HTMLメールに置いたURLリンクにパラメータを設定し、そのパラメータをWordPressのパスワードセキュリティ機能に直接用いる方法

Question

現在、メール配信システムを用いてHTMLメールを作成し、顧客に送付しています。
HTMLメールには、「ここをクリック」のようなURLリンクを入れており、そのとび先は弊社のウェブページとしています。
ただ、当該ページが「若干の機密性ある文書」であるため、URLを知っている人だったり検索でひっかからないようにするため、検索に引っかからないようにするためnoindex設定をしたりWordPress付属のパスワード認証機能を入れています。このため、ユーザーにはパスワードを入力して当該ページを見てもらう仕組みとしています。なお、パスワードはメールに記載しています。

しかし、最近分かったこととして、ユーザーがパスワードをコピーして、そのパスワードをクリック先のページに入力するというところで相当の離脱が発生しているため、ユーザーがHTMLメールをクリックしたらそのまま次のページまでそのパラメータをもっていくか、何等かの変換処理を行い、正しいパスワードをデフォルトで入力させた状態でそのページをみてもらいたいと思っています。ユーザーのために、既にパスワードを自動で入れてあげることで、ストレスなくそのまま「認証」ボタンをクリックすれば内容が見れる仕組みです。

できれば、ユーザーにパスワードを知られたくないので、パラメータに記載されたパスワードを何等かの形で変換し、変換後のパスワードを事前にwordpressのセキュリティ設定で設定しておいたパスワードになるようにした上で、パスワードを自動入力させたいと思っています。
HTMLメールは複数のユーザーに送っていますが、パスワードについては全員同じでよいと考えています。

しかし、どこをどう検索しても、これができる方法が見つかりません。以上から、以下の3つの質問をさせていただければとおもいます。

１．上記のようなことは、そもそもできないのでしょうか？もしこの辺りお判りの方がいらっしゃいましたら、教えていただけませんでしょうか？
２．たとえばURLに設定したパラメータを変換し、認証ページでデフォルトで入れるパスワードへ変換するような方法はあるのでしょうか？
３．これを考え続けていると、そのリンク先のウェブページのURLをとても複雑なものにして、その上で検索に引っかからないようにnoindex設定をすれば、それだけで良いのでは？とも思いはじめています。なぜなら、そのURLは私が送ったHTMLメールにしか記載しないので、そのメールを送った人しか分からないことになるからです。この考え方は正しいのでしょうか？

もしご存じの方がいらっしゃいましたら、上記のうち1つでも結構ですので、アドバイスいただけませんでしょうか。

Answer 1

パスワードはメールに記載しています。

と

できれば、ユーザーにパスワードを知られたくないので

は、矛盾してないか。

しかし、どこをどう検索しても、これができる方法が見つかりません。

実行してネット上に公開している人間が居ない限り検索しても見つかるわけがない。考える努力も必要。

以下の3つの質問をさせていただければとおもいます。

1と2は同じ事ではないのか。
とりあえず可能。然程難しくもない。

3は、リンクを辿っても到達できないページならばそうだろうな。

追記

特定のURLのリファラ

特定のHTMLメールからしかアクセスできないページにするとそれはそれで解決するかな？

メール等のリンクじゃリファラは存在しないから無理。

とりあえず最初の話し。
変換とか考えるからややこしくなる。

例えばURLがこんな感じだったとする
http://example.com/test/?code=12345

カスタムフィールドのメタキーcode
値12345
こんな感じの情報を事前に登録しておく。

これで以下のようなコードを書いておけばURLパラメータのcodeの値とカスタムフィールドの値が一致すればパスワードの入力欄に設定したパスワードを入力した状態になる。
パラメータ無しや異なるパラメータ付きURLではパスワード入力欄が出ない。

add_filter( 'the_password_form', function( $output ) {
$post_id = get_the_ID();
$code = get_post_meta( $post_id, 'code', true );
$string = str_replace( 'code=', '', $_SERVER['QUERY_STRING'] );
if( $string === $code ) {
	$label  = 'pwbox-' . ( empty( $post_id ) ? rand() : $post_id );
	$output = '<form action="' . esc_url( site_url( 'wp-login.php?action=postpass', 'login_post' ) ) . '" class="post-password-form" method="post">
	<p>' . __( 'This content is password protected. To view it please enter your password below:' ) . '</p>
	<p><label for="' . $label . '">' . __( 'Password:' ) . ' <input name="post_password" id="' . $label . '" type="password" size="20" value="'.get_post( $post_id )->post_password.'" /></label> <input type="submit" name="Submit" value="' . esc_attr_x( 'Enter', 'post password form' ) . '" /></p></form>
	';
} else {
	$output = '閲覧できません';
}
return $output;
} );

Comments

[JMS]

有難うございました。
矛盾とありますが確かに一見そう見えるのですが、矛盾していないと考えています。
私の説明が悪かったかもしれません。
というのは、
１．メールに記載のパスワード
２．実際にLPでセキュリティ解除する際のパスワード

があると思っており、１を２へ変換するシステムも入れたいなと思っていますので、私としてはユーザーに１は知られていいが２は知られたくないということになります。このため、２のパスワードがLP上で「●●●●●●●●」と表示され、それがコピー＆ペースト等で本当の文字列が見えなければよいのではないかと考えています。なぜ２を知られたくないのか？というと、例えば故意に誰かがセキュリティがかかったLPのURLを張り付けたとしても、２のパスワードも併せて張り付けなければ、ログインができないようにできるからです。少しだけでもセキュリティレベルが上がるかな？と思ったことによります。

ただ、３についてご指摘のとおりであれば、そもそもパスワードはいらないということになりそうですね・・・。検索もかからず、どこからもリンクされていなければ、誰かが悪意をもってどこかにURLを貼り付けない限りある程度のセキュリティは保てているということになりますでしょうかね？

また、こちら１と２の方法というのは例えばどのような仕組みを使うとできると理解すればよいのでしょうか？もしヒントでもいただけるようでしたら大変ありがたいです。

[JMS]

また、少し考えていて思ったのですが、例えばhtaccessを用いて、特定のURLのリファラからしかアクセスできないページを作ることはできると思うのですが、そのように特定のHTMLメールからしかアクセスできないページにするとそれはそれで解決するかな？と思いました。そういった方法はご存じでしょうか？もしお判りになられましたら、ご教示いただけないかと思っております。

[退会済みユーザー]

> 例えば故意に誰かがセキュリティがかかったLPのURLを張り付けたとしても、
> ２のパスワードも併せて張り付けなければ、ログインができないようにできるからです。
> 少しだけでもセキュリティレベルが上がるかな？と思ったことによります。

この方法(コード)じゃこれは無理だな。
パスワードもソース見れば分かるし。

[JMS]

確かにそうですね。というか、上記の追記、本当にありがとうございました！！！
まさにこの方法を僕は探していまして、またやり方まで記載いただいて感動です！！！
明日やってみたいと思います。本当に感謝です。なんかできそうに思えてきました。

カスタムフィードもコードの追記も実は初めてなんですが、コードの追記はfunction.phpに追記すればよいのでしょうか？それとも固定ページ編集画面の本文の一番上に入れたりするのでしょうか？

[JMS]

固定ページ編集画面の一番上に入れたら、そのまま表示されてしまいましたので、やはりfunction.phpですかね？でもそうするとすべてのページにこのコードが入ることになりませんでしょうか？その場合、すべてのページに<meta name="code" content="123456">を入れるということでしょうか？

[JMS]

ごめんなさい。ページに入れる<meta name="code" content="123456">は、あくまでもpassの正解をページに埋め込んでおくということですね。よって、該当ページにだけ入れるということだと理解しました。でもそうすると、すべてのページが特定のパラメータをもってアクセスしたユーザーでないと表示されないことになりませんでしょうか？または、いま検索していましたら、特定のページにだけJavascriptを入れるプラグインがあるようでしたので、そういったプラグインを利用するイメージでしょうか？

[退会済みユーザー]

function.phpではなくfunctions.php
functions.phpに追記

メタタグとか何の話しなのか分からん

パスワード保護したページに正当なパラメータ付きURLでアクセスしたらパスワードがフォームに入力済ということだ

Answer 2

上記のようなことは、そもそもできないのでしょうか？もしこの辺りお判りの方がいらっしゃいましたら、教えていただけませんでしょうか？

可能な方法はいくつか思いつきますが、WordPressだとなかなか難しいとは思います。

Comments

[JMS]

ありがとうございます。やはりWPだと難しいんですね。

[kyoya0819]

プラグインを一から作れる時間・能力等があれば可能です。