Nginxを使って、WordPressサイトをSSL接続してみた

管理画面だけを強制的にSSL接続する方法

Wordpressでは、管理画面を強制的にSSL接続するようにするフラグが用意されています。
Wordpressの設定ファイル ( wp-config.php ) を編集することで、管理画面がSSL接続することができます。

...
// 管理画面をSSL接続するように FORCE_SSL_ADMIN を設定します。
define('FORCE_SSL_ADMIN', true);
...
require_once(ABSPATH . 'wp-settings.php');
...

この設定だけ、Wordpressの動作としては、ログイン画面、ログイン後の管理画面が強制的にSSL接続されます。
また、Wordpressサイトについては、このままでは、SSL接続も通常接続もいずれも可能となってしまいますので、 ここでは、ログイン画面、管理画面以外は、通常接続するようにNginxを設定してみます。

...
server {
    listen 443 ssl;
    server_name www.example.com;
 
    set $check "";
    # check not wp-login.php?
    if ($request_uri !~ /wp-login\.php.*) {
        set $check "1";
    }
    # check not /wp-admin/?
    if ($request_uri !~ /wp-admin/.*) {
        set $check "${check}2";
    }
    # check not /wp-content/?
    if ($request_uri !~ /wp-content/.*) {
        set $check "${check}3";
    }
    # check not /wp-includes/?
    if ($request_uri !~ /wp-includes/.*) {
        set $check "${check}4";
    }
    # check not all? => redirect http://...
    if ($check = "1234") {
        return 301 http://$host$request_uri;
    }
    ...
}
...

...
server {
    listen 80;
    server_name www.example.com;
    
    # check not wp-login.php?
    if ($request_uri ~ /wp-login\.php.*) {
        return 301 https://$host$request_uri;
    }
    # check not /wp-admin/?
    if ($request_uri ~ /wp-admin/.*) {
        return 301 https://$host$request_uri;
    }
    ...
}
...

上記では、単純に wp-login.php へのアクセス、/wp-admin/ へのアクセスは、SSL接続とし、以外は、通常接続へリダイレクトしています。

    ...
    if ($request_uri !~ /wp-login\.php.*) {
        if ($request_uri !~ /wp-admin/.*) {
            return 301 http://$host$request_uri;
        }
    }
    ...

設定を終えたら、簡単な動作確認をしてみましょう。

1. nginx の再読み込みを実施します。
   

   設定ファイルを編集したので、再読み込みを実施します。

   $ service nginx reload ...

   
   
2. ウェブブラウザから、Wordpressサイトへ通常接続(http://…)し、ログインのリンクをクリックしてみます。
   
   
   
3. WordPressのログイン画面がSSL接続になったことを確認し、ログインしてみます。
   
   
   
4. WordPressの管理画面がSSL接続になったことを確認します。
   
   

   メニューのサイト表示をクリックしてみると、今度は、通常接続へ切り替わることを確認してください。

   
   

WordPressサイト全体を強制的にSSL接続する方法

Wordpressサイト全体をSSL接続するのは、簡単にできます。
通常のHTTP(80ポート)へのアクセスを、すべて、HTTPS(443ポート)へリダイレクトすればOKです。

...
server {
    listen 80;
    server_name www.example.com;
    return 301 https://$host$request_uri;
}
...

上記では、全ての TCP 80ポートへのアクセスを https://… へリダイレクトしています。 簡単ですね。これで、リダイレクトされた後は、Wordpress にて、リンクの飛び先など SSL接続時の対応が自動的に行われますので、 あとは、何もしなくてもOKだと思います。

ウェブブラウザから、Wordpressサイトへ通常接続(http://…)してみてください。 以下のようにSSL接続へリダイレクトされることが確認できればOKです。