みらいほのかブログ

ワードプレスをアップデートしました。

ところが、いきなり警告オンパレード・・・・どうやら、トリガーエラーと呼ばれるものらしい。PHPプログラムについては、コミュネスの経営者の鶴岡駅前でプログラム教室をやってるパソコンドクターでかれこれ３年近くＰＨＰを学んできたので、今回のことは自分でソースを読んで理解することができました。

でも、不安もあるのでＰＣドクターやコスモス（パソコン教室の講師の先生）にも相談したりしてきました。鶴岡駅前パソコンショップ「コスモス」の講師はドクターのお弟子さんですが、某市立高校のITの先生も、パソコンドクターさんのお弟子さんだったりします。先生を教えてらっしゃる先生ですね。

さて、本題ですが、エラー条件をまとめてみました。

・ＦＴＰ接続が関係する場合
・ＳＳＬなしのノーマルＦＴＰ接続の場合
・コアアップデートやテンプレート、プラグインなど、ＦＴＰを経由する作業

この３つの条件に当てはまる場合、ワードプレス３．７以降の「wp-include/update.php」のソースに書かれているように、勝手にノーマルＦＴＰを強制的にhttps「ＳＳＬつき」のＦＴＰ接続にしなさい、という命令が書き込まれていました。ですから、SSLプランで運営する分には何もエラーは表示されません。コミュネスの「SSL在りサーバープラン」も本件におけるワードプレスのエラーは吐かないことは確認済みです。

Warning: 予期せぬエラーが発生しました。WordPress.org かこのサーバーの設定に何か問題があるかもしれません。問題が続くようであれば、サポートフォーラムを参照してみてください。 (WordPress は WordPress.org との安全な接続を確立できませんでした。サーバー管理者にご連絡ください) in /algon/xeon/clusterserver/mainframe0068/httpdocs/honoka/wp/wp-includes/update.php on line 119

こんな感じのエラーが３つほど表示されて画面を汚染してくださいます。もちろんサーバーには何も問題はなく、ＳＳＬなしプランで契約して利用させて頂いていますので、ＳＳＬなし標準コース。　よっぽど自分でＣＥＲＴサーバーでも作らない限り、セキュリティぼろもれのＳＳＬ事情で、それこそ年間10万円以下の腐った共有ＳＳＬなんて使えば、むしろ逆にパスワードやお問い合わせフォームの個人情報を「盗んでくださいよ」と言わんばかりのサイトになってしまいますから、ＳＳＬなし標準コースで正しく利用させて頂いています。（ましてや個人のブログですしね）

さて、対策方法は、/wordpress/wp-includes/update.phpの以下の３ヶ所をコメントアウトすれば解決です。コアユニットが関数wp_http_supportsによって、勝手にssl宣言してくれて、ssl無しでサーバー契約している安全なサーバーでさえ、強制的にSSLありモードとして誤解析しているだけに過ぎない、ということで、専門プログラマーやサーバー設計開発者の回答も得ることができました。

別に、レンタルサーバーだからって、ＳＳＬがあって当たり前とかいうウサンクサイ常識でコアユニットを開発されては、本当の安全を考えれば、そんなマユツバ発想は辞めて欲しいと思ったりしました。そんなこんなでワイワイ盛り上がりました。

対策方法 [/wordpress/wp-includes/update.php]

??? if ( $ssl = wp_http_supports( array( ‘ssl’ ) ) )
$url = set_url_scheme( $url, ‘https’ );

↓↓↓

//?? ?if ( $ssl = wp_http_supports( array( ‘ssl’ ) ) )
//?? ??? ?$url = set_url_scheme( $url, ‘https’ );

よくみると３ヶ所ほどありますので、３ヶ所ともコメントアウトすれば結構です。もっとも、set_url_schemeの「https」を「http」に3か所とも変更するのもＯＫだそうです。サーバー契約で「ＳＳＬなしスタンダードコース」などであれば、これを修正すればワードプレス3.7～3.9におけるＦＴＰ警告バグは対策できるとのことでした。

ワードプレスでＳＳＬを使うことは、逆に閲覧者や管理人を危険にさらす、という内容で、わかりやすく書かれている方がおられましたので、ご紹介させて頂きますね。

危険性を納得せざるを得なくなった
http://www.imamura.biz/blog/cms/wordpress/2706

まさに記事の通りですね。せっかくブログにお越し頂いたお客様を逆に地獄のＳＳＬにブチ込むところだったわけです。ＳＳＬは危険！やるなら自前でＣＥＲＴ認証サーバーを公的に組み上げる、またそうした独立ＣＥＲＴのＳＳＬ認証サーバーを提供しておられるレンタルサーバーを借りる（月額10万円はしますが）ということでファイナルアンサーですね。

レンタルサーバーだからといって、ＳＳＬがあれば優秀ではなく、ＳＳＬが無く、ＳＳＬ拒否を正しくサービスしてくれるワードプレスがむしろ安全でＳＥＯ的にも情報評価も高くなる。

勝手にワードプレスのコアに、バージョンアップと称して、ＳＳＬなしＦＴＰを誤判断してＳＳＬありにしてhttpsを付与してしまうコアハードコーディングのアップデートは止めてほしいものですね。

それこそ、そうしたカスタマイズ問題はwp-config.phpに書かせるべき選択の性質だと、コミュネスを生み出したプロのサーバー設計者チームの先生たちもおっしゃていました。なるほど、納得です。

なんと、実はここだけでなく、プラグインでも同じように１か所ありますので対策しておきましょう。ＳＳＬでＦＴＰ接続を指定していない場合でも、無理やりＳＳＬで通信しようとしてエラーが立て続けに表示されまくる凡ミスなバグです。かなりウザいですし、なにより１５秒づつＳＳＬネットワーク失敗のトライが出ますから、しばらくアップデートを放置しておいたりするとアップデートが溜まってしまっていて、１プラグインごとに１５秒づつ待たされますから、２０もプラグインを入れていれば３００秒つまり５分も待たされることになります。

もちろん、ただのバグですし、ＦＴＰ選択でしっかりと「ＳＳＬなし」を選んでいるわけですから、「望まない処理機構」が動作する、つまりバグです。問題の個所は以下の通りです。

Warning: 予期せぬエラーが発生しました。WordPress.org かこのサーバーの設定に何か問題があるかもしれません。問題が続くようであれば、サポートフォーラムを参照してみてください。 (WordPress は WordPress.org との安全な接続を確立できませんでした。サーバー管理者にご連絡ください) in /Users/ftp/VirtualUsers/cocoshop/wp/wp-admin/includes/plugin-install.php on line 77

以下のように対策してください。
[/wordpress/wp-admin/includes/plugin-install.php] 64～65行

?? ???? if ( $ssl = wp_http_supports( array( ‘ssl’ ) ) )
$url = set_url_scheme( $url, ‘https’ );

↓↓↓

// ? ???? if ( $ssl = wp_http_supports( array( ‘ssl’ ) ) )
// ? ??? ???? $url = set_url_scheme( $url, ‘https’ );

ここは１か所のみです。（６４～６５行の２行）

もちろん「ＳＳＬ」を選択しているのであれば、この処理に突入するのは必然ですが、ＳＳＬなしを選択していて強制的にＳＳＬによる接続トライを試みられるのは話が違いますし、望まない処理やエラーによって気持ち悪く感じます。

以上です。お疲れ様でした。