HTTPSサイトでWAP AI AssistantのHTTPS警告が表示される理由

ブラウザーの有効な鍵マークは、訪問者からエッジまでの接続を示しますが、オリジン側のWordPressが何を受け取っているかまでは証明しません。リバースプロキシ、ロードバランサー、CDNの暗号化モードにより、ブラウザーはHTTPSでもWordPressにはHTTPとして届く場合があります。

HTTPSの検出が正しくても、アプリケーションパスワードがサイト全体または現在のユーザーに対して無効化されていると、同じ警告が出ることがあります。両方の条件を分けて確認してください。

考えられる原因

• ブラウザーはHTTPSですが、オリジン側のWordPressが安全なリクエストとして認識していません。
• セキュリティプラグイン、must-useプラグイン、またはカスタムフィルターがApplication Passwordを全体で無効にしています。
• インストール済みプラグインのバージョンが誤った、または古いHTTPS通知を表示しています。
• WordPress Home URLとSite URLでスキーム、ホスト、またはパスが一致していません。
• 別のプラグインがHTTPS検出、RESTアクセス、またはApplication Passwordの可用性を変更しています。

診断手順

1. 秘密情報を含めず、正確なメッセージ、HTTPステータス、応答本文を記録します。
2. 変更前にWordPress、プラグイン、クライアント、コネクター、サーバーのバージョンを記録します。
3. アシスタントが使用する正確なURLが有効なHTTPSで開くことを確認します。
4. ブラウザーだけでなく、WordPress自体がリクエストをHTTPSとして認識することを確認します。
5. 現在の環境でApplication Passwordが全体として利用可能か確認します。
6. Home URL、Site URL、公開正規ホスト、RESTベースアドレスを比較します。
7. インストール済みバージョンを公式changelogと修正版に照合します。

最小限の修正を適用する

1. 信頼済みプロキシとオリジンの処理を修正し、WordPressが元のHTTPSリクエストを認識できるようにします。
2. 意図したセキュリティ方針を確認した後にのみ、Application Passwordを無効にするフィルターを削除または限定します。
3. Home URL、Site URL、公開ホスト、HTTPSスキーム、RESTベースを一致させます。
4. 観測した動作を説明または修正するプラグインバージョンへ更新します。
5. プラグイン固有の動作が残る場合、秘密を除去したバージョン付き証拠でサポートへ連絡します。

結果を検証する

• 修正条件でのみ通知が消え、無関係な管理画面には再表示されません。
• RESTインデックスが正規HTTPS URLから応答し、期待するnamespaceを公開します。
• 認証済みリクエストが予期しないリダイレクトなしで正規エンドポイントに到達します。
• 認証済みリクエストが意図した専用WordPressユーザーに対応します。

避けるべき対応

• 接続テストを通す目的だけで管理者権限を付与しないでください。
• 信頼経路を確認する前に、未検証の恒久的なプロキシ回避策を追加しないでください。
• 一つのリクエストを通すためにWAFやセキュリティプラグイン全体を無効にしないでください。
• Application Password、Authorizationヘッダー、トークン、Cookieをプロンプト、チケット、ログ、画像に含めないでください。
• 証拠なしに通知や認証情報をマルウェア、バックドア、侵害と表現しないでください。

関連ガイド

• WordPressで「WAP AI Assistant requires HTTPS」と表示される原因と修正方法
• Cloudflareまたはリバースプロキシ経由でWordPressがHTTPSを検出しない
• WordPressのApplication Passwordが無効な場合の原因と確認
• WordPressアドレスとサイトアドレスの不一致がAI接続を壊す
• AI接続のためのWordPressアプリケーションパスワード