WordPressでサイトを作ったとき、最初にやったのが、管理者の名前を外から見えなくすることでした。
3つの経路を塞ぎました。塞げたことも確かめました。それでも、名前は記事のページに普通に表示されていました。
私はシステム開発の技術者ではありません。AIに指示を出して塞がせ、AIが「塞ぎました」と報告し、私はそれを信じていました。両方とも間違っていません。それでも漏れていました。
玄関の鍵をかけて、窓を開けていた
今回は家の戸締まりのたとえで通します。
出かける前に玄関の鍵をかけます。かけたことも確かめます。ドアノブを回して、開かないことを確認する。これで戸締まりは済んだと思います。
裏口が開いていました。あるいは、風呂場の小窓が。
玄関の鍵は正しくかかっています。確認も正しく行われました。確認したのは玄関だけで、家の中に入れるかどうかは確認していない、というだけです。
私が4回やったのは、これです。
設置しただけの状態で、名前が読めた
まず、そもそもの話です。
WordPressを設置しただけの状態では、管理者の利用者名が外から読み取れます。これは私が何かを間違えたのではなく、初期の状態がそうなっています。
3つの経路がありました。番号で利用者を指定する呼び出し、利用者の一覧を返す仕組み、そして著者ごとの一覧ページです。どれからも名前が取れました。実際に取れることを確かめています。
利用者名は、ログインに使う名前です。それが外から読めるということは、鍵の半分が渡っている状態です。
3つとも塞ぎました。塞ぐ前と後で応答が変わることも確かめています。ここまでは正しくやりました。
塞いだのに、画面に出ていた
数日後、自分のサイトを開いて記事を読んでいたとき、記事の下に名前が表示されているのに気づきました。
書き手として、そのまま出ていました。
塞いだ3つの経路は、どれも仕組みの裏側から名前を取るものです。表側の画面には、最初から普通に出ていました。
私が確かめたのは、塞いだ経路が塞がったかどうかでした。名前が外から見えなくなったかどうかは、確かめていません。塞ぐ手段のほうを点検して、隠す対象のほうを見ていなかった。
玄関の鍵がかかったことを確かめて、家の中が見えるかどうかを外から見ていない、という状態です。
いまは、表示そのものを止めて、表示上の名前とログインに使う名前を分けています。
保存しない設計のサイトが、保存できた
同じ時期に、もうひとつありました。
このサイトは、個人情報を保存しない方針で設計しています。問い合わせは受け付けますが、サーバーに残さない形にしました。
設置した直後の状態を調べたら、コメント欄が有効になっていました。コメントを書くと、名前とメールアドレスがサーバーに保存されます。
方針としては保存しない。実際の設定としては保存できる。書類と実物が食い違っていました。
WordPressの初期状態でコメントが有効であることを、確認の項目に入れていなかったためです。方針を決めたときに、その方針を裏切る設定が最初から入っている可能性を考えていませんでした。
消したのに、別の経路から出ていた
4つ目です。
サイトが使っているソフトの版が外から分かる状態になっていました。版が分かると、その版に見つかっている弱点を狙われます。
原因になっているファイルを1つ消しました。消えたことも確かめました。
別の経路から、同じ情報が出ていました。
今度は私の指示のほうが原因です。経路を1つしか想定せずに「これを消せ」と書きました。AIは指示どおりに消して、消えたことを報告しています。目的が果たせたかどうかは、指示に入っていませんでした。
対策をしたことと、目的を果たしたことは別です。玄関の鍵をかけたことと、家に入れなくなったことが別なのと同じです。
塞ぐ側ではなく、出る側から見る
4回とも、同じ形でした。塞ぐ手段を確かめて、漏れているかどうかを確かめていない。
いま、隠したいものについては、逆から確かめるようにしています。
塞いだ経路が塞がったか、ではなく、その情報が外から見えるかを見ます。名前を隠したいなら、サイトを普通に開いて、どこかに名前が出ていないかを探す。版を隠したいなら、外から見える場所を全部さらう。
やり方は単純です。塞ぐ前に、その情報が出ている場所を先に全部数えておく。塞いだ後、もう一度数える。0になっていなければ、まだ漏れています。
経路を1つ塞いで終わりにしたとき、私は4回とも別のどこかを残していました。
いまも、どこかは開いていると思っている
戸締まりの確認は、やった人が「やった」と思った時点で終わります。開いている窓は、開いていると思っていないから開いています。
だから、確かめる項目を増やすより、確かめ方の向きを変えるほうが効きました。塞いだかどうかではなく、出ているかどうか。手段ではなく結果。
それでも、いまも開いている窓があると思っています。見つかったら、また書きます。
更新履歴
2026年8月30日 「必ずどこかが残ります」という一般化した書き方を、筆者自身の記録として書き直しました。
