Nonce! Please はトラックバック URL にランダム文字列を付与します

(See English Release)

スパム軽減プラグイン「Nonce! Please」のバージョン 1.1.2 をリリースしました。バージョン 1.1.1 からの変更点は以下の通りです。

• 標準のパーマリンク (?p=NNNN 等) を使っているとき、トラックバック URL の表示で HTML 文法違反になっていたのを修正しました。

機能的な変更点は上記の1点だけです。しかし、プラグイン管理パネルでの説明文がローカライズ (日本語化) されたり、プラグインの配布サイトを WordPress 公式プラグインディレクトリーに変更して、そこに利用例の画面を載せたり、プラグイン作者のサイト URL を英語サイトに変更したりと、機能にはあまり関係ない点が大きく変わっています

同時に、新バージョンである 1.1.1 を公開しています。これは 1.1.0 に対するバグ修正となっています

• ログインユーザーに対するコメント投稿はノンスのチェックを行わないことにしました。これにより、管理パネルでのコメント返信でエラーが出なくなり、コメントできるようになります。

今回は WordPress 2.7 対応です。実は1月末には完成していたんですが、公式プラグインディレクトリーに登録しようとして放置状態になっていました。申請は通っているので、あとは Subversion リポジトリーに入れるだけですが、Subversion は慣れてないので、作業がすすんでいません。とりあえず、当サイトでの公開・配布をすることにします。

動作は、コメント／トラックバック受け付け URL に nonce (ランダム文字列) を必須とする、ものです。nonce は12時間ごとに変化するため、スパマーがトラックバック URL を蒐集しても、送信時には無効になっていることが期待されます。コメントも、コメントフォームを使わずに直接 wp-comments-post.php に送信してくるようなものは拒否されるわけです。

リリースに時間がかかったのは単にドキュメントが書けてなかっただけです。今回、えいやっで英作文しまして、とりあえず形にしました。めちゃめちゃ稚拙な英文で恥しいですが、non-native が書く技術文書であれば、うまい／へたはあまり関係ないでしょうし……。

あとは、固定ページの体裁をもうちょっと整えて、コンペに参加するだけですね〜〜。実はもう1本ネタがあるので、これもさっさとでっち上げる予定です。

[追記 22:05] 固定ページは作ってあったものの「非公開」のままでした……。さきほど公開しました。せっかくなので、ダウンロードリンクをこの記事に入れておきます。

すでに発表している「短かいコメントを拒否するプラグイン Reject Short Comments」とは違う発想のプラグインで、コメントやトラックバック用 URL に _wpnonce引数を付けるという仕組みです。WordPress はコメントやトラックバック受け付け URL が決め打ちのため、スパマーにとっては元記事を見ずにいきなりスパムを送り付けることが可能です。これを防ぐため、トラックバックURLをランダム化したり、コメントフォームの隠しフィールドとして _wpnonce を入れるという対策を行うものです。名前は安直に「nonce, please!」とする予定です。

この対策は万全なものでなく、あくまで「Akismet をできるだけ起動しなくてすむ」ようにするためものです。このため、Akismet 等、他のプラグインと併用が推奨です。正直なところ、このプラグインの実装は WordPress コアに取り込まれてもおかしくないと思っているぐらいです

まだドキュメントが書けていないので公開はできませんが、近日中にドキュメントを書いて公開する予定です。コンペの規約で、プラグインの紹介は投稿ではなく固定ページで行うこと、となっているので、当サイトで固定ページを増やす方向で検討したいと思います。他のプラグインの紹介も固定ページを作った方がいいのかな??

この手法の問題点は、キャッシュプラグインと相性が悪いということです。_wpnonce の値は半日ごとに変化するため、キャッシュが半日以上有効な場合、すでに無効となった _wpnonce を含むトラックバック URI が表示される可能性があります。したがって、キャッシュプラグインを使う場合は、キャッシュの有効期限を半日未満にしないといけないです。1/4 日 (6時間) 未満というのが安全でしょうか。

[追記] リリースしました。