マルチユーザーおよびクライアントサイトでのWordPressユーザーアクティビティの追跡方法

サイトにログインすると、何かがおかしいことに気づきます。触ってもいないプラグインが消えている。午前2時に投稿が編集されている。身に覚えのないユーザーアカウントが管理者権限を持っている。

そして、WordPressにはユーザー履歴の記録がありません。何が起こったのか、誰がやったのかを知る方法がありません。

WordPressはデフォルトではユーザーアクティビティを記録しません。アクティビティ追跡を設定しない限り、サイトでのすべての変更はサイレントに実行されます。

このチュートリアルでは、サイト上のすべての重要なアクション（ユーザーアクティビティを含む）を追跡する方法を説明します。終了時には、確認しているかどうかにかかわらず、監査証跡とアラートルールがバックグラウンドで実行されている状態になります。

主なポイントは次のとおりです：

• WordPressには組み込みのユーザーアクティビティログがありません。プラグインがアクティブでない状態で変更が発生すると、その記録は永久に失われます。
• Duplicatorのアクティビティログは、ログイン、ログイン試行失敗、ロール変更、プロファイル編集、コンテンツ変更など、60以上のイベントタイプを追跡します。
• このプラグインは、アクティブ化された時点からのイベントのみをキャプチャします。問題が発生してからではなく、その前にインストールしてください。
• 通知を有効にすると、ログを手動で確認する必要がなくなります。

目次

WordPressユーザーアクティビティを追跡する理由

ユーザーアクティビティは予測が難しく、事後に監査するのはさらに難しく、見逃すと大きな結果につながる可能性があります。

ほとんどのWordPressサイトには複数のユーザーがいます。コンテンツを公開するエディター、プラグインをインストールする管理者、または下書きを確認するためにログインするクライアントです。アクティビティログがないと、誰が何を公開したか、誰が設定を変更したか、または何かが壊れる前にどの Вアカウントがアクティブだったかの記録はありません。

ユーザーレベルの追跡でのみ表示されるいくつかの項目：

• ログインパターン

誰が、いつ、どのIPアドレスからログインしたか。見慣れない場所から午前3時にアカウントがログインして変更を開始した場合、それについて知る必要があります。

• ロール変更

誰かが購読者を管理者に昇格させても、WordPressは警告しません。ログがないと、その Вアカウントが何か有害なことをするまで気づかないかもしれません。

• ログイン試行の失敗

単一のログイン失敗はノイズです。10分間に同じIPから15回のログイン試行失敗は、進行中のブルートフォース攻撃である可能性があります。ユーザーアクティビティ追跡は、そのパターンをキャッチします。

• プロファイル編集

パスワードの変更、メールアドレスの更新、表示名の変更は、アカウントの乗っ取りやユーザーが痕跡を隠蔽していることを示す可能性のある静かな変更です。

• 特定のユーザーに関連付けられたコンテンツの変更

投稿が編集されたことを知ることは有用です。それをアクセスすべきでない Вアカウントによって編集されたことを知ることが、実際に何かが間違っていたことを教えてくれることです。

複数の Вユーザーがいるサイトを管理している場合、ユーザーアクティビティを具体的に（一般的なサイトイベントだけでなく）追跡することで、問題が発生した場合に正常にトラブルシューティングできるようになります。

WordPressユーザーアクティビティの追跡方法

以下の手順では、アクティビティログプラグインのインストール、追跡するユーザーイベントの設定、アラートの設定、および必要なときのレコードの取得について説明します。全体のセットアップには約15分かかります。

実行する内容は以下の通りです。

• プラグインのインストールと有効化：アクティビティログを起動し、他の手順に進む前にイベントをキャプチャしていることを確認してください。
• イベント設定の構成とログの読み取り：9つのイベントカテゴリのいずれがアクティブであるかを確認し、ログ保持期間を設定し、ログがビジーになる前にログエントリの読み取り方法を学びます。
• ログのフィルタリングと検索：カテゴリ、重大度、および日付範囲フィルターを使用して、何百ものエントリをスクロールする代わりに、特定のユーザーアクションをすばやく見つけます。
• 重要なイベントのメールアラートの設定：高およびクリティカルな重大度のイベントの通知を構成して、ログを手動で確認することなく、重要なことが発生したときにすぐにアラートを受け取れるようにします。
• アクティビティログのエクスポート：クライアントレポート、コンプライアンスドキュメント、またはサポートチケットとしてレコードをCSVまたはJSONでダウンロードします。

ステップ1：Duplicatorのアクティビティログをインストールする

ユーザーアクティビティの追跡に特化して、私はDuplicatorによるアクティビティログを使用しています。ログイン、失敗した試行、ロールの変更、プロフィールの編集、コンテンツの変更など、60以上のイベントタイプを追跡します。

ユーザーが何をしているかを監視するために必要なすべてが得られます。

プランは1サイトあたり年間29ドルから始まります。すでにバックアップと移行にDuplicatorを使用している場合は、Duplicator Eliteバンドルにも含まれています。

アクティビティログを取得し、アカウントからzipファイルをダウンロードします。WordPressダッシュボードに新しいプラグインとしてインストールします。

次に、ウェルカム画面にライセンスキーを入力します。アカウントに接続されると、ログ記録はすでに開始されています。

ステップ2：ユーザーアクティビティログを読む

ログに依存する前に、2分かけて正しいものを追跡していることを確認してください。

アクティビティログ » 設定に移動し、イベントタブをクリックします。9つのカテゴリが表示され、それぞれにトグルがあります：

• ユーザー
• コンテンツ
• メディア
• プラグイン
• テーマ
• WordPress
• 外観
• 分類
• 設定

登録済みイベントタイプの下の各カテゴリを展開して、キャプチャされるものの完全なリストを表示します。ユーザーアクティビティを追跡するには、ユーザーがチェックされていることを確認してください。

設定を確認したら、左側の管理メニューのアクティビティログに移動します。各エントリは、左から右に表示されます：

• 重大度
• 日時
• ユーザー
• イベントの説明
• オブジェクト
• IPアドレス
• ソース

重大度の色は、エントリの緊急度を一目で示します。高は赤、中は黄色、低は青です。

今すぐログを確認してください。次に、ログアウトして再度ログインします。そこにユーザーのログイン/ログアウトエントリが表示されれば、すべて正常に機能しています。

ステップ3：ログをフィルタリングおよび検索する

アクティブなサイトでは、ログはすぐにいっぱいになります。フィルタリングなしでは、重要なエントリを見つけるために何百ものエントリをスクロールすることになります。

フィルターコントロールはログビューの上部にあり、ログを役立つものにしています。カテゴリ、重大度レベル、および日付範囲でフィルターできます。それらを組み合わせて使用してください。

これが実際にどのように機能するかを示す実例をご紹介します。私が書いた覚えのない投稿が公開されていることに気づきました。ログを開き、コンテンツカテゴリでフィルタリングし、日付範囲を前日に設定しました。

エントリは1つだけでした。見慣れないユーザー名です。これは、他の方法では特定するのに20分かかったであろう種類のものです。しかも、どこから手をつければよいか分かっていたと仮定した場合です。

日常的なログレビューでは、高およびクリティカルの重大度でフィルタリングしてください。これによりノイズが大幅に減り、1分未満でログをスキャンできるようになります。

ステップ4：重要なイベントのメールアラートを設定する

アクティビティログを手動でチェックする場合、それを実行することを覚えておく必要があります。アラートは、その問題を解決します。

アクティビティログ » 設定に移動し、通知タブをクリックします。メール通知をオンに切り替えて、メールアドレスを入力してください。

次に、どのアラートレベルがアラートをトリガーするかを選択します。クリティカルと高を有効にします。

中、低、情報については、ログのみのエントリとして残します。調査には役立ちますが、受信トレイを中断する価値はありません。

ユーザーアクティビティでアラートを出す価値のあるイベント：

• ログイン試行の失敗（特に同じIPからの繰り返し）
• 新しい管理者アカウントが作成されました
• ユーザーの役割が変更されました
• プラグインが無効化または削除されました
• コア設定が変更されました（管理者メール、サイトURL）

これに頼る前に、テストしてください。どのアドレスにアラートが届くかを確認してからログアウトし、意図的に間違ったパスワードを入力してください。

再度ログインすると、高重大度のログイン失敗イベントが数分以内にメールをトリガーするはずです。

ステップ5：アクティビティログをエクスポートする

ほとんどの人は、何かを記録する必要が緊急に出てくるまで、エクスポートについて考えません。その瞬間が来る前に、これがどのように機能するかを知っておく価値があります。

2つのフォーマットオプションがあります：

• スプレッドシートとクライアントレポート用のCSV
• サポートチケットと技術文書用のJSON

エクスポートする前にフィルタを適用してください。忙しいサイトで完全なログをダウンロードすると、大きくて読みにくいファイルが生成されます。

まず関連する日付範囲とイベントカテゴリにフィルタリングしてから、必要なものだけをエクスポートしてください。

実用的な例：クライアントが先月サイトで何が変更されたか尋ねてきました。日付範囲でフィルタリングし、CSVにエクスポートして、レポートに添付します。

よくある質問（FAQ）

サイトで何が起こっているかを知ることができます。それを維持しましょう。

監査証跡が実行され、アラートルールが構成され、必要なときにレコードを取得する方法があります。これは、ほとんどのWordPressサイトの所有者が設定するよりも多くのサイトのユーザーアクティビティの可視性があり、20分もかかりませんでした。

今後、簡単なログレビューをルーチンに組み込んでください。週に一度、アクティビティログビューアを開き、HighおよびCriticalの重大度にフィルタリングして、2分間スキャンしてください。

ほとんどの週では、対処する価値のあるものは何もありません。時折、ログインの失敗、予期しないロールの変更、または説明なしに変更された設定などが発生します。それらの瞬間こそ、ログがその価値を発揮する時です。

アクティビティログを定期的なバックアップスケジュールと組み合わせることもお勧めします。

アクティビティログは、何が起こったかを教えてくれます。しかし、すでに被害が発生している場合、頼りになるクリーンな復元ポイントが必要です。そこで、信頼できるバックアップルーチンが、ログ自体と同じくらい重要になります。

Duplicator Proは、スケジュールされたバックアップ、ワンクリック復元、そしてWordPressが完全にロックアウトされた場合でもサイトを復旧できる災害復旧URLを提供します。Eliteプランでは、Duplicator、Activity Log、WP Media Cleanupがバンドルされています！

ついでに、これらの他のリソースも気に入ると思います：

• WordPressはデフォルトでアクティビティを追跡しません：私がそれについてやっていること
• WordPressの監査ログを10分未満で設定する方法
• WordPressサイトのあらゆる変更を追跡する方法（壊れる前に）
• WP Activity LogからDuplicatorのアクティビティログに切り替えました：私が発見したこと
• WordPressデータベースメンテナンス：毎週、毎月、四半期ごとに行うべきこと