WordPressのパスワード保護ページのPDFを直接URLアクセスからブロックする方法

PDFも画像もインターネット上にアップロードしている以上、Googleの画像検索などから誰でもアクセスできます。これは当たり前のことです。

ある日お客さんから連絡が来ました。

「パスワード保護したページにアップロードしたPDFが画像検索から見えている。個人情報が載っているので困る。」

理不尽・・・

そもそもインターネットにアップロードしている時点で特定の人だけに見せるのは難しいです。パスワード保護をしているから安全、そんなことはありません。

スクリーンショットを撮られてアップロードされたら防ぐ手段はありません。

でも怒られるのはいつもこちら側(現場で頑張る者たち)……ということで対策です。

セキュリティは簡易的ですが、インターネットの危険性を理解したうえで実装していきましょう。

この方法でできること

PDFへの直接URLアクセス制限
URL直打ち対策
一部クローラーからの単純アクセス抑止
WordPress記事内リンクの自動トークン付与

この方法でできないこと

スクリーンショット防止
URL共有後のアクセス防止
完全な閲覧制御
高度なクローラー対策

やりたいこと
functions.phpの設定
.htaccessの設定
動作確認
注意点
まとめ
1. 参考リンク

やりたいこと

WordPressの記事にあるPDFリンクに自動でトークンを付ける
サーバー(.htaccess)がそのトークンが付いているアクセスだけ許可する
トークンなしの直接URLアクセスは403でブロック

functions.phpの設定

まずfunctions.phpにPDFリンクへ自動でトークンを付与するコードを追加します。

記事内のPDFリンクを自動で検出して?token=abc123を付け加えます。すでにクエリパラメータがある場合は&token=abc123として付与します。

functions.phpに記述

function add_token_to_pdf_links($content) {
    $token = 'abc123'; // .htaccess で使っているトークンと一致させる
    $pattern = '/(href=["\'])([^"\']+\.pdf)(["\'])/i';
    $content = preg_replace_callback($pattern, function ($matches) use ($token) {
        $url = $matches[2];
        if (strpos($url, '?') !== false) {
            $url .= '&token=' . $token;
        } else {
            $url .= '?token=' . $token;
        }
        return $matches[1] . $url . $matches[3];
    }, $content);
    return $content;
}
add_filter('the_content', 'add_token_to_pdf_links');

記事のPDFリンクにカーソルを合わせると、ステータスバーに自動でトークンが付いたURLが表示されます。

.htaccessの設定

次に/wp-content/uploads/ディレクトリの中にある.htaccessをFFFTPなどのFTPソフトで開いて編集します。

FFFTPで/wp-content/uploadsディレクトリ内の.htaccessファイルを確認している画面

以下のコードを追加します。

.htaccessに記述

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_FILENAME} -f
RewriteCond %{REQUEST_URI} \.pdf$ [NC]
RewriteCond %{QUERY_STRING} !(^|&)token=abc123(&|$)
RewriteRule \.pdf$ - [F,L]
</IfModule>

token=abc123の部分はfunctions.phpで設定したトークンと必ず一致させてください。