WordPress 4.1ではほかの端末のログインをプロフィールから無効にする

共有パソコンからログアウトしたか分からない場合や、ログイン中の端末を紛失した場合は、WordPress 4.1のプロフィールから、ほかのsessionを無効にできます。自分のプロフィールで実行すると、現在使っているbrowserは残り、それ以外の端末がログアウトします。

この操作は、パスワードの変更とは別です。端末に残ったsessionを切ることが目的ならログアウト操作を使い、パスワードを知られた可能性があるなら、パスワード変更も別に行います。

自分のプロフィールでは現在のsessionだけを残す

WordPress 4.1の公式発表は、共有パソコンでログアウトを忘れた場合に、プロフィールから各所のログインを切れる機能を案内しています。

自分のプロフィールを開き、Log Out of All Other Sessionsを実行すると、現在のbrowser以外のsessionが無効になります。現在作業している管理画面からは、続けて操作できます。

WordPress 4.1の画面は、session数によって表示を分けます。

ボタンを押す前に、現在の管理画面が自分の利用者名であることを確認します。共用の管理者アカウントを複数人で使っていると、ほかの担当者のsessionも一緒に切れます。

ほかの利用者を操作すると全sessionが対象になる

別の利用者を編集できる権限がある管理者は、その利用者の編集画面からLog Out of All Sessionsを実行できます。この場合は、操作対象となった利用者の全sessionが無効になります。

自分のsessionを整理する操作と、管理者が別利用者を強制的にログアウトさせる操作では、対象が違います。

退職者や委託終了者の利用者を止める場合は、sessionの無効化だけで終えず、役割と利用者アカウントの状態も確認します。ログアウトは、管理画面への接続を切る作業です。今後その利用者がログインしてよいかを決める作業とは分けてください。

共有端末と紛失端末では確認方法を分ける

手元にある共有パソコンなら、ログアウト操作の後で管理画面を再読込し、ログイン画面へ戻るか確認できます。利用者名やパスワードをbrowserへ保存している場合は、保存情報も削除します。sessionを切っても、browserが記憶したパスワードまでは消えません。

紛失した端末では、その場で再読込を確認できません。現在のbrowserで操作結果を確認し、実行日時、対象利用者、紛失した端末、担当者を記録します。端末そのものの画面lockや保存パスワードは、WordPressの外で対応します。

説明用の仮例として、事務所の共有パソコンと自分の携帯電話で同じ利用者へログインしているとします。携帯電話からLog Out of All Other Sessionsを実行すると、共有パソコン側のsessionは無効になり、携帯電話側の現在のsessionは残ります。

sessionの無効化とパスワード変更を分ける

sessionを無効にするだけでよいのは、パスワードは管理できているが、別端末にログイン状態を残した可能性がある場合です。パスワードを他人が知っている可能性がある場合は、sessionを切った後に同じパスワードを使い続けないでください。

緊急時でも、誰のsessionを切ったかを記録します。複数人が同じ管理者アカウントを使う運用では、操作した本人をWordPressの記録だけから特定できません。担当者ごとに利用者を分けることが、次の対策になります。

所有者の利用者を残してから委託先を外す

制作会社や運用代行へ管理者権限を渡している場合は、運営側が所有する管理者でログインできることを先に確認します。その後で、委託先のsession、role、accountを順に見直します。

作業委託を終えることと、サイトの所有者までログインできなくすることを混同しないでください。運営側の利用者名、連絡先メール、パスワード再設定経路を確保したうえで、不要なsessionを切ります。

最初の一手は、自分のプロフィールを開き、ほかのsessionがあるかを確認することです。ボタンが有効なら、失った端末や共有パソコンが対象に含まれるかを考え、実行日時を記録してから操作します。