situne Connector 3.0.0（近日公開予定）の新機能と使い方

近日公開予定：situne Connector 3.0.0 は現在リリース準備中です。この記事は公開予定の機能を先にご紹介するもので、内容や画面はリリースまでに変わる場合があります。配布を開始したら、この記事と更新情報でお知らせします。

Connector 3.0.0 は、「乗っ取られにくく、壊れても戻せる WordPress」を目標にした大型アップデートです。ログインの守り、バックアップと自動ロールバック、操作ログ、situne との連携の安全装置をまとめて強化します。これらの多くは situne への接続とは関係なく、サイトの中だけで動きます。

3.0.0 で予定している主な機能

• 2 段階認証（認証アプリ＋バックアップコード）とパスキー

• メール／situne からのワンタイムログイン、ログイン URL の変更

• バックアップ（手動・定期・更新前）と、更新失敗時の自動ロールバック

• 外部ストレージ（S3 互換）への暗号化バックアップ

• 管理画面に入れないときの緊急復旧ページ

• 「誰が・どこから・何をしたか」の操作ログ

• situne からの操作の緊急停止と署名鍵の切り替え

• 更新情報への署名

1. 2 段階認証

Google Authenticator や 1Password などの認証アプリに対応した 2 段階認証を、各ユーザーが自分のプロフィール画面から設定できるようになります。

使い方（予定）

1. プロフィール画面の「situne 2 段階認証」で「設定を開始」を押します。

2. 表示された QR コードを認証アプリで読み取り、6 桁のコードを入力して有効にします。

3. 表示されるバックアップコード（10 個・各 1 回限り）を安全な場所に保管します。

管理者は「2 段階認証を必須にするロール」を指定できます。対象のユーザーは、設定を済ませるまでプロフィール画面以外の管理画面を開けません。

2. パスキー

指紋・顔・PIN でログインできるパスキー（WebAuthn / FIDO2）に対応します。プロフィール画面の「situne パスキー」から登録すると、ログイン画面の「パスキーでログイン」でユーザー名もパスワードも入れずにログインできます。パスワードによるログインと併用でき、ロールごとに必須にすることもできます（HTTPS のサイトのみ）。

3. ワンタイムログインとログイン URL の変更

• メールのワンタイムログイン：パスワードや認証アプリが使えないときに、ログイン用のリンクをメールで受け取れます。リンクは 15 分・1 回限りです。

• situne からのワンタイムログイン（既定オフ）：situne のダッシュボードの「WordPress 管理画面を開く」から、そのまま管理画面に入れます。

• ログイン URL の変更：たとえば secure-entry と設定すると、ログイン画面が /secure-entry/ になり、/wp-login.php への直接アクセスは表示されなくなります。

4. バックアップと自動ロールバック

プラグイン・テーマ・WordPress 本体のファイルとデータベースのバックアップ（スナップショット）を、サイトの中で取得・復元できるようになります。

• 手動・定期：「situne → バックアップ」から今すぐ取得、または毎日の定期バックアップ（週 1 回はプラグインとテーマも）を設定できます。

• 更新前：プラグイン・テーマ・本体の更新の直前に自動でスナップショットを取ります。

• 自動ロールバック：更新のあとにサイトが動かなくなったら、更新前の状態に自動で戻し、その版は自動更新の対象から外します。EC サイトなど、データを優先したい場合はオフにできます。

• 復元前の確認：データベースを戻す前に、「この操作で消えるもの」（その後に増えた投稿・コメント・注文の件数）を表示します。

uploads（画像などのメディア）は、容量と個人情報の観点から対象外です。

外部ストレージ

Cloudflare R2・Wasabi・Backblaze B2・AWS S3・さくらのオブジェクトストレージなど、S3 互換のストレージに、暗号化したうえでバックアップを送れます。サーバーごと失われた場合に備えたい方におすすめです。

緊急復旧ページ

管理画面に入れなくなったときは、/wp-content/situne-recovery.php を開き、事前に発行しておいた復旧コードを入力すると、バックアップからプラグイン・テーマ・本体のファイルを戻せます。復旧コードは「situne → バックアップ」で発行し、表示は 1 回だけなので必ず控えておいてください。

5. 操作ログ

ログイン、投稿の公開・削除、プラグインやテーマの変更、ユーザーや権限の変更、situne からの操作などを、重要度（情報・注意・重要）と発生元つきで記録します。「situne → 操作ログ」で絞り込んで確認でき、重要な出来事は situne のダッシュボードにも届きます。パスワードや本文、接続元 IP の末尾などは記録しません。

6. situne との連携の安全装置

• 緊急停止：situne のダッシュボード（WordPress・変更履歴 → サイト設定）から、そのサイトへの situne からの操作をすぐに止められます。

• 署名鍵の切り替え：situne から WordPress への操作に使う署名鍵を、サイトとの接続を切らずに新しくできます。

• 更新情報への署名：Connector の更新情報に署名を付け、改ざんされた更新を受け付けないようにします。

締め出されたときの非常口

2 段階認証のコードもバックアップコードも手元にない場合などは、サーバーの wp-config.php に次の 1 行を追加すると、ログイン保護を一時停止してパスワードだけでログインできます。ログインして設定を直したら、必ずこの行を削除してください。

define( 'SITUNE_DISABLE_LOGIN_PROTECTION', true );

リリースまでにできること

• Connector 2.5.2 に更新し、プラグイン一覧で自動更新を有効にしておくと、3.0.0 の配布開始後に自動で適用されます。

• 2.5.2 の機能と使い方は「situne Connector 2.5.2 の新機能と使い方」をご覧ください。

導入のご相談は、導入のお問い合わせからどうぞ。