Disable Password Reset for WordPress

それで、誰かがあなたのWordPressサイトのパスワードリセット機能を悪用し、忍び込むのではないかと心配していますか?はい、それは当然の懸念です。特にデフォルトでセキュリティが最上級ではない中小企業のサイトやブログを運営している場合はそうです。この脆弱性を排除するために、WordPress のパスワード リセットを無効にして、手間をかける価値があるかどうかを確認してみました。

良いもの

このプラグインは、その約束通りのことを行います。ログイン ページのパスワード リセット リンクを無効にします。つまり、「パスワードを忘れましたか?」という質問はありません。電子メールが送信されるため、ハッカーの一般的な攻撃経路が遮断されます。それが私がこれをインストールした主な理由だったので、そのオプションがあると安心しました。さらに、ユーザー名またはパスワードが間違っているかどうかを知らせる迷惑なエラー メッセージも非表示にするため、小規模ながらきちんとした追加のセキュリティ層となります。このプラグインは超軽量で静かであることが気に入りました。派手な設定や肥大化はなく、シンプルなオン/オフだけです。基本的に設定すれば後は忘れるだけなので、セキュリティの専門家ではなく、複雑な構成に手を出したくない場合に最適です。

あまり良くないこと

ただし、ここに落とし穴があります。パスワードを忘れると、行き詰まってしまいます。電子メールのリセットがないということは、phpMyAdmin にアクセスするか、データベースにアクセスできる人にパスワードを手動でリセットしてもらう必要があることを意味します。特にサイト管理者が自分だけである場合、またはデータベースを探索することに慣れていない場合には、これは面倒です。代替の回復方法が組み込まれていないため、それは完全か無かのようなものです。また、プラグインの開発者は不明で、あまり更新されていない（私の知る限り、まったく更新されていない）ため、プラグインのサポートや互換性について偏執的な人は、興味を持たなくなるかもしれません。これは非常にシンプルで良いことですが、パスワードのリセットをブロックする以外に何かから保護してくれるとは期待しないでください。他の一般的な攻撃からは保護されません。

結論

電子メールによるパスワード リセットを簡単に遮断する方法が必要で、パスワードを忘れた場合にデータベース介入に対処することを気にしない場合は、WordPress のパスワード リセットを無効にする for Wordpress は、特に無料であるため、試してみる価値があります。これは、大掛かりな保護は必要ないが、この簡単な抜け穴を塞ぎたいと考えている小規模サイトにとって、簡単なセキュリティ修正です。より包括的なセキュリティや簡単な回復オプションが必要な場合は、他の場所を探してください。それ以外の場合は、ダウンロードして有効にし、小さな追加の安心感をお楽しみください。