WordPressでパスワード保護しても画像・PDFが見える｜公開範囲の確認方法

WordPressの記事をパスワード保護したのに、掲載した画像やPDFをURLから開くと、そのまま見えてしまう。設定を間違えたのか、どこまで公開されているのか迷うことがあります。

このときは、記事の設定とファイルの公開範囲を分けて考える必要があります。記事にパスワード入力欄が出ていても、画像・PDFの保護まで確認できたことにはなりません。

この記事では、確認するURLの違いと、ログインや記事のパスワード入力をしていない状態での確認手順を解説します。結果を見て、記事本文だけを保護すればよいのか、ファイルの保存先や閲覧制限の方法も見直す必要があるのかを判断しましょう。

保護される範囲と3種類のURL

WordPress標準の「パスワード保護」は、投稿・固定ページの本文を表示する前にパスワードを求める機能です。メディアにアップロードした画像やPDFの直接URLまで、同じパスワードで保護する機能ではありません。

記事本文と、そこに表示・リンクしているファイルは、別のURLで配信されます。ファイル側に別の制限がなければ、記事を経由せずに画像を表示したり、PDFを開いたりできる場合があります。

追加のファイル保護がない場合の関係を示した図です。記事の入力欄と、ファイルへのアクセス制限は別に確認します。

似た名前のURLがあるため、次の3つを区別してください。

• 記事URL：投稿や固定ページの本文を読むページです。ここで入力欄が出るかを確認します。
• 添付ファイルのページURL：画像などをWordPressのページとして表示するURLです。テーマの見た目や説明文が付くことがあり、ファイルそのもののURLとは区別します。
• ファイルの直接URL：画像・PDFそのもののURLです。「メディア」の詳細画面にある「ファイルのURL」からコピーします。

以下は架空のURL例です。同じサイトでも、記事とPDFは別のURLを持ちます。

記事：https://example.com/members/
PDF：https://example.com/files/sample.pdf

実際のファイルURLは保存先によって異なります。例にならって書き換えず、メディア画面からコピーしたURLを使ってください。

WordPress 6.4以降の新規サイトでは、添付ファイルのページを無効にし、ファイルへ転送する動作が標準になりました。既存サイトや設定によって動作が異なるため、添付ファイルのページが開くかだけで保護の成否を判断しないでください。変更の内容はWordPress公式の添付ファイルページに関する説明（英語）で確認できます。

また、WordPress.com公式の投稿・ページの表示設定にも、保護された投稿内のメディアへ直接アクセスできる場合があると案内されています。ここで扱うのは標準の投稿保護で、会員制プラグインやサーバー側の制限を追加しているサイトでは結果が変わります。

公開範囲を確認する手順

すでにパスワード保護している記事を対象に、設定とURLを控えてから、閲覧者の状態で確認します。確認のために保護を解除したり、下書きを新たに公開したりする必要はありません。

この手順は、PCで対象記事を編集でき、メディアライブラリを開ける方を対象にしています。通常のブラウザーでWordPressにログインし、記事URL・ファイルURL・確認結果を控えるメモを用意してください。必要な画面が開けない場合は、サイトの管理者に確認を依頼します。パスワードそのものをメモへ書く必要はありません。

下書きのプレビューを他の人へ共有したい場合は、記事のパスワード保護とは確認点が異なります。先にWordPressの下書きプレビューが見られないときの確認方法を参照してください。

設定欄の画像はWordPress 7.1.2、ファイルURL欄は7.1.3の例です。7.1.3の管理画面でも操作名を確認しています。バージョンや編集画面によって、「ステータス」「公開状態」などの表記が異なります。

確認結果の見方

記事URLではパスワード入力欄の有無を、ファイルURLでは表示・ダウンロードできるかを確認します。結果を一組で見て、次に確認する場所を選んでください。

記事URLの結果	ファイルURLの結果	判断・次の確認
入力欄が出る	表示・ダウンロードできる	ファイルは未認証で見られる
入力欄が出る	認証・拒否の画面	ファイル側の制限を確認
本文が見える	結果を問わない	記事の設定と閲覧状態を再確認

記事URLで入力せず本文が見える場合は、開いた記事が正しいか、保護設定が保存されているか、STEP 3の閲覧状態になっているかを見直します。解消しなければ、別の制限機能や、以前の表示を保存するキャッシュの影響も、サイトの管理をしている人や制作会社へ確認してください。

エラーになっただけでは、保護が成功したとは言い切れません。URLのコピー間違いや、ファイルの削除・移動でも開けなくなるためです。まず、同じURLで対象ファイルを確認できているか見直してください。

ファイルを保護する設定を導入した場合は、許可していない人には見えず、許可した人には同じ対象ファイルが見えることを確認します。

本文だけを限定し、画像や資料は公開してよい運用なら、記事に入力欄が出ることを確認した時点で、今回の確認は終了です。ファイルが見えることを理由に設定を変える必要はありません。ファイルも限定したい場合だけ、次の選択肢を検討します。

画像・PDFまで保護したい場合の選び方

「誰に、どのファイルを見せたいか」を先に決めます。次の3つはすべて行う手順ではなく、用途に合わせて選ぶ代替案です。少人数への資料共有、サーバー内の専用フォルダー、会員ごとの配布のうち、自分の用途に合う説明へ進んでください。

限られた相手への資料共有

特定の相手にPDFなどを渡す用途なら、閲覧者を指定できるファイル共有サービスを候補にできます。「リンクを知っている全員」への公開と、指定した利用者だけへの共有を区別し、相手の権限で閲覧できるか確認します。

記事からリンクする場合も、移動先の共有設定がファイルの公開範囲を決めます。共有先を限定したあとで、権限のない状態からそのリンクを開き、内容が表示されないことを確かめてください。

専用フォルダーへのアクセス制限

ファイルの保存場所を管理できる場合は、専用フォルダーに対するサーバー側の認証も選択肢になります。たとえば、エックスサーバーには指定した実フォルダーへID・パスワードを求めるBasic認証があります。仕様と設定対象は、エックスサーバー公式のアクセス制限の説明で確認できます。

WordPressの記事URLと、サーバー内の実際の保存フォルダーは同じとは限りません。共通の画像保存先であるuploads全体に制限をかけると、公開記事の画像にも影響します。保護対象と公開用のファイルを分け、影響範囲を確認してから、サイトの管理をしている人や制作会社が設定します。変更前に対象フォルダーと元の設定を記録し、公開画像が見えなくなった場合は追加変更を止め、設定した担当者へ戻し方を確認してください。

保存場所の見方に迷う場合は、エックスサーバーのファイルマネージャーとフォルダーの見方を参照してください。確認の段階でファイルを移動・削除する必要はありません。

会員向けダウンロード機能

会員ごとに資料を配布するなら、ファイルを開く・ダウンロードするときに、閲覧を許可された利用者かを確認する仕組みが必要です。製品説明では、記事やダウンロードボタンの表示制限だけでなく、元ファイルの直接URLも制限する機能があるかを確認してください。

導入後は、許可された利用者と許可されていない利用者の両方で確認します。会員ページからリンクを隠せていても、控えておいたファイルURLから表示・ダウンロードできるなら、求めている範囲の保護はできていません。

すでに公開したファイルの扱い

記事から画像やPDFへのリンクを消しても、控えられた直接URLへのアクセスが止まるとは限りません。公開を止める必要がある場合は、サイトの管理をしている人や制作会社と対象URL・使用箇所を確認し、ファイル側の制限や公開コピーの扱いを決めてください。

保護された保存先へ移した場合も、以前のURLから表示・ダウンロードできないかを確認します。閲覧を許可した相手がすでに保存したファイルまで、記事の設定で回収することはできません。

よくある質問

下書きや非公開に戻せば、画像・PDFも非公開になりますか？

投稿の状態変更だけで、アップロード済みファイルの直接URLも保護されたとは判断できません。記事が見えなくなったあとも、必要なファイルURLを未認証の状態で確認してください。

ファイル名を推測しにくくすれば保護できますか？

見つけにくさと、閲覧を許可する仕組みは別です。URLが共有された場合も閲覧を限定したいなら、ファイルへのアクセス時に認証・権限を確認する方法を選びます。

noindexや検索結果からの削除で、直接アクセスも止まりますか？

止まりません。noindexは検索結果への掲載を制御するもので、URLを知る人の閲覧を制限する設定ではありません。検索表示とアクセス制限の違いは、Google公式のコンテンツ公開範囲に関する説明で確認できます。

まとめ

WordPressの記事をパスワード保護しても、画像やPDFの直接URLまで同じように保護されるわけではありません。まずは、記事とファイルを分けて確認しましょう。

• 記事URL、添付ファイルのページURL、ファイルの直接URLを区別する。
• 認証していない状態で、記事URLとファイルURLの両方を開く。
• ファイルも限定したい場合は、ファイルの保存先や、閲覧を許可する相手の設定を見直す。

本文だけを限定したいのか、資料そのものも限定したいのかで、必要な対処は変わります。設定画面のチェックだけで終えず、意図した相手にだけ対象の内容が見える状態を確認してください。