投稿者:: @8thty

ver,2.5.5からユーザー認証が必要になったということですが、バージョンアップの度に
自動的にリクエストメールが届き、その度にユーザー認証するという意味でよかったでしょうか。

バージョンアップの度ではなく、最初に認証すれば以降はテーマ更新が通知され更新できるようになります。

投稿者:: @8thty

昨日、SWELL会員サイトに登録している連絡メールアドレスに、サイトからSWELLの
ユーザー認証リクエストがされたとの通知メールが届きました。
自分のほうで、リクエストはしていませんでした。

過去に第三者にテーマを共有又は提供したことはありませんか？ご自身の操作でない場合、第三者がメールアドレスとSWELLテーマを利用できている状態かもしれないです。

まずは解説ページから見直してみてください。

https://swell-theme.com/basic-setting/8974/

返信ありがとうございます。

SWELLは先月導入したところで、メールアドレスとともに第３者に共有したことはありません。
またSiteGuardを使っており、そのログイン履歴には、怪しいIPアドレスはありませんでした。

引用いただいたユーザー認証の手引きを再度確認いたしました。少なくともリクエストメールが
きている以上、第３者がサイトにログインしてリクエストしたという可能性があるということなの
ですね。（現在、ユーザー認証は未完了の表示になっていますが、先月の導入時には済ませて
おります）

対策としては、どのようなことが必要でしょうか。

お手数をかけます。

投稿者:: @8thty

（現在、ユーザー認証は未完了の表示になっていますが、先月の導入時には済ませて
おります）

これが正常に行われていれば同一ドメインで再認証は必要ないはずです。複数サイトでSWELLを利用されてませんか？

サイトごとに認証が必要です。

一度認証済みのサイトでは、解除しない限りは必要ありません。

どのサイトに対する認証リクエストか、がメール本文に記載されているとおもいますが、

・そのサイトはご自身の所有するサイトでしょうか？

・ご自身のサイトの場合、そのサイトでの認証状況はどのような状態でしょうか。

投稿者:: @8thty

現在、ユーザー認証は未完了の表示になっていますが、先月の導入時には済ませて
おります

というのが気になります。

「済ませている」のに「未完了の状態」というのはどういう意味でしょう？

skillsharejp様、了様、早々の返信ありがとうございます。
仕事のため、こちらからの返信が遅く申し訳ありません。

skillsharejp様

>複数サイトでSWELLを利用されてませんか？

いえ、ワンサイトのみで使用しております。

了様

>・そのサイトはご自身の所有するサイトでしょうか？

仰る通り自分のサイトです。

>・ご自身のサイトの場合、そのサイトでの認証状況はどのような状態でしょうか。

現在は、アクティベート設定ページで、「！認証URLの期限が切れています。」と表示されて
います。また、ダッシュボードにも、「SWELLのユーザー認証が完了していません。現在、
バージョンアップデート機能が制限されています。」との表示が上がってきています。

>「済ませている」のに「未完了の状態」というのはどういう意味でしょう？

先月１０日に、SWELLを購入し、アクティベートを済ませました。認証はその時点で完了していました。
しかし、今月９日未明にリクエストメールが届き、ログインすると、ダッシュボード、アクティベート
ページに上記のような表示がされていました。それまでは、ダッシュボードにもそうした表示は
ありませんでした。

想定できることはありますでしょうか。
直近で最後にした動作は数日前にWordfenceを導入したことです。

１つ気になりましたのは、ユーザー認証で登録しているドメインは、サーバー契約時の初期ドメイン
（独自ドメインでない）です。現在は、独自ドメインを使用しています。意味が通じるかわかりませんが
どちらのドメインも同じサイト表示がされています。（同じものという意味です）
ただ、いずれにしても先月１０日の時点で、SWELL購入-ユーザー―認証と独自ドメインの設定は済ませております。

時系列としては、独自ドメインを取得、設定後にSWELLを購入、しかしユーザー認証時のドメインは、初期ドメインを登録してしまった。と思います。

９日のリクエストメールに記載されていたドメインは独自ドメインでした。

”「独自ドメイン」でSWELLのユーザー認証がリクエストされました。”とメールに記載されています。

投稿者:: @8thty

１つ気になりましたのは、ユーザー認証で登録しているドメインは、サーバー契約時の初期ドメイン
（独自ドメインでない）です。現在は、独自ドメインを使用しています。

この場合だと両方のドメインで認証が完了してある事が必要です。

投稿者:: @skillsharejp

この場合だと両方のドメインで認証が完了してある事が必要です。

返信ありがとうございます。

理解が足らず、ご教授ありがとうございました。
本日、夜に認証します。

リクエストせずにリクエストメールが届いたのも、これが原因と考えてよいでしょうか。

投稿者:: @8thty

リクエストせずにリクエストメールが届いたのも、これが原因と考えてよいでしょうか。

サイト運営者が操作しない限りリクエストメールは自動送信されないです。

投稿者:: @skillsharejp

サイト運営者が操作しない限りリクエストメールは自動送信されないです。

返信ありがとうございます。

そうなのですね。やはり第３者がログインしてリクエストした可能性を考えて、
セキュリティの見直しを図ろうと思います。
（改ざんされたようなことはないと思われるので、リクエストだけというのも
不思議ではあります。）

セキュリティ対策ですが、

・ログイン名変更
・パスワード変更
・ログインページ変更
・ログイン失敗回数制限
・ログイン画像認証

以上がこれまで取り組んでいたセキュリティ対策です。調べたところ、BASIC認証なども
あるようですので、取り組んでみようと思います。

可能でしたら、他にもっと取り組んでおいたほうがよいことがあればご教授いただけない
でしょうか。

複数回、回答いただきお手数をかけていながらの再質問でおそれいります。

@8thty ログイン履歴をIP別に確認できれば万が一不正ユーザーがいた場合でも便利です。またセキュリティプラグインが複数重複しているのでどれか一つに絞るか、専門家の指導の下で最適な組み合わせを選ぶ方が良いです。

断定する情報が無いので憶測ではあるものの、SWELLの認証をするだけのために第三者がサイトに不正アクセス禁止法を犯してまでやるメリットがどこにあるかな？とは最初から感じています。

返信ありがとうございます。

ログイン履歴はプラグインで調べられそうですね。
ありがとうございます。
IP別に確認できないか調べてみます。

また、セキュリティプラグインについても、最適な組み合わせを選んだほうがよいのですね。
何が必要かをまず考えて指導いただこうと思います。

サイトの隅々までみているわけではないのですが、仰る通り不思議ですが、ご質問させて
いただいたことで、不安がかなり軽減されました。

まず、できるところから取り組んでいこうと思います。
お手数をおかけしました。

skillsharejp　様、ありがとうございました。
了　様、ありがとうございました。

御礼申し上げます。