WP Cerber Security 9.4

English version: WP Cerber Security 9.4

今回のバージョンでは、多くの細かな変更と改善が加えられています。私たちは、古くなったWordPressの機能への依存を解消することで、ユーザーエクスペリエンスとWP Cerberアルゴリズムの全体的な安定性を向上させるため、技術的負債の解消に引き続き取り組んでいます。成長と変化は苦痛を伴いますが、10年前に導入されたWordPressの時代遅れのアルゴリズムや、グローバル変数の使用に基づいて構築されたレガシーAPIに依存し続けることほど苦痛なことはありません。

WP Cerberの自動更新を有効にする方法

月次活動報告

WP Cerberは、週次レポートに加えて、月次アクティビティレポートを生成して送信するように設定できます。設定によっては、過去30日間または前月のレポートを生成し、指定した日付に指定されたメールアドレスに送信することができます。すべての設定は「通知」タブにあります。

404ページを生成する代わりに、別のページにリダイレクトします。

ウェブサイト上のアクセス禁止箇所にアクセスしようとした際に、404ページを表示する代わりに、指定されたURLにリクエストをリダイレクトするように設定できます。

アクセス権のない場所にアクセスしようとしたユーザーや悪意のあるユーザーをリダイレクトするために、ウェブサイト上のページのURLを指定できます。たとえば、保護されたURLを誤って入力したり、ソフトウェアエラーによってアクセスできなかった場合に、ウェブサイト内をナビゲートするサイトマップページを指定できます。URLは相対URLでも絶対URLでも構いません。設定項目は「アクセス禁止場所」で、「メイン設定」タブにあります。セキュリティの観点からは、「シンプルな404ページを表示する」に設定するのが最適です。詳細はこちらをご覧ください。

「ログイン状態を保持する」チェックボックスを無効にする

WordPressのログインフォームにある「ログイン状態を保持する」チェックボックスは無効にできます。この新しい設定は、「ユーザーポリシー」設定ページの「グローバル」タブにあります。無効にすると、ログインしたユーザーは認証セッションの有効期間を自由に変更できなくなります。

「ログイン状態を保持する」がオフの場合、ユーザーセッションのデフォルト期間は2日間（48時間）ですが、オンの場合は14日間です。現代のセキュリティの観点からすると、これは非常に長い期間です。ほとんどの一般ユーザーは、このチェックボックスがオンになっている場合のセッション期間を知らないため、有効にすることによる影響を理解していません。「ログイン状態を保持する」は無効にすることを強くお勧めします。この新機能はWooCommerceにも対応しています。

その他の改善点

1. 週次アクティビティレポートは、過去7日間または前週のカレンダーに基づいて生成できるようになりました。新しい設定は「通知」タブにあります。
2. ユーザーエクスペリエンスの向上を目指し、.htaccess ファイルの更新が必要な WP Cerber 機能の設定プロセスを改善しました。WP Cerber の設定変更後に .htaccess ファイルが読み取り専用になった場合の処理を改善しました。.htaccess ファイルが書き込み不可の場合、関連する設定はロックされます。ファイルから設定をインポートする際にも、すべてのチェックが実行されます。
3. WordPressダッシュボードでWP Cerberを保存する際、「プラグイン設定が更新されました」というテキスト通知は、設定が変更された場合にのみ表示されます。

破壊的な変更

1. 週次レポートのデフォルト期間は、前週の暦週です。WP Cerberの旧バージョンでは、レポート期間は過去7日間でした。
2. 著者アーカイブの無効化機能が改善されました。「ユーザー名によるユーザーページへのアクセスをブロックする」が有効になっている場合、いかなるURLからも著者アーカイブにアクセスできなくなります。また、著者アーカイブへのリンクはウェブサイトのホームページURLに置き換えられます。以前は、$_GETパラメータにユーザー名（ログイン情報）を使用して著者アーカイブにアクセスしようとすると、アクセスがブロックされていました。

軽微な変更

1. 「ユーザーセッションの有効期限」がすべてのユーザーロールに対してグローバルに設定されている場合、標準のWordPressログインフォームの「ログイン状態を保持する」チェックボックスは非表示になり、ユーザーセッションの有効期間には影響しません。
2. WP Cerberは、存在しないユーザーまたはメールアドレスが指定された場合、ユーザーパスワードのリセット試行が拒否されたすべてのケースをログに記録するようになりました。

バグを修正しました

1. WordPressがサブフォルダにインストールされていて、カスタムログインページが設定されている場合、パスワードリセットフォームを送信しても、成功メッセージ「見つかりません」が表示されるページにリダイレクトされません。
2. カスタムログインページが設定されている場合、ログイン言語切り替え機能を無効にしてもログインフォームには影響がなく、言語切り替え機能は引き続き表示されます。
3. 一部のマルチサイトWordPressインストール環境では、WP Cerberが未定義のUPLOADBLOGSDIR定数の使用に関する警告メッセージを表示する場合があります。
4. アクセスリストに IPv6 アドレスが含まれており、アクティビティログに IPv6 アドレスを含むエントリが含まれている場合、それらのエントリを表示すると、PHP の警告「undefined property: stdClass::$comments」が発生します。
5. Pushbullet のモバイル通知が有効になっていて、利用可能なデバイスのリストに非アクティブ (削除済み) デバイスが含まれている場合、WP Cerber はリストを解析中に PHP 通知「未定義のインデックス: nickname」を生成します。