Rapls Passkey Free マニュアル

Rapls Passkey Free マニュアル
2026.08.11

Rapls Passkey マニュアル（Free 版）

WordPress のログインをパスキー（WebAuthn / FIDO2）に置き換える無料プラグインの使い方を詳しく解説します。
バージョン: 0.13.78 | PHP 8.2 以上 | WordPress 6.0 以上

パスキーとは？ パスワードの代わりに、指紋・顔認証・端末の画面ロック（Touch ID・Windows Hello・Face ID）やセキュリティキーでサインインするしくみです。合言葉のような秘密をサーバーに送らないため、フィッシングに強く、使い回しや漏えいの心配がありません。Rapls Passkey は WordPress にこのパスキーサインインを追加します。

Rapls Passkey とは

Rapls Passkey は、WordPress のログインをパスキー（WebAuthn / FIDO2）で行えるようにするプラグインです。パスワードレスでフィッシングに強いサインインを、追加の外部サービスなしにサイトへ組み込めます。

  • パスワードレス・フィッシング耐性: 端末内の生体認証や画面ロックで本人確認します。パスワードを打ち込む必要がありません。
  • 同一デバイスのパスキー: Touch ID・Windows Hello・Face ID など、いま使っている端末の認証機能をそのまま利用できます。
  • 別のデバイスでのサインイン: ブラウザーが対応していれば、その標準機能で手元のスマートフォンをスキャンしてサインインできます（専用の QR 承認フローは Pro 版の機能です）。
  • パスワードは無効化されません: 従来のパスワードログインはそのまま残ります。パスキーは「追加」であって、何かを取り上げるものではありません。
  • 日本語対応: UI は英語をソースに、日本語へ完全に翻訳されています。翻訳はプラグインに同梱せず、WordPress.org が translate.wordpress.org の言語パックとして配信します。すべて翻訳可能です。
Free 版で完結します: Rapls Passkey の無料版は、機能を絞った「お試し版」ではありません。パスキーの登録・サインイン・管理はもちろん、2FA プラグインとの共存、reCAPTCHA、WP-CLI、監査ログまで含めて単体で完結して使えます。役割ごとの必須化やクロスデバイス QR ログインなど、より進んだ運用が必要になったときに Rapls Passkey Pro を検討してください。

動作環境・HTTPS 要件

Rapls Passkey を使うには、次の環境が必要です。

項目必要条件
WordPress6.0 以上（最新版を推奨）
PHP8.2 以上（それより古い PHP ではプラグインは読み込まれず、管理画面に通知を表示するだけで、サイトのほかの部分はそのまま動作します）
PHP 拡張モジュールOpenSSL（パスキーの署名検証に使用。WordPress のサイトヘルスがもともと確認しているモジュールの 1 つです）。gmp は不要です。大きな数の計算には、gmp か bcmath があればそれを使い、どちらもなければ PHP だけで処理します
接続HTTPS（localhost を除く）
HTTPS は必須です。 WebAuthn（パスキーの基盤技術）は、ブラウザーのセキュリティ仕様上 HTTPS 接続でしか動作しません。HTTP のサイトでは、ブラウザーがパスキーの登録・サインインを一切拒否します。唯一の例外は開発用の localhost（ループバック）です。.local や .test のドメインは例外扱いされないため、実サイトでは必ず HTTPS を有効にしてください。

リライングパーティ ID（RP ID）について

パスキーは、登録したサイトのドメイン（リライングパーティ ID、RP ID）に結び付けられます。既定ではサイトのホスト名がそのまま使われるため、通常は設定不要です。あとから RP ID が変わると、それまでに登録したパスキーがすべて一致しなくなりサインインできなくなるため、公開前にドメインを確定させておくことが重要です。マルチサイトなどで共有の RP ID を使いたい場合は、rapls_passkey_rp_id / rapls_passkey_rp_name フィルターで指定できます（ホストまたはその登録可能な親ドメインである必要があります）。

インストールと有効化

Rapls Passkey は WordPress.org の公式ディレクトリーで配布しています。

  1. WordPress 管理画面の プラグイン > 新規追加 を開きます。
  2. キーワード欄に「Rapls Passkey」と入力して検索します。
  3. 「Rapls Passkey」の 今すぐインストール をクリックし、続けて 有効化 します。
  4. 有効化すると、設定 > Rapls Passkey に設定画面が追加されます。プラグイン一覧の行にも「設定」リンクが追加されます。

ZIP ファイルから手動でインストールする場合は、プラグイン > 新規追加 > プラグインのアップロード から ZIP を選んでインストールしてください。

ヒント: 有効化した直後は、まず管理者自身がプロフィール画面からパスキーを 1 つ登録することをおすすめします。実際に登録・サインインを試しておくと、ほかのユーザーにも問題なく使えることを確認できます。次の 初回セットアップチェック がこの流れを案内します。

初回セットアップチェック

初回セットアップ確認の画面。HTTPS、リライングパーティ ID、WebAuthn ライブラリの状態が並ぶ。
有効化直後に表示される確認画面です。

パスキープラグインを有効化して設定画面を開いても、パスキーが実際に動くかどうかを左右する 2 つの疑問は残ったままになりがちです。Rapls Passkey は、初回に一度だけ表示されるセットアップチェック（ウィザード）でこれに答えます。

  • サイトは HTTPS で配信されているか: 前述のとおり、HTTPS でなければブラウザーはパスキーを拒否します。
  • どの RP ID にパスキーが結び付くか: あとから変わると登録済みのパスキーがすべて無効になるため、最初に確認します。
  • セキュリティプラグインとの共存: 共存しているセキュリティプラグインを検出し、必要な注意点を知らせます。
  • 管理者自身のパスキー登録: 管理者が一度も試していないと、ほかのユーザーで動くかどうか判断できません。ウィザードが登録の手順まで案内します。
表示は一度だけです。 セットアップチェックは初回に一度表示され、その後は設定画面の「セットアップ確認」からいつでも開けます。すでにパスキーが登録済みの状態でアップグレードしたサイト（＝明らかに動いているサイト）では、この通知は表示されません。

最初のパスキーを登録

詳細設定 (WebAuthn) のタイムアウト、ユーザー検証、認証器の種類、UI ヒント。
登録・認証ダイアログの挙動は詳細設定で調整できます。

パスキーは、各ユーザーが自分のプロフィール画面から登録します。

  1. 管理画面の ユーザー > プロフィール を開きます。
  2. 「パスキー」セクションまでスクロールします。
  3. パスキーを登録 ボタンをクリックします。
  4. ブラウザー／OS のダイアログが表示されるので、指紋・顔認証・画面ロック、またはセキュリティキーで本人確認します。
  5. 登録したパスキーに分かりやすい名前を付けて保存します（例:「仕事用 MacBook」「YubiKey」）。
プロフィール画面の登録済みパスキー一覧と、パスキーを登録ボタン。
プロフィール画面から自分のパスキーを登録・管理します。

登録が完了すると、プロフィール画面のパスキー一覧に追加されます。一覧には、名前・認証器（AAGUID から判定した iCloud Keychain・Google Password Manager・Windows Hello・1Password・YubiKey などの提供元）・登録日時・最終利用日時が表示されます。

ヒント: 1 つの端末が使えなくなっても困らないよう、パスキーは複数登録しておくことをおすすめします（例: スマートフォンと予備のセキュリティキー）。1 ユーザーあたりの登録上限は設定画面で調整できます。

パスキーでサインイン

パスキーを登録すると、WordPress のログイン画面（wp-login.php）に「パスキーでログイン」ボタンが追加されます。

同じデバイスでサインイン

パスキーを登録した端末でそのままサインインする、もっとも一般的な方法です。

  1. ログイン画面で パスキーでログイン をクリックします。
  2. ブラウザーのダイアログで、指紋・顔認証・画面ロックなどで本人確認します。
  3. 確認が済むとそのままログインが完了します。

対応ブラウザーでは、ユーザー名を入力しなくてもボタンだけでサインインできます（ユーザー名レス / 自動入力）。ユーザー名欄をタップしたときに、ブラウザーが登録済みのパスキーを候補として提示することもあります（Conditional UI）。

サインインに失敗したときは、「認証に失敗しました」の一言ではなく、接続の問題・ダイアログのキャンセル・サイトが HTTPS で配信されていないといった原因ごとのメッセージが表示されます。ログイン画面を長時間開いたままにしていても、ページが保持しているサインインの試行はサーバー側で期限切れになる前に更新されるため、そのまま使えます。

別のデバイスでサインイン

いま使っているパソコンにパスキーを登録していなくても、手元のスマートフォンに登録したパスキーでサインインできます。これはブラウザー／OS が標準で備えているクロスデバイス機能を利用します。

  1. パソコンのログイン画面で パスキーでログイン をクリックします。
  2. ブラウザーの選択肢から「別のデバイス」「スマートフォン」などを選びます。
  3. 画面に表示された QR コードを、スマートフォンのカメラで読み取ります。
  4. スマートフォン側でパスキーによる本人確認を行うと、パソコン側のサインインが完了します。
Free 版と Pro 版の違い: Free 版のクロスデバイスサインインは、ブラウザー／OS が用意する標準の QR フローに任せます（対応状況はブラウザーに依存します）。Rapls Passkey Pro では、パソコンに QR と 4 桁の確認コードを表示し、離れた場所にいてもスマートフォンで承認できる、独自の クロスデバイス QR ログインを追加できます。確認コードが中継フィッシングを防ぎます。

パスキーの名前変更

登録後にパスキーの名前を変更できます。名前は登録時に決めたまま固定されていたため、「iCloud Keychain」という同名のエントリーが 2 つ並ぶと、端末を失ったときにどちらを取り消せばよいか分からなくなっていました。名前変更でこれを解消できます。

名前の変更は、プロフィール画面と [rapls_passkey_register] ショートコードの管理 UI から行えます。変更できるのは本人のみで、操作は監査ログに記録されます。

パスキーの一時停止と再開

パスキーは、削除せずに一時停止できます。修理に出している端末や会社に置いてきた端末を、そのつどパスキーを破棄して後日また登録し直す必要はありません。

  • 一時停止したパスキーは、サインインに使えず、ブラウザーにも提示されませんが、削除はされず、あとから再開できます。
  • ユーザーは自分のパスキーをプロフィール画面と [rapls_passkey_register] ショートコードから管理できます。管理者は誰のパスキーでも一時停止できます。
  • 一時停止中のパスキーは「パスキーを持っている」状態とはみなされません。そのため、パスワードログインを無効にした構成でも、ユーザーがサインイン手段を完全に失うことはありません。

サイトへの埋め込み

ログインボタンやパスキー管理 UI は、ショートコードまたは Gutenberg ブロックとして任意のページ・投稿・ウィジェットに埋め込めます。会員サイトのマイページや専用のログインページに組み込むのに便利です。

ショートコード

ショートコード用途
[rapls_passkey_login]未ログインの訪問者向けのパスキーサインインボタン。redirect（サインイン後の遷移先 URL）と label（ボタンの文言）の属性に対応します。
[rapls_passkey_register]ログイン中のユーザーが自分のパスキーを登録・削除・名前変更・一時停止できる管理 UI。

使用例:

[rapls_passkey_login redirect="/dashboard/" label="パスキーでログイン"]

[rapls_passkey_register]
パスキー管理ショートコードを固定ページに貼った表示。登録済みのパスキーが 1 件、名前変更・一時停止・削除のリンク付きで並ぶ。
[rapls_passkey_register] を固定ページに貼った例（英語画面）。

Gutenberg ブロック

ブロックエディターでは、同じ機能が「パスキーでログイン」ブロックと「パスキーの管理」ブロックとして用意されています。ブロックのサイドバー設定パネルから、遷移先 URL（redirect）とボタンの文言（label）を指定できます。

ブロック挿入メニューに「パスキーでログイン」と「パスキーの管理」が並んでいる。
ブロック挿入メニューでの表示。

サイト全体のパスキー一覧

ユーザー配下のパスキー一覧。所有者、認証器、登録日時、最終使用、状態が並ぶ。
「ユーザー > パスキー」でサイト全体を一覧できます。

管理者は、ユーザー > パスキーから、サイト上のすべてのパスキーを一覧で確認できます。「いま紛失したノートパソコンにパスキーが残っているのは誰か」といった確認が、ユーザーのプロフィールを一つずつ開かなくても行えます。

一覧は所有者名またはパスキー名で検索でき、次の情報を表示します。

  • 所有者と認証器（提供元）
  • 登録日時
  • 最終利用日時（未使用なら「未使用」）
  • 状態（有効／一時停止）

一覧からその場で一時停止や削除を実行できます。

ユーザー一覧のパスキー列

ユーザー > ユーザー一覧にも「パスキー」列が追加され、ユーザーごとの登録数・最終利用・未登録の状態がひと目で分かります。

ユーザー一覧に追加されたパスキー列。登録済みと未登録が色付きで示されている。
ユーザー一覧の「パスキー」列。

管理者による代理登録

Pro 設定の管理者による代理登録のチェックボックスと説明文。
Pro を導入しているサイトでは、Pro の設定から代理登録をオフにできます。

管理者が、別のユーザーに代わってパスキーを登録できます。設定済みのセキュリティキーを手渡す場合や、対面でユーザーをセットアップする場合に使います。

  • 既定で有効です。無料版の機能で、Pro のライセンスは必要ありません。オフにするには、Pro を導入しているサイトでは Rapls Passkey Pro > 管理者による代理登録のチェックを外し、Pro がなければ rapls_passkey/allow_admin_enrolment フィルターで false を返します。
  • 管理者に新しい権限を与えるものではありません。そのユーザーを編集できる管理者は、もともとパスワードをリセットして本人としてサインインできます。パスキーはその場にある認証器（つまり管理者側の認証器）に作成されるため、管理者がそのアカウントの資格情報を持つことになります。
  • 対象ユーザーに対する edit_user 権限を持つ管理者のみが実行できます。
  • 登録はアカウント所有者にメールで通知され、監査ログに記録されます。

2FA プラグインとの共存

REST API が制限されている場合のパスキーログイン設定と、監査ログの記録設定。
セキュリティプラグインが REST API を絞っている場合は、この設定をオンにするとパスキーの経路だけ再開放できます。
セッションのセキュリティ設定。管理者のログイン状態保存と、代替ログインでの 2 要素認証のチェックボックス。
パスキーより弱いログインには 2 要素認証コードを要求できます。

Rapls Passkey は、SiteGuard WP Plugin・CloudSecure WP Security・Wordfence（Login Security）・Two-Factor と併用OKです。ログインを堅牢化するプラグインとも、二段階認証（2FA）プラグインとも共存するよう設計しています。

SiteGuard / CloudSecure WP Security などのログイン保護プラグイン: Rapls Passkey は標準のログインフックだけを使うため、ログイン URL を変更するプラグインはそのまま機能し、パスキーのボタンはサイトが実際に使っているログイン画面に表示されます（開発元のサイトでも CloudSecure WP Security と併用しています）。セキュリティプラグインが REST API をログイン中のユーザーに制限している場合は、ログイン前にパスキーのサインインを始められません。設定 > Rapls Passkey > REST API の「REST API が制限されている場合のパスキーログイン」をオンにしてください。既定ではオフです。オンにすると、このプラグイン自身の匿名ログイン経路だけを、しかも「ログインが必要」（HTTP 401）の制限に対してだけ再開放します。ファイアウォール・IP ブロック・メンテナンス画面（HTTP 403）を上書きすることはありません。初回セットアップ確認では、検出したセキュリティプラグインが表示されます。

Wordfence Login Security / Two-Factor などの 2FA:

  • パスキーは第 2 要素として扱われます: パスキーサインインはそれ自体がフィッシングに強い多要素認証（MFA）であるため、追加の 2FA 画面で改めて問われることはありません（クロスデバイスの QR フローやパスキーサインアップも同様）。
  • 弱いログイン手段はサイトの 2FA を通過させます: メールのマジックリンクやリカバリーコードによるログイン（Pro）は、パスワードチェーンを通らずにセッションを張るため、従来はサイトの 2FA を回避できてしまいました。これらのログインは二段階認証の画面で止まり、サイト側の 2FA プラグイン（Wordfence 自身の検証など）がコードを確認して初めて完了します。
注意: 二段階認証の追加チャレンジは、実際に第 2 要素を設定しているユーザーにのみ表示されます。RAPLS_PASSKEY_BYPASS はこのチャレンジも含めて解除するため、誰かを締め出してしまうことはありません。設定 > セッションのセキュリティでオフにでき、ログインごとに rapls_passkey/require_second_factor フィルターで制御できます。ほかの 2FA プラグイン向けのアダプターは rapls_passkey/second_factor_providers で登録できます。

reCAPTCHA v3・ログインレート制限

reCAPTCHA v3（パスワードログインの保護）

Google reCAPTCHA v3 で、パスワードログインフォームを保護できます。パスキーログインには適用されません（総当たり攻撃はパスキーに対しては成立しないためです）。

  1. 設定 > Rapls Passkey の「reCAPTCHA v3」セクションを開きます。
  2. Google reCAPTCHA で取得したサイトキーとシークレットキーを入力します。
  3. 必要に応じてスコアしきい値（既定 0.5）を調整します。
  4. 「Google reCAPTCHA を有効にする」をオンにして保存します。
セキュリティ: 入力したシークレットキーは平文ではなく暗号化して保存されます（libsodium による署名付き暗号文、OpenSSL AES-256-GCM フォールバック付き）。設定のエクスポート時には復号され、サイト間で設定を持ち運べます。
reCAPTCHA v3 の設定。有効化、サイトキー、シークレットキー、スコアしきい値、フェイルオープンの選択。
reCAPTCHA v3 はパスワードログインだけに効きます。

ログインレート制限

IP アドレスごとに、一定時間内のログイン失敗回数を制限します。しきい値を超えると、設定した時間だけロックされます。

  • 制限にカウントされるのは失敗したパスキーの認証だけです。ブラウザーが自動入力のために正当に何度も送る /login/options リクエストはカウントされません。
  • サインインに成功するとカウンターはリセットされます。
  • 試行回数の上限とロックアウト時間は設定画面で調整できます（既定は 300 秒あたり 30 回）。上限を 0 にすると無効になります。
  • フィルター rapls_passkey_login_rate_max / rapls_passkey_login_rate_window でも変更できます。
設定画面の上部。導入状況、1 ユーザーあたりの登録上限、ログイン回数制限。
試行回数の上限とロックアウト時間はここで設定します。

通知メール・監査ログ

最近のイベントの表。日時、イベント、ユーザー、詳細、IP の列が並ぶ。
登録・ログイン・削除がすべて記録され、CSV に書き出せます。
セキュリティ通知メールの送信設定と、パスキー登録のうながしの設定。
登録・削除・新しい端末からのサインインを本人に通知します。

Rapls Passkey は、重要な操作をユーザーに知らせ、管理者が後から追跡できるよう記録します。

  • セキュリティ通知メール: パスキーの登録・削除、新しいデバイスからのパスキーサインインをユーザーに通知します（設定で無効化でき、フィルターで個別に制御できます）。
  • 監査ログ: 登録・削除・名前変更・一時停止・サインインなどの操作を記録します。設定画面から CSV でエクスポートできます（Excel 向けに BOM 付き UTF-8。数式インジェクション対策済み）。

緊急バイパス

万一パスキーでサインインできなくなった場合の「非常口」として、wp-config.php に次の 1 行を追加すると、パスキーの必須化と二段階認証チャレンジを一時的に解除できます。

define( 'RAPLS_PASSKEY_BYPASS', true );
注意: これはあくまで緊急時の一時的な措置です。復旧してパスワードなどで通常どおりサインインできるようになったら、追加した行は必ず削除してください。パスワードログインは既定でパスキーと並行して使えるため、多くの場合はまずパスワードでサインインし、プロフィール画面からパスキーを削除・再登録すれば解決します。

WP-CLI

コマンドラインからパスキーを確認・管理できます。運用の自動化や、サインインできなくなったときのサーバー側からの復旧に役立ちます。

コマンド説明
wp rapls-passkey list --user=<user>指定ユーザーの登録済みパスキー（ID・名前・登録日時・最終利用・署名カウント）を一覧表示します。--user にはユーザー ID・ログイン名・メールアドレスを指定できます。
wp rapls-passkey remove <id>行 ID を指定してパスキーを削除します（ID は list で確認できます）。削除は所有者に紐付けて監査ログに記録されます。
wp rapls-passkey statsサイト全体の導入状況（パスキーの総数と、パスキーを持つユーザー数）を表示します。

使用例:

# admin ユーザーのパスキーを一覧表示する
wp rapls-passkey list --user=admin

# ID 12 のパスキーを削除する
wp rapls-passkey remove 12

# サイト全体の導入状況を確認する
wp rapls-passkey stats

Site Health

WordPress の ツール > サイトヘルスに、パスキーが正しく動作するための自己診断を追加します。

  • HTTPS で配信されているか
  • WebAuthn ライブラリが読み込まれているか
  • プラグインのデータベーステーブルが存在するか
  • RP ID とセキュリティプラグインの共存に問題がないか
  • 永続オブジェクトキャッシュが導入されている場合、前のリクエストで書き込んだ値を実際に返せているか（Rapls Passkey: オブジェクトキャッシュ）。確認にはサイトヘルス画面を一度再読み込みしてください

パスキーでのサインイン自体は、もうオブジェクトキャッシュに依存しません。2 回のリクエストにまたがるサインインのチャレンジや、2 要素認証の確認待ちのログインはデータベースに保存されます。それでもこの診断があるのは、サイトのほかの部分がキャッシュに依存しているためです。リクエスト間で値を失うキャッシュ（サイトの規模に対して小さすぎる APCu や、APCu を共有しない複数の PHP-FPM インスタンス・サーバー）では、2 回のリクエストにまたがる処理がランダムに失敗します。

「情報」タブにも診断内容のパネルが追加され、サポートへの問い合わせ時にエクスポートできます。

よくある質問

パスキーを失ったら

Q: パスキーを失ってサインインできなくなったら？

パスワードログインはパスキーと並行して使えるため、いつもどおりパスワードでサインインし、プロフィール画面からパスキーを削除・再登録してください。サーバー側からは WP-CLI（wp rapls-passkey list / remove）でも管理できます。それでも入れない緊急時は、wp-config.php に define( 'RAPLS_PASSKEY_BYPASS', true ); を追加してください。このプラグインが課すパスキーの必須化と 2 要素認証の確認がすべて解除されます。復旧後は削除してください。

HTTPS は必須か

Q: HTTP のサイトでも使えますか？

いいえ。WebAuthn はブラウザーの仕様上 HTTPS でのみ動作します。HTTP のサイトではパスキーの登録・サインインができません。例外は開発用の localhost のみです。

パスワードは使えるか

Q: パスキーを入れるとパスワードは使えなくなりますか？

いいえ。Free 版ではパスワードログインはそのまま残ります。パスキーは追加の選択肢であり、ユーザーは自分のペースで移行できます。パスワードログインの無効化や役割ごとの必須化は Rapls Passkey Pro の機能です。

2FA との併用

Q: 二段階認証プラグインと一緒に使えますか？

はい。Wordfence Login Security や Two-Factor などと共存します。パスキーサインインは強力な多要素認証として扱われ、追加のチャレンジを受けません。一方、パスワードなどの弱いログイン手段には、サイト側の 2FA が引き続き適用されます。

複数デバイス・上限

Q: 1 人で複数のパスキーを登録できますか？

はい。スマートフォン・パソコン・セキュリティキーなど、複数のパスキーを登録できます。1 つの端末が使えなくなっても、別のパスキーでサインインできます。1 ユーザーあたりの登録上限は設定画面で調整できます。

セキュリティキー対応

Q: YubiKey などのセキュリティキーは使えますか？

はい。Touch ID・Windows Hello・Face ID といった端末内蔵の認証機能に加え、YubiKey などの外付けセキュリティキー（ローミング認証器）にも対応しています。パスキー一覧には、認証器の提供元（iCloud Keychain・Google Password Manager・Windows Hello・1Password・YubiKey など）が表示されます。

マルチサイト

Q: マルチサイトに対応していますか？

はい。rapls_passkey_rp_id / rapls_passkey_rp_name フィルターで共有の RP ID を指定できます。ネットワーク全体のポリシーや共有 RP ID のより高度な管理は Rapls Passkey Pro の機能です。

ステージングと本番サイト

Q: ステージングサイトで登録したパスキーは本番サイトで使えますか？

既定では使えません。パスキーは登録したドメインに結び付き、その結び付きはデータベースではなく認証器の中に保存されます。そのため、データベースを本番環境へ移しても引き継がれません。staging.example.com で登録したパスキーは、example.com では候補に表示されません。

本番サイトで登録し直し、ステージングのパスキーは使い捨てと割り切るか、だれかが登録する前に、両方のサイトで親ドメインを RP ID として使うよう設定します。

add_filter( 'rapls_passkey_rp_id', function () {
    return 'example.com';
} );

後者の場合、ステージングで登録したパスキーは、データベースを本番環境へ移したあとも使えます（残すつもりのなかったパスキーも含みます）。localhost で作ったパスキーは localhost でしか使えません。使用中の RP ID はセットアップ確認の画面に表示されるので、最初のパスキーを登録する前に決めておけます。

Pro へのアップグレード

Free 版だけでもパスキー運用は完結しますが、Rapls Passkey Pro を導入すると、組織的な導入や、より厳格なポリシー運用ができるようになります。Pro は Free 版の Rapls Passkey（0.13.74 以上）を有効にしたうえで動作します。

Pro が有効になるまでは、設定画面のサイドバーに Rapls Passkey Pro の短い案内パネルが表示され、プラグイン一覧の行に「Pro を見る」リンクが追加されます。設定画面の機能が制限されたりロックされたりすることはありません。

追加される機能 PRO

  • クロスデバイス QR ログイン: パソコンに QR と 4 桁の確認コードを表示。スマートフォンで読み取り、パスキーで承認します。確認コードが中継フィッシングを防ぎ、離れた場所からでも使えます。
  • 役割ベースのパスキー必須化: 選んだ役割にパスキーを必須にし、猶予期間を設けて段階的に展開できます。最後の管理者・RAPLS_PASSKEY_BYPASS・リカバリーコードがロックアウトを防ぎます。
  • 使い切りのリカバリーコード: パスキーが使えないときの非常用サインイン。
  • メールのマジックリンクログイン／パスワードレスのサインアップ（パスキーだけで新規アカウント作成）。
  • アダプティブなステップアップ: 危険なパスワードログイン（信頼できない端末＋見知らぬ場所）のあとや、すべてのパスワードログインで、改めてパスキーを求めます。
  • アプリケーションパスワードの抑止と「パスワードをお忘れですか？」の拒否（パスワードレス運用のユーザー向け）。
  • 信頼済みデバイスの管理／ログイン後の登録案内（パスキー未登録のユーザーへ）。
  • 認証器ポリシー: FIDO メタデータサービス（MDS）による認証チェック、AAGUID の拒否リスト。
  • セキュリティ Webhook（Slack / Teams / 汎用 JSON）／導入レポート（ダイジェスト・リマインダーメール、分析）。
  • マルチサイトのネットワーク全体ポリシーと共有 RP ID、設定のエクスポート／インポート、拡張された WP-CLI。
詳しくは Rapls Passkey Pro 公式ページと Pro 版マニュアルをご覧ください。

Pro 版マニュアル | English Version | Pro Manual (English) | WordPress.org

© 2025-2026 Rapls Works. All rights reserved.

タイトルとURLをコピーしました