WordPress のユーザー ID が見えるのは何の問題もないし脆弱性でもない

ユーザー ID が公開されていて、なおかつユーザー ID でログインできるサービスはいくらでもある

Twitter もそうだしね。

ユーザー ID が推測されないものになっていないと意味を成さない

例えば、このブログ (Wangel – AioiLight.space) は僕 (AioiLight) が運営しているブログである。

では、このブログのメインのユーザー ID はなんだろうか？ 考えてみよう！

答えは簡単、AioiLight 以外の何物でもない。

このように、たとえユーザー ID が見えないように “細工” したとしても、そのユーザー ID 自体が推測しやすい ID だったら、隠しても何の意味もない。そのため「ユーザー ID を見えないようにする」という対策が初めて効果が出るのは、完全にランダムなユーザー ID でアカウントを登録している必要がある。

あ、そうそう忘れてた。WordPress はメールアドレスもログインに使えるので、これに加えて推測されないメールアドレスにする必要もある。もちろん、ウェブサイトに掲載するメールアドレスとは別にね。誰がそんなことするねん……。

特定のページを変えただけでは、完全に隠しきれない

プライム・ストラテジー社の記事では、特定の URL にアクセスして ID が見えるかどうかを確認している。

しかし、ユーザー ID はそれ以外の様々な場所にも出てくる。その URL に対してアクセスを制限しただけでは、ユーザー ID が漏れ出すのを防ぐことはできない。

本当に完璧に対策するとなると、WordPress がどこでユーザー ID を出力するかをすべて把握した上で、それをすべてオーバーライドする必要がある。そんなの現実的ではない。

そもそも、WordPress は問題だと思っていない

WordPress は世界各国の素晴らしい開発者によって作られているソフトウェアである。

……みたいなクサい前置きは置いておいて、こちらを見ていただきたい。これは WordPress.org のページの一部である。

The WordPress project doesn’t consider usernames or user ids to be private or secure information. A username is part of your online identity. It is meant to identify, not verify, who you are saying you are. Verification is the job of the password.

This includes, for example, retrieving the list of site users through the REST API Users endpoint, GET /wp-json/wp/v2/users. Making this publicly accessible is intentional.

Generally speaking, people do not consider usernames to be secret, often sharing them openly. Additionally, many major online establishments — such as Google and Facebook — have done away with usernames in favor of email addresses, which are shared around constantly and freely. WordPress has also moved this way, allowing users to log in with an email address or username since version 4.5.

Instead of attempting to hide a public identifier, WordPress attempts to encourage users to choose strong passwords instead, through both user interface as well as education.

Note that WordPress is not the only open source project to believe this. Drupal has similar arguments for the same thing.

Why are disclosures of usernames or user IDs not a security issue?

(ChatGPT に「おもしろおかしく翻訳して」とお願いしたもの) WordPress的には、「ユーザー名がバレた？ だから何？」って感じ。だってユーザー名は「俺だよ俺！」って名乗るためのものであって、「マジで俺？」って確認するためのものじゃないからね。そこはパスワードの仕事。たとえば、WordPress の REST API (GET /wp-json/wp/v2/users) を使うと、サイトのユーザー一覧が見れちゃうけど、これも「隠す必要なくね？」ってことで、わざとそうなってる。ていうか、みんなユーザー名を秘密にしてないでしょ？ Twitter とかで「俺のアカウントは～～だぜ！」って自分から言ってるし。Google や Facebook も「もうユーザー名いらなくね？」ってなって、メールアドレスでログインする方式にしてるし、WordPress もバージョン 4.5 から「好きな方でログインしていいよ！」って感じになってる。だから WordPress のスタンスは、「ユーザー名を隠せ！」じゃなくて「バカみたいに強いパスワードを設定しろ！」ってこと。 UI とかでも「そんなパスワードじゃ秒で破られるぞ！」って注意してくれるしね。ちなみに、この考え方は WordPress だけじゃなくて、Drupal とか他のオープンソースプロジェクトも同じノリ。要するに、「ユーザー名とかどうでもいいから、とにかくパスワードはちゃんとしとけ！」って話。