WordPressでAI機能を使う前の確認リスト | APIキーと送信される情報

設定の手順は AIプラグインの設定手順 にあるわよ。

確認リスト（5項目）

次の5つに答えられれば、オンにする準備ができているわ。

• APIキーを、環境変数・PHP定数・データベースのどれに置くか決めたか
• データベースに保存する場合、暗号化されるかどうかを知っているか
• コメントのモデレーションをオンにするなら、訪問者のコメントが外部に送られてよいか
• 自動で動く実験機能が、どれか分かっているか
• 本番サイトの前に、ステージング環境（テスト用のサイト）で試したか

それぞれの答えは、以下の節にあるわ。

APIキーの保管場所とDB保存の注意

WordPressは、APIキーを次の順に探すのよ。

1. 環境変数
2. PHP定数
3. データベース

「設定 > Connectors」（Settings > Connectors）では、APIキー方式のコネクターに、いまのキーの取得元と接続状態が表示されるの。どこから読まれているかは、この画面で確かめられるわ。

画面からキーを入力すると、データベースに保存されるの。ここで、2つの話を分けておくわね。

コアの既定：データベースのキーは暗号化されない

WordPress本体（コア）の既定では、データベースに保存したAPIキーは暗号化されないの。画面ではマスク表示（一部が隠れた表示）になるけれど、保存されているデータは、そのまま。暗号化は、チケット #64789 で検討されているわ。

公式AIプラグインの Key Encryption は暗号化する

公式AIプラグインには、実験機能の「Key Encryption」があるの。オンにすると、データベースに保存したAIプロバイダーのAPIキーを、同梱の libsodium で暗号化するわ。

この機能を無効にするか、プラグインを無効にすると、キーは平文に戻るのよ。

	コアの既定	Key Encryption をオン
データベース保存のキー	暗号化されないわ	暗号化されるわ（libsodium）
機能・プラグインを止めた時	変わらないの	平文に戻るの

Key Encryption は実験機能で、機能ごとに個別にオンにするのよ。他の実験機能と同じく、内容が変わったり削除されたりする可能性があるわ。

wp-config.php に書く場合

環境変数かPHP定数で渡せば、キーはデータベースに入らないわ。PHP定数なら、wp-config.php に書く形になるの。

編集の前に、WordPressのバックアップを手動で取る方法でバックアップを取っておきなさい。書き方と注意はwp-config.phpの編集方法にあるわ。編集に失敗して画面が真っ白になった時は、WordPressが真っ白になった時の直し方を見てね。

wp-config.php にはキーが入るの。画面やファイルを、SNSやブログにそのまま貼らないでちょうだい。店の金庫の鍵を、カウンターに置きっぱなしにしないのと同じことよ。

外部に送られる情報

AI機能は、使うと入力や投稿の内容がAIプロバイダーに送られるの。確認が必要なのは、次の2種類よ。全機能の一覧は公式AIプラグインの機能一覧にあるわ。

送信が自動になる機能

機能	送られる情報・動き
Comment Moderation	新着コメント（訪問者のコメントを含む）をすべて送るの。コメントを保留にすることがあるわ
Type-ahead Text	ブロックエディターで入力中に、提案を要求するの

自動の機能は、ボタンを押さなくてもリクエストを送るの。「設定 > AI」（Settings > AI）で、各機能の情報アイコンを見ると、いつ動くか、プロバイダーに何を送るか、リクエスト数が分かるわ。

プレビューなしで内容を変える機能

Editorial Updates と Content Translation は、プレビューなしで内容を変えることがあるの。保存された変更は、リビジョンで確認できて、元に戻せるわ。

送った情報を各社がどう扱うかは、プロバイダーごとに違うの。各社の公式ページで確認なさい。

Key Encryption・Connector Approval・AI Request Logging

安全面で使える実験機能は3つあるわ。どれも初期状態はオフで、「設定 > AI」から個別にオンにするのよ。

実験機能	できること
Key Encryption	データベース保存のAPIキーを暗号化するのよ
Connector Approval	設定済みのAIコネクターを、他のプラグインやテーマが使う前に、管理者の承認を必須にするの
AI Request Logging	AIのリクエストを記録するの。プロンプトと応答の短いプレビューも含むわ。ログは「ツール」（Tools）で見るのよ

AI Request Logging をオンにすると、自動で動く機能がいつ何を送ったか、あとから見られるわ。プロバイダー側の利用状況の画面でも確認できるの。

ログには、プロンプトと応答のプレビューが残るわよ。

オンにする手順は AIプラグインの設定手順 にあるわ。

公開前の確認

公開しているサイトでオンにする前に、次を見なさい。

• 自動で動く機能（Comment Moderation、Type-ahead Text など）を、意図してオンにしたか
• プロバイダーの利用状況の画面で、リクエスト数が想定の範囲か
• APIキーを、サイトの外（SNS、ブログ、相談の画面）に出していないか
• 止める方法を知っているか

止める方法は、次のとおりよ。

1. 管理画面の「プラグイン」で、AIプラグインを無効化しなさい。
2. 管理画面に入れない時は、WP-CLIを使うか、プラグインのフォルダ名を変えるの。
3. 個別の実験機能だけ止めるなら、「設定 > AI」でオフにするのよ。

実験機能は、まずステージング環境で試すのが公式の推奨よ。

よくある質問

実験機能を、そのまま本番サイトで試してもいいですか。

まずはステージング環境で試しなさい。実験機能は、内容が変わったり削除されたりする可能性があるから、公式もステージング環境での確認を推奨しているわ。

データベースに保存したAPIキーは、暗号化されますか。

WordPress本体（コア）の既定では、暗号化されないわ。公式AIプラグインの実験機能「Key Encryption」をオンにした時だけ、暗号化されるのよ。

管理画面に入れない時は、どうやってAIプラグインを止めますか。

WP-CLIを使うか、プラグインのフォルダ名を変えなさい。管理画面に入れるなら、「プラグイン」で無効化すればいいわ。

出典

• AI（WordPress公式プラグインのページ）
• Introducing the Connectors API in WordPress 7.0（Make WordPress Core）