wp-jsonがアクセス禁止（403）でブロック…？

Googleサーチコンソールからのメール

Googleサーチコンソールから「ページがインデックスに登録されない新しい要因」についてのメールが来ていました。

何だろうと思って内容を見てみると「アクセス禁止（403）が原因でブロックされました」と書かれていました。

リダイレクトやnoindexなら何度か見たことがあったけどアクセス禁止は初見。

どこのページか確認してみると該当は1件で「wp-json」と書かれたURL。

試しにアクセスしてみたらJSONコードがずら～っと書かれているページでした。

そもそも「wp-json」ってのは何なんだ？ということでググってみると、どうやらWordPressのREST APIらしい。

REST APIってサードパーティーのアプリケーションが通信するためにどうのこうの…ってやつだっけ？

さらに、何も対策していないサイトの場合はwp-jsonの後に色々つけ足したURLを使ってログインIDを見れちゃったりもするみたいです。

念のため確認してみたらこのサイトは大丈夫そうだったのでとりあえず安心。

対策方法などの詳しい内容はこちらのサイトを参考にしました。（WordPress REST API によるユーザー情報を隠す – Xakuro）

IDがバレちゃったらパスワード総当たりでいつか突破されかねないので、ちゃんと確認した方がいいですね。

wp-jsonでユーザー名を見られないようにするのは出来ましたが、肝心のサーチコンソールのエラーの方は大した情報を見つけられませんでした。

そもそもwp-jsonがアク禁になることで悪影響はあるのだろうか。

ていうか、今までなんともなかったのに何で急に？

最近やったことといえばファビコンを変えたくらいだけど、コードを変えたり変な手順でやったわけでもないしな。

WordPressもプラグインも最新バージョンだし設定もいじってないし。

何ともないといいんだけど…。

（追記）

サーチコンソールの参照元ページの所に「urlscan.io」というのが載っていたので、ひょっとしたら誰かがこのサイトをスキャンしてそれでクロールされたのかも？

今思い出したけどちょっと前にリンク切れが無いかチェックするためにリンクチェッカー（urlscan.ioとは別のサイト）を使ったからそっちの線もあるか。

urlscan.ioについて調べましたが、ここは単にURLの安全度（マルウェアや詐欺サイトでないかどうか）をチェックするサイトっぽいので大丈夫そうです。

とりあえず「今すぐ対策しなきゃヤバい！」って案件では無さそうなことが分かったので良しとします。

おわり！