WordPress サイトの接続 アプリケーションパスワードで。

/ 概要

アプリケーションパスワードとは

アプリケーションパスワードは、WordPress が外部アプリ 1 つに対して発行するパスワードです。ログインパスワードの代わりではありません。REST API 専用で、管理画面にはログインできません。名前を付けていくつでも作成でき、1 つずつ失効できます。

• ログインパスワードは使わない. ログインパスワードは管理画面全体を開けるうえ、多くの場合は二要素認証が付くため、WordPress は REST API では受け付けません。アプリケーションパスワードはまさにこの用途のためのものです。
• WordPress 5.6 以上と HTTPS が必要. この機能は WordPress 5.6 から標準で入っており、プラグインは不要です。サイトが https:// で配信されているときだけ、アプリケーションパスワードの欄が表示されます。
• 投稿権限のあるアカウントで. Author、Editor、Administrator のいずれかの権限グループのアカウントを使ってください。Subscriber や Contributor は投稿できないため、接続してもチャンネルから投稿できません。

/ WordPress 側

WordPress で作成する

5 つの手順。すべて自分の WordPress 管理画面で行います。

• 1

  投稿に使うアカウントでログインする. アプリケーションパスワードは特定のユーザーに紐づきます。Orova が投稿した記事はそのアカウント名義になります。

• 2

  ユーザー → プロフィール を開く. 左メニューで Users（ユーザー）→ Profile（プロフィール）を選びます。管理者が他の人の分を作る場合は、ユーザー → ユーザー一覧 から対象のアカウントを開きます。

• 3

  「Application Passwords」まで下にスクロール. プロフィールページの下のほうにあります。見当たらない場合は、WordPress が 5.6 より古い、HTTPS になっていない、またはセキュリティプラグインが機能を無効にしています。

• 4

  名前を付けて Add New Application Password を押す. あとで見分けられる名前、例えば Orova と入力します。この名前は、後で失効させるときの目印にすぎません。

• 5

  24 文字の文字列をその場でコピーする. WordPress が 6 つの区切りに分かれた 24 文字の文字列を表示します。表示は一度きりで、ページを閉じると二度と見られず、新しく作り直すしかありません。空白ごと貼り付けても構いません。

WordPress の画面はこのような形です。コピーするのはパスワードの行です。

Users -> Profile -> Application Passwords

  New Application Password Name:  Orova
  [ Add New Application Password ]

  Your new password for Orova is:
      abcd EFGH 1234 ijkl MNOP 5678      <- 24 characters, shown ONCE

/ Orova 側

Orova に貼り付ける

Social → プロジェクト → 対象のプロジェクト → チャンネル タブを開き、Website の枠を探します。入力欄が 3 つとボタンが 1 つあります。

• 1

  サイトのアドレス. https:// で始まるサイトのルートアドレスを貼り付けます（例: https://yoursite.com）。管理画面の URL ではありません。/wp-json まで貼ってしまっても、Orova が自動で切り落とします。

• 2

  Username. WordPress のログイン名です。プロフィールの Username 欄に表示されている文字列で、表示名でもメールアドレスでもありません。

• 3

  Application password. コピーした 24 文字の文字列を貼り付けます。空白を含んだままで構いません。

• 4

  Save channel を押す. Orova はその場であなたの WordPress を呼び出して内容を確認します。確認が通るとチャンネルが一覧に現れ、サイトのアドレスとログイン名が表示されます。チャンネル名とアイコンは WordPress のプロフィールから取得します。

/ 確認

保存時に Orova が確認すること

Orova はそのまま保存するわけではありません。Save channel を押すと、入力どおりの情報で WordPress の REST API を実際に 1 回呼び出します。

GET https://yoursite.com/wp-json/wp/v2/users/me?context=edit

Headers:
  Authorization: Basic <base64 of "username:application password">
  Accept: application/json

What Orova does with the reply:
  200 + JSON profile   -> channel saved (name and avatar come from
                          the WordPress profile)
  401 / 403            -> wp_auth   (WordPress rejected the login)
  404 / not JSON       -> wp_url    (wrong address, REST API off,
                                     or "Plain" permalinks)
  no reply in 10 s     -> wp_url    (timeout)

WordPress が 200 とユーザープロフィールを返したときだけ、チャンネルが保存されます。待ち時間は最大 10 秒 です。チャンネルにはサイトのアドレス、ログイン名、アプリケーションパスワードが保存され、以降の投稿に使われます。画面に再表示されるのはアドレスとログイン名だけで、パスワードは決して表示されません。

/ トラブル対応

よくあるエラー

保存に失敗すると、Orova は 2 つのコードのどちらかを返します。wp_url（サイトに到達できない）か wp_auth（WordPress がログインを拒否した）です。以下はそれぞれのよくある原因です。

追加する行 — # BEGIN WordPress のブロックより上に置きます。

# .htaccess in the WordPress root, above "# BEGIN WordPress"
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

/ セキュリティ

セキュリティ

• サービスごとに 1 つずつ. 1 つのアプリケーションパスワードを複数のツールで使い回さないでください。名前を分かりやすく付けておけば区別でき、1 つ失効させても他は動き続けます。
• いつでも失効できる. ユーザー → プロフィール → Application Passwords で Revoke を押します。以後 Orova は投稿できなくなり wp_auth を返します。再接続するには新しいパスワードを作り、チャンネルを保存し直します。
• Orova 専用アカウントも有効. 投稿には Author か Editor 権限の WordPress ユーザーで十分です。管理者権限を渡す必要はありません。
• パスワードは二度と表示されない. 保存後、チャンネル画面にはサイトのアドレスとログイン名しか表示されません。チャンネルを切断すると、保存済みのアプリケーションパスワードは削除されます。

/ まとめ

接続は一度だけ

Website チャンネルをつなぐと、他のチャンネルと同じようにそのプロジェクトに残り、Orova Social で投稿を作るときに選べます。パスワードやアカウントを変えたときは、3 つの欄を入力し直して Save channel を押すだけです。Orova は同じチャンネルを上書きし、重複したチャンネルは作りません。