目次
「GoogleBotのWordPressサイトに対するクロール」について
WordPressでサイトを運用された方の中には、一度は「xmlrpc.php」、「wp-login.php」、「wp-config.php」、「wp-admin」ディレクトリのいずれかに外部からの攻撃を受け、サイトへのアクセスが困難になったり、サイトがダウンしたりといった経験をされたことがあるかもしれません。実際、例えばnginxのアクセスログに「grep ‘wp-login|xmlrpc|wp-config|admin’ /var/log/nginx/access.log | more」といったコマンドを実行すると、多くのアクセスがあることがあります。
そういったファイルへのアクセスに対して、ほとんどの方はnginxやapacheなどで「403 Forbidden（403エラー）」を返すといった対応をされているかと思います。
しかし、GoogleBotからも「xmlrpc.php」と「wp-login.php」へのアクセスがあったため、「Google Bard」に疑問を投げかけました。
GoogleBotの動作に関するBardの回答
GoogleBotも攻撃することがあるかどうか
GoogleBotに詳しいと思われる「Google Bard」に、「WordPressで作成されたサイトでは、wp-login.phpやxmlrpc.phpなどの脆弱性を伴うファイルが存在する場合がありますが、それらのファイルに対して、Googleの重要な役割を担う検索クローラーであるGoogleBotがアクセスして、擬似的に攻撃することはあるのでしょうか？」と、直截（ちょくせつ、ちょくさい）に質問してみました。
「Google Bard」は、「Googlebotは、脆弱性を伴うファイルにアクセスして擬似的に攻撃することはできません」と回答しました。
また、「robots.txtファイルは、Googlebotやその他のクローラがクロールしてはならないページを指定するために使用されます」と回答されていますので、robots.txtに「xmlrpc.php」と「wp-login.php」の指定がなかったためにアクセスしたと思われます。
また、「Googlebotは、ウェブサイトの脆弱性を悪用する攻撃者を模倣するスパムボットによってウェブサイトにアクセスされる可能性があります」とも回答しております。
これは、検索エンジンやウェブサイトのセキュリティを迂回し、スパムや悪意のある目的でサイトにアクセスする自動化されたスパムボットが、クローラとして振る舞いながら、不正なリンクを作成したり、コンテンツを不正に操作したりすることがあることを意味していると思われます。
SEOでのデメリット
またSEOについて気になりましたので、「Google Bard」に「wp-login.phpやxmlrpc.phpなどの脆弱性を伴うファイルにアクセス制限をかけていない場合、Google検索において、劣位となる可能性はありますか？」と質問してみました。
「Google Bard」は「wp-login.phpやxmlrpc.phpなど脆弱性を伴うファイルに対してアクセス制限をかけていない場合、Google検索において、劣位となる可能性があります。」と回答しました。
さらに、「Googleはウェブサイトのセキュリティを評価する際に、ウェブサイトの脆弱性を考慮します。脆弱性を伴うファイルにアクセス制限をかけていないウェブサイトは、セキュリティが低いと評価され、検索結果で上位に表示されなくなる可能性があります。」と回答しております。
記事（メディア）の投稿のみを運用している場合でも、SEOは重要な要素ですので、WordPressで作成したサイトにおいてもセキュリティ対策に鋭敏かつ迅速に対応する必要がありますね。
なぜアクセスするのか？
そもそもの話ですが、robots.txtに記載がないからといって、GoogleBotが「xmlrpc.php」と「wp-login.php」などのファイルにアクセスすること自体が疑問でしたので、「Googlebotが、wp-login.phpやxmlrpc.phpなどのファイルにアクセスしているのは、そのサイトがWordPressで作成されたサイトであるという前提で、一度アクセスしてアクセス制御などの最低限の対策がされているかどうかを確認することが目的なのでしょうか？」と、「Google Bard」に質問してみました。
質問内容を変えても、「アクセス制御などの最低限の対策がされていない場合、Googlebotはこれらのファイルをインデックスに登録しません。そのため、サイトの検索エンジンでの評価が低下する可能性があります。」と「Google Bard」が続けて回答しているため、WordPressで脆弱性の高い「xmlrpc.php」、「wp-login.php」、「wp-config.php」、「wp-admin」といったファイルやディレクトリには、アクセス制限を設定することが必須といえるでしょう。
まとめ
WordPressのサイトに含まれる「xmlrpc.php」、「wp-login.php」、「wp-config.php」、「wp-admin」ディレクトリへのGoogleBotのアクセスについて、「Google Bard」に質問してみました。「Google Bard」は試験運用中のステータスのため、不正確または不適切な回答を生成する可能性も高く、Googleの公式見解ではありませんが、GoogleBotがサイトのセキュリティ対策やそれに伴うSEOの評価判定を行っていることは事実であると考えられえます。
したがって、WordPressで脆弱性の高い「xmlrpc.php」、「wp-login.php」、「wp-config.php」、「wp-admin」といったファイルやディレクトリには、アクセス制限を設定することが必須ですね。