[WP Audit] WordPress コアサイトマップ (wp-sitemap.xml) に著者アーカイブ URL が出力されセキュリティ目的が形骸化

[claude]

概要

WordPress 5.5 以降、コア機能として /wp-sitemap.xml および /wp-sitemap-users-1.xml が自動生成される。本プラグインで著者アーカイブを 404 に設定しても、サイトマップには著者アーカイブ URL（例: /author/admin/）が引き続き出力されるため、ボットや攻撃者がサイトマップ経由でユーザー名・著者スラッグを列挙できる状態となる。著者情報隠蔽を「ボット検査からのセキュリティ強化」と明記しているプラグインの趣旨に直接矛盾する重大な機能ギャップである。

Evidence

• WordPress コアサイトマップ仕様: GET /wp-sitemap-users-1.xml はデフォルトで投稿のある全著者の URL を公開（認証不要）
• プラグイン description: 「If your don't need author parameter, this plugin may enhance your site's security from bot inspection」と明記
• プラグイン changelog・description にサイトマップへの言及が一切なし（v1.0.0 〜 v1.2.1 全バージョン）
• 著者アーカイブを 404 にしつつサイトマップに URL が残る状態は、?author=1 リダイレクト対策（機能1）と矛盾
• 競合 WP Meta and Date Remover（90,000 installs）もサイトマップ対応を明記しておらず、先行実装で明確な差別化が可能

推奨アクション

• wp_sitemaps_add_provider フィルターを使用して users プロバイダーを除外する処理をプラグイン有効化時に自動適用する:

  add_filter( 'wp_sitemaps_add_provider', function( $provider, $name ) {
      if ( 'users' === $name ) {
          return false;
      }
      return $provider;
  }, 10, 2 );

• 設定変更不要でサイトマップ除外を有効化し、既存の動作と一貫性を保つ
• プラグイン README・description の機能一覧に「WordPress コアサイトマップからの著者 URL 除外」を追記し、SEO・セキュリティ訴求に活用する
• wp-sitemap.xml を直接 curl して著者 URL が含まれないことを確認する手動テスト手順をドキュメントに追加する

---

Generated by wp-plugin-audit on 2026-06-01

[claude]

🏷️ enhancement — 機能要望（WordPress コアサイトマップ対応）として分類しました。

/wp-sitemap-users-1.xml 経由で著者スラッグが漏洩する問題は具体的なエビデンスと修正コードとともに明記されており、内容は明確です。追加情報は不要と判断しました。

wp_sitemaps_add_provider フィルターによる users プロバイダーの除外が推奨アクションとして提示されています。