WordPressの管理画面で「ユーザー」→「プロフィール」を開き、いちばん下までスクロールすると、「アプリケーションパスワード」という欄があります。
ふだんは使わない欄ですが、AIや外部のツールとWordPressをつなごうとすると、たいてい「ここでパスワードを発行してください」と案内されます。発行するのはボタン1つでできます。ただ、何を渡しているのかを知らないまま発行すると、あとで管理に困ります。
アプリケーションパスワードとは
アプリケーションパスワードは、外部のアプリやツールがWordPressに接続するときに使う、専用のパスワードです。WordPress 5.6で本体に入りました。
ログインに使うパスワードとの違いは、次のとおりです。
| ログインのパスワード | アプリケーションパスワード | |
| 使う場面 | 管理画面へのログイン | REST APIやXML-RPCでの接続 |
| 管理画面へのログイン | できる | できない |
| 作れる数 | 1ユーザーに1つ | 用途ごとにいくつでも |
| 決め方 | 自分で決める | WordPressが自動で作る（24文字） |
| 止め方 | パスワードを変える | 1つずつ取り消せる |
ツールごとに別のパスワードを渡しておけば、1つのツールの接続だけを止めることができます。ログインのパスワードをツールに入れてしまうと、止めるにはパスワードを変えるしかなく、ほかのツールの接続も一緒に切れてしまいます。
どんなときに使うか
- ClaudeなどのAIから、MCP Adapterを通じてWordPressを操作する
- ノーコードの自動化ツールから、記事を投稿したり一覧を取得したりする
- 自分で書いたプログラムから、REST APIでWordPressのデータを読み書きする
MCP Adapterでの使い方は、こちらの記事で紹介しています。
ClaudeやChatGPTなどのAIに、WordPressのサイトを直接操作してもらう。そんな使い方が、WordPress公式の仕組みで実現しつつあります。 その中心となるのが、WordPress公式のプラグイン「MCP Adapter」です。2026年10月2日にバージョン0.7.0が公開...
アプリケーションパスワードを発行する手順
1. プロフィール画面を開く
管理画面の「ユーザー」→「プロフィール」を開き、「アプリケーションパスワード」の欄までスクロールします。ほかのユーザーの分を発行するときは、「ユーザー」→「ユーザー一覧」から、そのユーザーの編集画面を開きます。
2. 名前を入れて追加する
「新しいアプリケーションパスワード名」（①）に、どのツールで使うのかが分かる名前を入れて、「アプリケーションパスワードを追加」（②）を押します。ここでは「Claude」としました。
名前はあとで一覧に表示されるだけなので、自由に付けられます。「Claude（自宅のPC）」のように、使う場所まで書いておくと、あとで見直すときに迷いません。
3. 表示されたパスワードをコピーする
4文字ずつ6つに区切られたパスワードが表示されます（①）。「コピー」を押して、接続したいツールの設定画面に貼り付けます。
下の一覧には、発行したパスワードの名前、作成日、最終使用日、最後に使われたIPアドレスが並びます。使わなくなったものは「取消」（②）で、1つずつ止められます。「すべてのアプリケーションパスワードを取り消す」（③）を押すと、そのユーザーの分がまとめて無効になります。
ツール側での使い方
ツールの設定画面では、たいてい「ユーザー名」と「パスワード」を入れる欄があります。ユーザー名にはWordPressのユーザー名を、パスワードには発行したアプリケーションパスワードを入れます。
自分でREST APIを呼び出す場合は、次のように指定します。この例では、下書きの記事を一覧で取得しています。
curl -u "ユーザー名:abcd efgh ijkl mnop qrst uvwx" \
"https://example.com/wp-json/wp/v2/posts?status=draft"パスワードの途中のスペースは、入れたままでも、取り除いても使えます。
つなぐ前に確認しておくこと
ユーザーの権限がそのまま渡る
アプリケーションパスワードでできることは、発行したユーザーの権限と同じです。管理者のユーザーで発行すると、ツールからも管理者と同じ操作ができてしまいます。
AIや外部ツールに渡すなら、そのための専用ユーザーを作り、必要な権限だけを持たせてから発行します。下書きを作らせるだけなら「寄稿者」、自分の記事の公開までなら「投稿者」、ほかの人の記事も編集させるなら「編集者」が目安です。
HTTPSのサイトでしか使えない
アプリケーションパスワードは、サイトが https:// で表示されていることが前提です。http:// のサイトでは、パスワードが暗号化されずに送られてしまいます。そのため欄には「HTTPSが必要」という案内が出て、発行できません。
例外は、開発用のローカル環境です。Localで作った http:// のサイトでも、欄が表示されて発行できました。ローカル環境の作り方は、こちらの記事で紹介しています。
Localで新しいWordPressサイトを1つ作るのに、入力するのはサイト名とユーザー名、パスワードの3つだけです。あとは「Continue」を3回押し、「Add Site」を押せば、自分のパソコンの中でWordPressが動き始めます。 サーバーやドメインの契約はいりません。テーマやプラグイン...
Basic認証をかけたサイトでは使えないことがある
公開前のサイトに、ブラウザのポップアップでIDとパスワードを聞く「Basic認証」をかけている場合は注意します。アプリケーションパスワードも、同じ「Authorization」という仕組みで送られるため、ぶつかって接続できないことがあります。
サーバーの設定でAuthorizationの情報がWordPressまで届いているかは、サイトヘルスの「Authorization ヘッダー」の項目で確かめられます。
WordPressサイトのメンテナンスを行いたいなら、まずはサイトヘルス機能を使うのがおすすめです。 定期検診のようなイメージで、サイトの健康状態をチェックできます。問題があればすぐに対策できるので、安心して運営できます。 当記事では、サイトヘルスの見方や活用方法についてご紹介します。 ...
使わないなら、機能ごと止められる
外部のツールとつなぐ予定がないサイトでは、アプリケーションパスワードの機能そのものを止めておくこともできます。子テーマの functions.php か、コードスニペット用のプラグインに次の1行を追加します。
add_filter( 'wp_is_application_passwords_available', '__return_false' );追加すると、プロフィール画面からアプリケーションパスワードの欄が消え、発行済みのパスワードでも接続できなくなります。セキュリティ系のプラグインにも、同じように止める設定を持つものがあります。
欄がない、発行できないときは
プロフィール画面に「アプリケーションパスワード」の欄が見当たらない、または発行できないときは、次の3つを順に確かめます。
- サイトが https:// で表示されているか（http:// だと案内だけが出て、発行できない）
- セキュリティ系のプラグインで、アプリケーションパスワードやREST APIを止めていないか
- テーマやプラグインに、上の機能を止めるコードが入っていないか
まとめ
アプリケーションパスワードを発行する前に、次の3つを決めておくと、あとで困りません。
- どのユーザーで発行するか（管理者ではなく、必要な権限だけを持つユーザー）
- どの名前を付けるか（ツール名と、使う場所）
- 使い終わったら、いつ取り消すか
一覧の「最終使用日」が空のまま何か月もたっているパスワードは、使われていない接続です。ときどきプロフィール画面を開いて、心当たりのないものから取り消していきましょう。
AIからWordPressの機能を呼び出す仕組みについては、こちらの記事も参考になります。
WordPressの公式プラグイン「MCP Adapter」を使うと、ClaudeなどのAIからWordPressの機能を呼び出せるようになります。ただし、WordPress本体に最初から用意されている機能は、サイト情報の取得など一部だけです。 では、自分のプラグインの機能をAIから使えるよう...
WordPressテーマ集
コメント