ロリポップでアプリケーションパスワードが使えないときの原因と対処

ロリポップでアプリケーションパスワードが通らない仕組み

アプリケーションパスワードは、WordPressの外のツールがREST APIを使うときの鍵で、通信のAuthorizationというヘッダーに載せて送られます。PHPをCGIやFastCGIの形で動かしているサーバーでは、Apacheがこのヘッダーを受け取ってもPHPに渡しません。WordPressからは「認証情報が届いていない」ように見えるので、rest_not_logged_inというエラーで断られます。

ロリポップはPHPがこの形で動いていることが多く、そのままではアプリケーションパスワードが通りません。発行の画面はふつうに使えるので、鍵を間違えたのかと思って何度も作り直す人がいますが、鍵の問題ではありません。ほかのホスティングでも、PHPがCGI版で動いていれば同じことが起きます。

.htaccess に3行足す

直し方は、Authorizationヘッダーの中身を環境変数にコピーしてPHPに渡す、という設定を.htaccessに書くことです。ロリポップのユーザー専用ページにあるファイルマネージャーか、FTPで、WordPressが置いてあるフォルダの.htaccessを開いて、先頭に次の3行を足します。

RewriteEngine On

RewriteCond %{HTTP:Authorization} ^(.*)

RewriteRule ^(.*) - [E=HTTP_AUTHORIZATION:%1]

書く場所は「# BEGIN WordPress」より上です。「# BEGIN WordPress」から「# END WordPress」の間はWordPressが自分で書き換えるので、そこに書くと消えることがあります。編集する前に、元の.htaccessをダウンロードして手元に残しておいてください。1文字間違えるとサイト全体が開かなくなるファイルなので、開かなくなったら元のファイルに戻します。

足したあとに確かめること

もう一度アプリケーションパスワードで接続してみてください。それでも通らないときは、別のものが止めていることがあります。ロリポップのWAFがREST APIへの通信を遮断している場合は、ユーザー専用ページのWAF設定で一時的にオフにして試します。SiteGuardやAll In One WP Securityのようなセキュリティプラグインにも、REST APIをログインしていない人に見せない設定があって、それが認証そのものを断っていることがあります。プラグインの設定でREST APIの制限を外すか、除外を足してください。

.htaccess を触りたくないときの他の方法

いつものログインID・パスワードで入る方法なら、ログイン画面を通るのでAuthorizationヘッダーは使いません。この設定を足さなくても通ります。鍵を渡したくない場合は、管理画面のツール → サイトヘルス → 「情報」タブにある「サイト情報をクリップボードにコピー」を押して、その中身を貼る方法があります。入っているプラグイン、PHP、サーバーのことはこれで分かります。管理者の人数など、一部は出ません。

この診断でできること

中まで点検は、いつものログインID・パスワード、アプリケーションパスワード、サイトヘルスの貼り付けの3つの方法を用意しています。ロリポップでアプリケーションパスワードが通らないときは、.htaccessを触らずにほかの2つのどちらかで進めてください。赤黄緑の判定までは無料で、点検の間だけ鍵を使って、読み終わった時点で捨てます。