公開前のWordPressを関係者だけに見せたい時は、レンタルサーバーの「アクセス制限」「Basic認証」機能で、対象ドメインの公開フォルダーへIDとパスワードを設定します。 設定後はログアウト状態の別ブラウザで認証画面を確認し、本公開時に必ず解除します。
WordPressの「検索エンジンがサイトをインデックスしないようにする」だけでは、URLを知る人の閲覧は止められません。反対にBasic認証だけでは、共有したIDの管理や公開時の解除を忘れやすくなります。この記事では、使う場面、設定する場所、成功状態、解除までを一つの作業として扱います。
Basic認証が向く場面・向かない場面
| 場面 | 判断 | 理由 |
|---|---|---|
| 制作中サイトを数人で確認 | 向く | サイト全体の入口で閲覧者を限定できる |
| 公開済み記事の一部だけ会員限定 | 別機能を検討 | 会員管理や記事単位権限には粗い |
| 個人情報・機密資料の保管 | Basic認証だけに頼らない | 共有方法や権限、保管方法も必要 |
| 検索流入を得たい本番サイト | 解除が必要 | 検索ロボットも閲覧できなくなる |
| WordPress管理画面だけ守る | 対象範囲を限定 | サイト全体へかける必要がない場合がある |
Basic認証はブラウザがIDとパスワードを尋ねる仕組みです。WordPressユーザーとは別管理で、サイトのHTMLが表示される前にサーバーが確認します。制作会社や依頼主へ共有する場合は、メール本文へURL・ID・パスワードを全部まとめず、別経路に分けて伝えます。
設定前に対象フォルダーを確認する
- サーバー管理画面で対象ドメインを選ぶ
- 「ドメイン設定」「サイト設定」等で公開フォルダーを確認する
- 現在開いているURLと対象ドメインを一字ずつ照合する
- サブディレクトリだけ守る場合は、その階層を控える
- アクセス制限の解除画面まで一度開き、戻し方をメモする
一つの契約に複数サイトがある場合、別ドメインのフォルダーへ設定すると目的のサイトは守られず、別サイトが閲覧できなくなります。
example.com
と
staging.example.com
、
/public_html/
と
/public_html/test/
を取り違えないようにします。
WordPressのユーザーを増やせば、見られる人も限定できると思っていました。サイトを見る入口と管理画面へ入る入口は、ここでも別なんですね。
その違いが分かったのは大きいよ。Basic認証は建物の門、WordPressログインは編集室の鍵だと考えるといいね。
門に鍵をかけるなら安心ですが、検索設定も一緒に触る必要があるのか迷います。あとで公開する時に、どちらかを戻し忘れそうです。
公開前はアクセス制限と検索表示設定を別々に記録しよう。公開チェック表へ「Basic認証解除」と「検索表示を許可」を二行で残せば、片方だけ忘れにくいよ。
サーバー管理画面でBasic認証を設定する
画面名はサーバーにより「アクセス制限」「Basic認証」「ディレクトリアクセス制限」などと異なります。対象ドメインを選び、保護するフォルダーを指定して、認証ユーザーを追加します。サーバーの公式機能がある場合は、手作業で
.htaccess
やパスワードファイルを書き換える前にその機能を使います。
- アクセス制限の設定画面を開く
- 対象ドメイン・対象フォルダーを選択する
- アクセス制限を「ON」または有効へ切り替える
- 認証ユーザー追加を開く
- WordPressとは異なるユーザーIDを入力する
- 十分に長く推測されにくいパスワードを設定する
- 保存し、設定完了表示を確認する
IDへ管理者メールアドレスをそのまま使う必要はありません。共有先ごとにユーザーを分けられるサーバーなら、担当者が変わった時に一人分だけ削除できます。パスワードはサイト名や会社名だけにせず、パスワード管理ツールで生成・保管します。
必ず別ブラウザで成功状態を確認する
- 設定したブラウザとは別のシークレットウィンドウを開く
- サイトのトップURLへアクセスする
- Basic認証の入力画面が出ることを確認する
- 誤った値では入れないことを一度確認する
- 正しいID・パスワードでトップが表示されることを確認する
-
下層記事と
/wp-admin/の保護範囲も確認する
同じブラウザでは認証情報が一時保存され、設定前から見えているように感じることがあります。シークレットウィンドウを閉じて開き直すか、別端末で確認します。認証画面が出ずサイトが見える場合は、対象フォルダーか有効化の保存を見直します。
設定をONにしたのに、いつものブラウザでは何も聞かれず表示されました。失敗したと思って、もう一度違うフォルダーへ設定しそうになりました。
ブラウザが認証を覚えている可能性があるよ。設定を増やす前にシークレットウィンドウを開き、同じURLで門が出るか確かめよう。
間違ったパスワードまで試すのは少し怖いです。何度も失敗して、自分の回線が止められたりしませんか？
確認は一度でいいよ。誤った値で拒否されることを見たら、正しい値で入り、連続試行はしない。入れなくなったらサーバー管理画面からユーザーを再設定しようね。
検索と共有で気をつけること
Basic認証中は検索エンジンも通常の本文へ到達できません。公開予定サイトをSearch Consoleへ登録しても、認証が残る間はクロールできないことがあります。本公開日には、Basic認証を解除し、WordPressの「設定」→「表示設定」→「検索エンジンがサイトをインデックスしないようにする」のチェック状態も確認します。
共有相手には、URL、認証ID、認証パスワード、WordPress編集権限のどれが必要かを分けて案内します。見るだけの人へWordPress管理者権限を渡しません。確認期間が終わったら、共有したBasic認証ユーザーを削除またはパスワード変更します。
本公開時の解除手順
- 公開日時と担当者を決める
- サーバーのアクセス制限画面で対象フォルダーを再確認する
- Basic認証をOFFにして保存する
- シークレットウィンドウで認証画面なしに開けることを確認する
- トップ、記事、画像、問い合わせを確認する
- WordPressの検索表示設定を確認する
- sitemapとrobots.txtを開き、公開URLをSearch Consoleで検査する
解除しても認証画面が残る場合は、サブフォルダー側にも設定がないか、サーバー機能とは別に
.htaccess
へ記述していないかを確認します。反対に、公開前なのに認証が消えた場合は、対象フォルダーの変更やドメイン追加で公開先が変わっていないかを見ます。
アクセス制限を管理しやすい環境を比較する
契約中のサーバーに公式のアクセス制限機能があり、対象フォルダーと解除を確認できるなら乗り換えは不要です。これから制作・検証用サイトも運用する人は、管理画面で認証を設定できること、複数サイトを区別しやすいことを比較します。
エックスサーバー
向いている人： 複数ドメインのWordPressとアクセス制限をサーバーパネルで管理したい人
利点： ドメインと対象ディレクトリを確認しながら設定できます。
不要な人： 現在の環境で公開前保護を安全に設定できる人は乗り換え不要です。
注意点： 対象フォルダーを取り違えず、公開日に解除確認が必要です。
料金： 期間・特典で変わるため申込画面で初回総額と更新額をご確認ください。
エックスサーバーの管理機能を見る
ConoHa WING
向いている人： サイト管理画面でドメインごとの設定をまとめて確認したい人
利点： WordPressサイト単位で設定へ移動しやすい構成です。
不要な人： 一時的な検証だけで、既存サーバーの機能で足りる人には新規契約不要です。
注意点： 利用できるアクセス制限の範囲と手順を契約前に公式情報で確認してください。
料金： 料金タイプ・期間・キャンペーンで変わるため公式申込画面をご確認ください。
ConoHa WINGのサイト管理を見る広告・PRを含みます。料金・特典は各社公式ページで最新条件をご確認ください。
よくある質問
Basic認証をかければ検索結果へ絶対に出ませんか？
本文は取得されにくくなりますが、過去に公開したURLや外部リンクの情報が残る可能性があります。既に公開済みなら、公開履歴と検索状況を別途確認してください。
認証IDは全員共通でよいですか？
少人数・短期間でも、誰へ渡したか記録します。個別発行できる環境なら分けると、確認終了者だけを削除できます。
解除後に何を確認すればよいですか？
認証画面が出ないこと、トップと下層が開くこと、検索表示設定、robots.txt、sitemap、問い合わせ動作を確認します。
最初は検索のチェックだけで隠せると思っていました。見る人を止める設定と、検索へ出す設定を別々に扱うと分かって、公開日の確認も想像できました。
二つを混ぜずに考えられたのがよかったね。守る時は対象フォルダー、公開する時は解除後の別ブラウザ、この確認ができれば落ち着いて進められるよ。
IDを渡した人の記録と、解除する日も忘れないようにしたいです。まだ少し緊張しますが、設定する前に戻し方をメモしておきます。
それが一番安全だよ。かける、試す、共有を管理する、解除して再確認する。この流れを最後まで一つの作業にしようね。
まとめ
公開前サイトはサーバーのBasic認証で閲覧者を限定できます。対象ドメインと公開フォルダーを確認して設定し、別ブラウザで誤入力拒否と正しい認証を試してください。本公開時はBasic認証解除とWordPressの検索表示設定を別々に確認し、トップ・下層・sitemap・robots.txtまで公開状態を検査します。