WordPress セキュリティキージェネレーター

WordPress セキュリティキージェネレーターは、wp-config.php ファイル用の暗号学的に安全なセキュリティキーとソルトを作成する電卓です。これら8つのユニークな文字列は、ユーザーセッションを保護し、クッキーの偽造を防ぎ、CSRF攻撃を防御します。CSPRNG（暗号学的に安全な疑似乱数生成器）を使用して生成され、各キーが保存やログ記録されることはありません。

WordPressのセキュリティキーとソルトとは何ですか？

WordPressは、認証を保護するために wp-config.php ファイル内の8つの暗号化定数を使用します。4つはキー（主要な暗号化の秘密）であり、4つはソルト（ハッシュを強化する追加のランダム性）です。

キーとソルトが連携する仕組み

ユーザーがWordPressにログインすると、システムは認証クッキーを作成します。このクッキーは、セキュリティキーと対応するソルトの組み合わせを使用して暗号化されます。キーは主要な暗号化の秘密を提供し、ソルトはハッシュアルゴリズム（HMAC）に予測不可能なデータを追加します。これにより、攻撃者がクッキーの値を傍受したとしても、その値をリバースエンジニアリングすることは指数関数的に困難になります。

適切なキーとソルトがない場合、WordPressはより脆弱で、インストール間で共通のフォールバック値を使用するため、サイトがクッキーベースの攻撃に対して脆弱になります。

セキュリティキーのインストール方法

1. 好みの設定で、このツールを使用してキーを生成します。
2. 「すべてのキーをコピー」ボタンを使用して、すべてのキーをコピーします。
3. FTP/SFTP経由で wp-config.php を開きます。このファイルはWordPressのルートディレクトリにあります。
4. キーのセクションを見つけます — /* Authentication Unique Keys and Salts */ というコメントを探してください。
5. 8つの define() 行をすべて新しく生成されたキーに置き換え、保存してアップロードします。

注意: セキュリティキーを変更すると、現在ログインしているすべてのユーザーがログアウトされます。パスワードを使用して再度ログインする必要があります。これは予期された動作であり、実際にはセキュリティ目的で役立ちます。

セキュリティキーはいつ変更すべきですか？

キーの長さとエントロピー

エントロピーは、キーのランダム性（予測不可能性）をビット単位で測定します。エントロピーが高いほど、攻撃者が試行する必要のある組み合わせが増えます。参考までに：

• 128 ビット — ほとんどの暗号化アプリケーションで推奨される最小値
• 256 ビット — 現在のテクノロジー（AES-256レベル）では解読不可能とされる
• 400+ ビット — デフォルトの64文字のWordPressキーとフル文字セットを組み合わせると、約406ビットのエントロピーが得られます

標準的な64文字のキーをフル文字セットで使用するだけでも、いかなるブルートフォース攻撃でも解読できないレベルをはるかに超えています。

セキュリティのベストプラクティス

• キーを共有しない — パスワードと同じように扱ってください
• WordPressのインストールごとにユニークなキーを使用する
• 複数のサイト間でキーを再利用しない
• wp-config.php を安全に保つ — 適切なファイルパーミッション（通常は440または400）を確保してください
• キーだけでは不十分です — 強力なパスワードを使用し、WordPressを最新の状態に保ち、セキュリティプラグインも使用してください

よくある質問

WordPressのセキュリティキーとソルトとは何ですか？

WordPressのセキュリティキーとソルトは、ユーザーのクッキー内のデータを暗号化するために wp-config.php に保存される暗号化文字列です。4つのキー（AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY）と対応する4つのソルトがあります。これらを組み合わせることで、攻撃者が認証クッキーを偽造することを事実上不可能にします。

wp-config.phpにセキュリティキーを追加するにはどうすればよいですか？

WordPressのルートディレクトリにある wp-config.php ファイルを開き、「Authentication Unique Keys and Salts」というラベルのセクションを見つけ、既存の define() 行を新しく生成したキーに置き換えます。ファイルを保存し、FTP/SFTP経由で再度アップロードしてください。すべてのユーザーが再度ログインする必要があります。

WordPressのセキュリティキーはいつ変更すべきですか？

サイトがハッキングされた疑いがある場合、不明な管理者アカウントが見つかった場合、またはマルウェアを削除した後は、すぐにセキュリティキーを変更してください。通常の状態では、定期的にキーをローテーションする必要はありません。キーを変更すると、ログイン中のすべてのユーザーが強制的に再認証を求められます。

このジェネレーターは安全ですか？キーはどこかに保存されますか？

はい、このジェネレーターはPythonの暗号学的に安全な secrets モジュール（CSPRNG）を使用しています。キーはリクエストごとにサーバーサイドで生成され、保存、ログ記録、またはキャッシュされることは決してありません。レスポンスにはブラウザのキャッシュを防ぐための no-cache ヘッダーが含まれています。

WordPressのキーとソルトの違いは何ですか？

WordPressのキーはクッキーデータを暗号化し、ソルトは暗号化プロセスにさらなるランダム性を追加します。キーは主要な暗号化の秘密として機能し、ソルトはハッシュ関数に予測不可能な追加データを導入することで、ブルートフォース攻撃を指数関数的に困難にします。強力なWordPressセキュリティには両方が不可欠です。

WordPressのセキュリティキーを変更するとどうなりますか？

WordPressのセキュリティキーを変更すると、既存のすべての認証クッキーが無効になります。つまり、ログイン中のすべてのユーザー（あなたを含む）がログアウトされ、ユーザー名とパスワードで再度ログインする必要があります。これは実際にはセキュリティ機能であり、情報漏洩後に役立ちます。

その他のリソース

• WordPress 開発者リソース - セキュリティキー
• 暗号学的に安全な擬似乱数生成器 - Wikipedia