reCaptchaでブログサイトをスパムから守る方法/wordpress

備忘録_52 / wordpress_21

wordpressのブログは、閲覧者が投稿記事に対してコメントを付けられる「コメント機能」や、他のブログサイトへのリンクを張った際に、リンク先の相手に対してリンクを張ったことを通知する「トラックバック機能」が存在しています。今までセキュリティ対策がガバガバだったのでこれらの機能をOFFにして運用してきましたが、今回はこれらの機能を立ち上げます。

スパムについて

膨大な量のメッセージを手当たり次第に送り付ける作業を、オートマチックで且つ低コストで行える為、１０万通に１通のヒット率でも採算が取れると言います。儲かるうちはスパムを根絶することは困難であるといわれております。

因みにコンピュータ用語のスパムの語源も、やはりスーパーで売っているポークランチョンミート缶のSPAMに由来し、最初はハッカー文化の中だけで使われていた隠語でした。
スパムの缶詰は頑丈で保存性に優れ、備蓄食料として適している上、そのまま食す事が可能であり、カロリーも高い。このため、主に軍需物資として需要があり、第二次世界大戦や朝鮮戦争・ベトナム戦争でも戦闘糧食として用いられました。
ヘリの上から地上に食料物資が投下され、毎日のように兵士の下に送られてくるスパムの缶詰。
昨日もスパム、今日もスパム、明日もスパム、スパム、スパム … … と、兵士たちはそうぼやいたと言います。

不気味に鮮やかなピンク色の肉の塊りランチョンミート、しかしこの味、どこかで食べたことがあるような懐かしい味がします … …というか、お弁当のタコさんに使われる赤ウィンナー（ポールウインナー）の中身なのだそうです。

Akismet アンチスパムプラグイン

スパムメッセージは、サイトの管理者である私にも、このサイトの記事を読みに来たお客様にも目障りになります。
スパム行為の放置は客離れに直結します。そうは分かっていても、真面目に対処をするとなると手間ばかりかかる厄介な代物です。何故なら相手は疲れを知らないロボットだからです。

そこで、目には目を、ロボットにはロボットで対抗しましょう。それがアンチスパムです。

Akismet利用するまでの手順
① WordPress.comにユーザー登録する。
② AkismetでAPIキーの発行を受ける。
③ プラグインにAPIキーを入力してプロテクション機能を有効化する。

Is my site commercial?
If your site has advertising or affiliate links, sells products or services, solicits donations or sponsorships, or is in any way related to a business or educational organization — your site is considered commercial.
While we rely on customers to self-select their plan, we do perform periodic audits of accounts to ensure the correct plan was selected.

私のサイトは商用ですか？
お客様のサイトに広告やアフィリエイトのリンクがある場合、製品やサービスを販売している場合、寄付やスポンサーを募っている場合、または企業や教育機関に何らかの形で関連している場合、お客様のサイトは商業的なものとみなされます。当社では、お客様にご自身でプランを選択していただいておりますが、正しいプランが選択されているかどうか、定期的にアカウントの監査を行っています。

Google reCAPTCHAについて

reCAPTCHAもアンチスパムですが、Akismetの様な従来のアンチスパムとは設計コンセプトからして異なります。皆さんもGMailやYahooMailの迷惑メールフォルダを使っていると思いますが、これらのアンチスパム機能は迷惑メールと思わしきメールを予め仕分けしておいてくれるだけものであって、最終的に消すか消さないかは個々の判断に委ねられます。事実ときどき重要なメールが迷惑メールフォルダに仕分けされ紛れ込んでいる時があったりします。
Akismetのアンチスパム機能も基本的にそれと同じ仕組みの物です。

reCAPTCHA v1

一番最初に登場した初期のreCAPTCHAです。この様な画像が表示されて読み方の入力を求められた事はないでしょうか？当時のグーグルは、Googleブックスなる新規事業を始めるべく書籍を電子化するため本をスキャナーで読み取りスキャンを行っており、OCRソフトウェア（文字認識ソフト）が認識できなかった文字を人に判別させて人工知能AIに機械学習させていました。文字が読めて入力できる、つまりそれはボット（＝ロボット）でなく人間であるという事です。これにより、何十年もかかる紙書類のデジタル化をたったの２年で終えたと言われています。

reCAPTCHA v2

リキャプチャバージョン2には設計概念が異なるInvisible、Checkbox、グーグルスマホ専用のAndroidと、３つのタイプがありました。当時のグーグルは完全自動運転カー「Google Car」の開発を秘密裏に進めており、人工知能AIによる画像解析技術を確立させる必要がありました。
ロボットでないと自己申告してからタイル選択するcheckbox。スコア判定によりタイル選択するinvisible。
v2はどちらも上記の様に２ステップからなります。これはcheckboxとinvisibleを比較検証する為に用意されました。
invisibleの精度がどれほどの物かを評価するために、checkboxが存在しております。… と言う説明わかるかしら …。

reCAPTCHA v3

リキャプチャバージョン3は、v2_invisibleの改良型です。面倒なチェックボックスもタイルチェックもオミットされました。
2021年現在、v2_checkboxと、v3_invisibleのどちらのサービスも使えますが、チェックボックスを付ける煩わしさの無いバージョン3の方がバックグラウンドでユビキタスに動作してユーザビリティが高いと思います。

v3はwebサイト内での挙動を監視します。ある人はページを開いた瞬間に、ここには探したい情報が無いであろう事を察知して即閉じしてしまいます。ある人は記事を雑把に流し読みしたり、またある人は目を凝らして熟読したりします。どれも正しい使われ方であり何ら問題ありません。インターネットなんて所詮人間にとってただの便利道具に過ぎません。問題はサイト運営者にとって厄介者でしかないスパム（ボット）をどのように弾くかなのです。v3は人間でもロボットでも全てのリクエストを素通し（応答）します。その様なやり取りを通じてwebサイト内でのそれら挙動をつぶさに監視して「人間らしさ」のスコアを算出します。デフォルト（初期値）では【0.5】を境にして人とボットを判別します。この開発側とハッカーの競争は永遠に終わる事の無いいたちごっこの関係にあります。

インターネットが商用利用される以前、その前身は他国からのミサイル攻撃に備え、アメリカ国防総省の機密文書を各重要軍事拠点に分散所持する為にメインコンピューターを相互接続する為の軍用ネットワークでした。
クラッキング技術もセキュリティ技術も、攻防とそのどちらも重要な技術ですが、何より欲しい物はその中身、情報（データ）です。アメリカCIAで使われる諜報技術にOSINT（open-source intelligence）というものが存在します。

オシントは「合法的に入手できる資料」を「調べて突き合わせる」手法である。情報源は政府の公式発表、マスメディアによる報道・インターネット・新聞・書籍・電話帳・科学誌その他を含む。具体的には、対象国の方針を割り出すために、対象国の新聞社交欄、ニュースの断片、人事の異動発令、発表報道などを丹念に集積し、分析するといった手法である。
細かいデータを少しずつ集めて分析するだけでも、相当な精度の情報が得られることがある。
via:wikipedia_オープン・ソース・インテリジェンス

実にCIAのお仕事の95％はOSINTだというのです。ご覧のように私のブログサイトは取るに足らぬ情報しかないのですが、それも含め数多ある膨大な数のサイトを総ざらい網羅する事で日本全体が明け透けに見えてくるのだそうです。
意外ですよね、007ジェームズ・ボンドのようなスパイやエージェントが華麗にトップシークレットを盗みだす様なド派手な世界（HUMINT）や、金盾・エシュロンといった情報傍受技術（SIGINT）は、仕事全体のほんの5％程で、それは95％から浮かび上がった情報の裏付けを取る為の確認に必要な情報収集の任務だったりします。
情報を整理する事が如何に大切かわかるような気がします。逆にガセネタをがっちり掴ませることが出来れば hehehe
…… いえ、それは既に超有能なハッカーですから。というか話が本線から大きく脱線してしまったでござる、orZ

reCAPTCHA v3の導入方法

Google reCAPTCHAの登録の仕方

今回、インストールするadvanced nocaptcha & invisible captchaプラグインですが、こちらはサードパーティー製のプラグインとなっており、スグにそのまま使えるわけではありません。まずはGoogleのreCAPTCHA公式ページでユーザー登録をしてAPIキーを取得します。

advanced nocaptcha & invisible captchaの設定方法

一昔前は、Invisible reCaptcha for WPと言うプラグインが評価が高く一番使われておりましたが、約２年ほど前から更新が止まっており、現在は、こちら advanced nocaptcha & invisible captcha の方が人気があるようです。[reCaptcha]と入力して[nocaptcha]が検索の一番上に出て来てしまうのですから、もうこちらに乗り換えで宜しいのでないかと思います。

[パスワード紛失フォーム] などの項目は、wordpress管理画面にログイン後、[ユーザー]→[プロフィール]から行いますが、ログインしたのは私以外にあり得ず、ロボットであるハズはないのでもしかしたら要らないかもしれません。いざパスワードリセットしようと思ったら、ロボットと認定されて弾かれるなんて事にもなりかねないので…^^;
[bbpress 新規トピック] とは、bbpressという自サイトに掲示板やフォーラムを立ち上げるプラグインがあり、この入力フォームを有効化できるようになります。以降の項目はプラグインを入れて無ければcheckする必要はありません。
[BuddyPress] とは、SNSを使って会員制のコミュニティをつくるプラグインです。
[woocommerce] とは、ネットショップを開店するために使うオンライン決済用のプラグインです。

[エラーメッセージ] タイルの選択を間違えた時に表示させるエラーメッセージを編集できるようですが、
v3ではタイルの選択画面が出ないので、エラーメッセージも表示されません。
[captchaの言語] 自動検出で日本語になっていると思います。
[v3スクリプト読み込み] 精度の高い解析が行えるように全てのページでスクリプトを読み込む。
[Captcha スコア] デフォルト（初期値）は「0.5」ですが、足切を行う精度が低い場合は調節します。
[ホワイトリスト登録済みIP] 固定IP回線をお使いならば、自身の入力操作は監視対象外にできます。
[ログインで非表示] サイトにログインしているユーザーはロゴマークが表示されない。

reCAPTCHAのカスタマイズ方法

まず、この画面を上下にスクロールさせるときに追従して付いてくるreCAPTCHAのマークが非常に目障りです。

‘d like to hide the reCAPTCHA badge. What is allowed?
You are allowed to hide the badge as long as you include the reCAPTCHA branding visibly in the user flow. Please include the following text:

This site is protected by reCAPTCHA and the Google
    <a href=“https://policies.google.com/privacy”>Privacy Policy</a> and
    <a href=“https://policies.google.com/terms”>Terms of Service</a> apply.

For example:
    recaptcha@example.com               
    ……………………                            
This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.

日本語訳 ：reCAPTCHAのバッジを非表示にしたいのですが。許されますか？

日本語訳 ：ユーザーが往来する流れの中でreCAPTCHAのブランドを目立たせることができれば、
　　　　　 バッジを隠すことができます。HTMLに以下のテキストを入れてください：

　　　　　 This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.
日本語訳 ：このサイトはreCAPTCHAで保護されており、Googleのプライバシーポリシーと利用規約が適用されます

と、この様にマークは消しても良いように書かれております。但し、バッチを表示させておくメリットもあります。例えば、GoogleのreCAPTCHAサーバーか、ネット回線に何らかのトラブルが発生した際はマークの表示が消えるので一目瞭然でそれがわかります。
… … が、やっぱり邪魔ですので消しましょう。

styleCSSのカスタマイズ

こちらが今回使用したプログラムで、このままコピー＆ペーストで使えます。

/* recaptchaのマークを消す 開始 */
.grecaptcha-badge {
    visibility:hidden;
}
/* recaptchaのマークを消す 終了 */

プログラムの説明
recaptchaのバッジを非表示にします。visibility:hiddenは名前の通り、要素は存在しているが見えない状態。

コメントフォームのカスタマイズ

こちらが今回使用したプログラムで、このままコピー＆ペーストで使えます。

<p><span style="font-size: 10px;">
This site is protected by reCAPTCHA and the Google
 <a href="https://policies.google.com/privacy">Privacy Policy</a> and
 <a href="https://policies.google.com/terms">Terms of Service</a> apply.
</span></p>

プログラムの説明
英語を読むと頭が痛くなりまね。目立たない様に文字を小さくする配慮をしました。（※個人的感想です）

最低限ではありますがスパム対策が出来ましたのでコメント欄を解放します。（このページの最下部にあります。）
もしよろしかったらコメント等を残して頂ければ大変励みになります。今回は以上です。

Eyecatch image：houzz.com,1880s brownstone/SilviaP_Design,Dina Dee,DrSJSによるPixabayからの画像