パスキーを設定できるWordPressプラグイン

WP-2FA

https://ja.wordpress.org/plugins/wp-2fa/

二段階認証プラグインの定番の一つ。パスキーも設定できます。

WP-WebAuthn

https://ja.wordpress.org/plugins/wp-webauthn/

定番パスキープラグイン。

Rapls Passkey（Pro）

https://raplsworks.com/plugins/rapls-passkey/

かなり新しめのプラグイン。多機能。ロール（管理者、編集者…）ごとにパスキー利用を強制できます。多機能さでは一番かも。

等。他にもあると思いますが、現実解としてはこの3つだと思います。

WP-WebAuthnを選択

それぞれに一長一短があります。ここでは以下を重視して選択します。

• 安定性。最優先課題。ログインできなきゃ始まりません。
• パスワードログイン禁止／パスキー強制。パスワードログインの道を残してしまうと、セキュリティ的にパスキー導入の意味がほとんどありません。
• ユーザー毎に「パスキー強制」を指定できること。ロール（権限）によってまとめて指定できればなお良し。
• 維持費。いくら良くても「年間3万円！」とかだと困ります。
• アップデートの頻度。開発が「活きているか？」はとても重要な問題です。

機能的にはRapls Passkey Proが唯一の選択肢だったのですが、実際に使ってみると安定性に不安がありました。 バージョン 0.15.5で、販売サイトも購入ページに辿り着けないなどの不具合があり（報告して修正済み）、今回の利用は諦めました。将来に期待します。

WP-2FAは、使ってみるとかなり混乱します。何もしなければパスコード、「詳細」を押すとQRコード撮影かUSBキーとなり元には戻れず。プロ版だとかなりの高機能ですが年額1万円オーバー。うーーーーーん。

WP-WebAuthnはシンプルですが、ユーザー毎に「パスキーの強制」を指定できます。手間はかかりますが、こちらに決定します。

WP-WebAuthnインストール〜設定

インストールはWordPressのダッシュボード「プラグイン」「プラグインを追加」で「WP-WebAuthn」を検索して簡単にできます。

①優先するログイン方法

「WP-WebAuthnを優先」にします。

「パスワードを優先」は基本的に使いません。

「WP-WebAuthnのみ」は、全ユーザーにパスキーを強要します。これも使いません。

パスキーを強要するのは、ユーザー毎にプロフィール画面で設定します。

②Terminology used for users

「ユーザー向け用語」です。用語として「WebAuthn／パスキー」どちらを使用するかで、機能には関係ありません。

③ウェブサイトの識別子

下の説明通りです。サイト名を書いておきます。

④ウェブサイトのドメイン

https://等は除き、例えばd7r.comとのみ入力します。

⑤ ログインの記憶

「ログイン状態を記憶する」チェックボックスを表示するかどうかを決めます。セキュリティ的には「無」が理想ですが、運用を考えると「有」で良いでしょう。致命的とは言えないと思います。

⑥メールアドレスでのログインを許可

必ず「無効」にします。アカウント名よりもメールアドレスの方が流出しがちだからです。

⑦ユーザー認証が必要

ログインやパスキーを使う際に、「デバイスを操作しているのが本人であるかを確認する手順（生体認証やPINコードなど）を求めるかどうか」の設定です。「有効」にしておきます。

⑧ユーザー名なしでのログインを許可

「無効」がお勧めです。「有効」にするとユーザー名入力の手間が省けますが、他人が触る可能性があるデバイスではアカウント切替に対処できなくなる可能性があります。

⑨特定のタイプの認証を許可

通常は「どれでも」がお勧めです。

⑩Allow users to choose authenticator type

ユーザーが認証方法を登録時に自分で指定できるかどうか？です。⑨で特定のタイプを指定した場合、⑨が優先します。

⑪パスワードリセットを無効にする

ログイン時の「パスワードを忘れた」機能を無効にします。これは「 WebAuthn のみ」を有効にする場合に便利です。

「管理者以外の全員」が選択されている場合、「編集者」権限を持つ管理者のみが (すべてのユーザーの) パスワードを更新できます。

⑫ユーザー登録後

複数のユーザーがいる場合、WP-WebAuthn導入後にログインしたユーザーをプロフィールー時に飛ばしてパスキーの登録を促します。

⑬ログを記録

バグが発生した時以外は無効のままにします。

プロフィールページで自分のパスキーを登録

詳しくはWP-WebAuthnでパスキーログインするための設定・ログイン方法をご覧ください。

⑮⑯で、登録してある自分のパスキーを確認できます。

パスキーの動作が確認できたら⑭にチェックして「パスワードログインを禁止」します。