
2. 未使用または不要と確認できた認証情報を取り消します。
3. 人間の管理者を再利用せず、専用のWordPress IDを作成します。
4. 専用IDと一つの連携目的に対して名前付きApplication Passwordを一つ作成します。
5. プラグイン固有の動作が残る場合、秘密を除去したバージョン付き証拠でサポートへ連絡します。

結果を検証する

• すべての認証情報に所有者、目的、作成者、状態、取り消し判断があります。
• 認証済みリクエストが意図した専用WordPressユーザーに対応します。
• 最終記録にバージョン、証拠、変更、検証、ロールバックが含まれ、秘密情報はありません。
• 取り消し後、同じ認証情報では認証できません。

避けるべき対応

• Application Password、Authorizationヘッダー、トークン、Cookieをプロンプト、チケット、ログ、画像に含めないでください。
• 所有者、目的、最終使用を記録する前に未知の認証情報をすべて削除しないでください。
• 接続テストを通す目的だけで管理者権限を付与しないでください。
• デバッグログや診断エンドポイントを公開しないでください。
• 正確なバージョンで確認せず、外部データ利用、同意、権限について断定しないでください。

関連ガイド

• WordPressのWAP AI Assistantとは
• WAP AI Assistantのアクセスを取り消す方法
• WAPのApplication Passwordが持つ権限
• WordPressサイトのAI認証情報を監査する方法
• AIアシスタントが使用するWordPressユーザーを特定する方法