特定の IP アドレスを常に許可、または常に拒否したい場合に使用します。
なお、IP 許可リストと拒否リストは、国別制限よりも高い優先度で適用されます。

優先順位

アクセス判定は以下の順序で行われます。

1. IP 許可リスト
   リストに含まれる IP は、国別制限に関わらず常にアクセスが許可されます（最優先）。
2. IP 拒否リスト
   リストに含まれる IP は、国別制限に関わらず常にブロックされます。
3. 国別制限
   上記リストに該当しない場合、IPアドレスによるアクセス元国を判定し、アクセスを制御します。

対応する入力形式

許可リスト・拒否リストでは、以下の形式で IP を指定できます。1 行に 1 エントリずつ入力してください。

IP 許可リストの設定

許可リストに登録された IP からのアクセスは、管理画面保護・フロントエンド保護の両方で常に許可されます。以下の IP を必ず追加することを推奨します。

• 自分の IP アドレス
  ロックアウト防止のため
• 社内ネットワークの IP 帯域
  社内からのアクセスを常に許可
• 監視サービスの IP
  死活監視ツールからのアクセスを許可
• 外部サービスの IP
  連携している外部サービスからのアクセスを許可

IP 拒否リストの設定

拒否リストに登録された IP は、許可国からのアクセスであっても常にブロックされます。

以下のような用途で使用できます。

• ブロックログで繰り返し攻撃を試みる IP を特定し、手動で拒否リストに追加
• 既知のスパム IP 帯域を CIDR で一括ブロック
• 特定のホスティングプロバイダの ASN を指定してブロック

保護対象

管理画面保護を有効にすると、以下の URL へのアクセスが制限されます。

• /wp-admin/
  WordPress 管理画面
• /wp-login.php
  ログインページ
• /wp-signup.php
  マルチサイトのサインアップページ

設定項目

XML-RPC 保護

xmlrpc.php は WordPress の外部連携用エンドポイントですが、ブルートフォース攻撃の標的としてよく狙われます。管理画面保護の設定にある 「XML-RPC も保護する」 にチェックを入れると、管理画面と同じ制限ルールが xmlrpc.php にも適用されます。

REST API 保護

WordPress REST API のうち、セキュリティ上重要なエンドポイント（ユーザー情報、設定情報など）へのアクセスを制限します。「REST API も保護する」（デフォルト：有効）にチェックを入れると、管理画面と同じ制限ルールが適用されます。

REST API 保護が有効な場合、以下のようなエンドポイントが制限されます。

• /wp-json/wp/v2/users
  ユーザー情報の取得・変更
• /wp-json/wp/v2/settings
  サイト設定の取得・変更

設定例：日本国内からのみ管理画面にアクセスを許可

1. 保護の有効化を 有効 にします。
2. 国別制限を 有効 にします。
3. 許可する国に JP を設定します。
4. XML-RPC 保護を 有効 にします。
5. REST API 保護を 有効 にします。
6. IP 許可リストに自分の IP を追加します。
7. 設定を保存します。

この設定により、日本国外からの管理画面・ログインページ・xmlrpc.php・REST API へのアクセスがすべてブロックされます。海外出張時など一時的にアクセスが必要な場合は、IP 許可リストに出張先の IP を追加するか、緊急バイパス機能を使用してください。

設定ミスや IP アドレスの変更などにより、自分自身が管理画面からロックアウトされてしまった場合に使用する緊急復旧機能です。

仕組み

緊急バイパスは、トークンを含む特別な URL にアクセスすることで、一時的にアクセス制限を解除する機能です。

• バイパスの有効期間は 1 時間 です。
• バイパス中は、アクセス元の IP に関わらず管理画面にアクセスできます。
• バイパス中に設定を修正し、自分の IP を許可リストに追加してください。

事前準備：バイパス URL の確認

1. アクセス制御設定画面の「管理画面アクセス制限」セクションを開きます。
2. 「緊急バイパス URL を発行」 ボタンをクリックします。
3. 表示された URL をコピーし、パスワードマネージャーやメモ帳など安全な場所に保存します。

メールによるバイパス URL 送信

管理画面にアクセスできる状態であれば、バイパス URL をメールで送信することもできます。海外出張前など、事前に自分のメールアドレスに送信しておくと安心です。

ロックアウト時の復旧手順

1. 事前に控えておいた緊急バイパス URL にブラウザでアクセスします。
2. バイパスが有効化され、1 時間の間アクセス制限が解除されます。
3. 通常どおり /wp-admin/ にアクセスし、ログインします。
4. アクセス制御設定画面を開き、以下のいずれかを行います：
   • 現在の IP アドレスを IP 許可リストに追加する
   • 許可する国の設定を見直す
   • 管理画面保護を一時的に無効にする
5. 設定を保存します。
6. 必要に応じてキャッシュをクリア（メンテナンス画面）して、新しい設定を即座に反映します。

バイパス URL を紛失した場合

バイパス URL を紛失し、管理画面にもアクセスできない場合は、以下の方法で復旧できます。

• FTP / SSH でプラグインを無効化する
  wp-content/plugins/trustbrain-ip-access-control/ フォルダを trustbrain-ip-access-control-disabled/ にリネームすると、プラグインが自動的に無効化されます。管理画面にアクセスできるようになったら、フォルダ名を元に戻し、設定を修正してください。
• データベースから設定を変更する
  phpMyAdmin 等で wp_options テーブルの tbipac_backend_enabled を 0 に変更すると、管理画面保護が無効になります。

設定項目

制限対象の選択

フロントエンド保護では、全ページへのアクセスを制限するだけでなく、特定の操作だけを制限対象にすることもできます。

POST リクエストログ

フロントエンドで受信した POST リクエスト（フォーム送信、コメント投稿、AJAX リクエストなど）を記録する機能です。

記録される情報は、リクエスト日時、IP アドレス、リクエスト先 URL です。不審な POST リクエストの調査や、Pro 版の POST レートリミティングの前提条件として使用します。

設定例：コメントスパム対策

ページの閲覧は全世界に公開しつつ、コメント投稿だけを日本国内に制限する設定例です。

1. フロントエンド保護を 有効 にします。
2. 国別制限を 有効 にします。
3. 許可する国に JP を設定します。
4. 制限対象で コメント のみを有効にし、他のチェックを外します。
5. 設定を保存します。

5. その他

IP 検出方法の設定

正確なアクセス制御のために、サーバー環境に合った IP 検出方法を選択してください。

ブロック応答コードの設定

アクセスがブロックされた際に返す HTTP ステータスコードを選択できます。

ブロック時に表示するメッセージも「ブロックメッセージ」欄でカスタマイズできます（デフォルト：「Access Denied.」）。

エクスポート / インポート

画面右サイドバーから、プラグインの全設定を JSON ファイルとしてエクスポート・インポートできます。サイト移行や複数サイトへの設定展開に便利です。

初期設定に戻す

サイドバーの「初期設定を適用」ボタンをクリックすると、すべてのアクセス制御設定がデフォルト値にリセットされます。サイトのロケールと現在の IP から許可国が自動検出されます。