セキュリティとプライバシーの設定

​

プライバシーとコンプライアンス

• Cookie なし: 純粋なサーバーサイドの実装
• JavaScript なし: クライアントサイドのトラッキングコードなし
• データの最小化: HTTP メタデータのみで、コンテンツは含まない
• 自動秘匿化: 機密性の高いパラメーターを削除
• 公開ページのみ: 管理エリアとユーザーエリアを除外

​

データ収集

​

必須フィールド

​

任意フィールド

​

パスの自動フィルタリング

​

常に除外されるパス

wp-admin         # All admin pages and subdirectories
wp-login.php     # Login page
wp-cron.php      # Cron jobs
admin-ajax.php   # Admin AJAX calls
xmlrpc.php       # XML-RPC interface
wp-json/wp/*     # WordPress core REST API

​

リクエストタイプによる除外

• 管理画面からの参照リクエスト: Referer に wp-admin を含むすべてのリクエスト
• REST API 呼び出し: rest_route=/wp/* クエリパラメーターを含むリクエスト
• CLI 操作: WP-CLI コマンド
• 編集コンテキスト: context=edit パラメーターを含む REST リクエスト

​

パスフィルタリングの優先順位

1. 組み込みの除外 (wp-admin、wp-login.php など)
2. カスタムの除外パス (ユーザーが設定したパターン)
3. Referer のチェック (wp-admin からのリクエスト)
4. REST API のチェック (WordPress コア API)

​

クエリパラメーターの秘匿化

​

デフォルトで秘匿化されるパラメーター

password    # Password fields
pass        # Alternative password fields
token       # Authentication tokens
secret      # Secret keys
card        # Credit card fields
cc          # Credit card abbreviation
ssn         # Social security numbers

​

秘匿化の例

?username=john&password=secret123&product=widget&api_token=abc123

{
  "username": "john",
  "password": "[REDACTED]",
  "product": "widget",
  "api_token": "[REDACTED]"
}

​

Log Ingestion Token のセキュリティ

​

保存方法

WP_ENV_AGENT_ANALYTICS_API_KEY=bot_PROFOUND_LOG_INGESTION_TOKEN

define('WP_ENV_AGENT_ANALYTICS_API_KEY', 'bot_PROFOUND_LOG_INGESTION_TOKEN');

define('AGENT_ANALYTICS_API_KEY', 'bot_PROFOUND_LOG_INGESTION_TOKEN');

​

IP アドレスの取り扱い

​

検出の順序

1. HTTP_X_FORWARDED_FOR - リスト内の最初の IP (プロキシ/ロードバランサー用)
2. HTTP_CF_CONNECTING_IP - Cloudflare の実 IP ヘッダー
3. HTTP_X_REAL_IP - 代替のプロキシヘッダー
4. HTTP_TRUE_CLIENT_IP - Cloudflare Enterprise のヘッダー
5. REMOTE_ADDR - 直接接続 (フォールバック)

​

IP のプライバシーに関する考慮事項

• 匿名化なし: 正確なボット検出のため、完全な IP アドレスが取得されます
• サービスに必須: IP データは、地理的分析や逆引き DNS ルックアップに不可欠です
• GDPR への準拠: IP データの収集に関する法的要件を考慮してください

​

設定オプション

​

一般設定

​

プライバシー設定

​

詳細設定

​

カスタムパスフィルタリング

​

ワイルドカードパターンの例

/private/*           # Exclude all paths starting with /private/
*/temp/*            # Exclude paths containing /temp/
*.pdf               # Exclude all PDF files
/api/v1/internal/*  # Exclude internal API endpoints
staging.*           # Exclude staging subdomains

​

データ保持

​

プラグイン側の保持

• キューのエントリ: 送信が成功すると削除されます
• 失敗したエントリ: 指数バックオフで最大 6 回再試行されます
• 古いエントリ: 保持期間 (デフォルトは 7 日) を過ぎると自動的にクリーンアップされます
• キューの上限: 上限 (100,000) に達すると、最も古いエントリから破棄されます

​

API 側の処理

• 成功したログ: Agent Analytics によって即座に処理されます
• 検証エラー: 記録されますが、エントリはキューから削除されます
• 認証の失敗: キューが一時停止され、サーキットブレーカーが作動します

​

パフォーマンス特性

​

セキュリティのベストプラクティス

• 本番サイトでは、Log Ingestion Token をデータベースではなく環境変数に保存してください。
• サイトのすべての機密エリアがログから除外されていることを確認してください。
• Status タブを定期的に確認し、ログが正しく送信されていることを確認してください。
• 「Send Test Event」機能を使用して、実際のデータに影響を与えずに接続を確認してください。
• サーバーへの転送中のデータを保護するため、WordPress サイトで HTTPS を使用してください。