はじめに
AFFINGER7の管理画面で設定を保存しようとするとエラーが発生する場合、セキュリティプラグイン「CloudSecure WP Security」の「シンプルWAF」機能による誤検知が原因です。
Google アナリティクスやAdSenseなどのタグ、各種カスタムコードに含まれる <script> という文字列を、WAFが「クロスサイトスクリプティング（XSS）攻撃」と誤判定し、通信を遮断しています。
解決するには、一時的に「シンプルWAF」のXSS遮断を解除してAFFINGER7の設定を保存し、完了後すぐに設定を元に戻す必要があります。
【手順】WAFを一時解除して設定を保存する5ステップ
「CloudSecure WP Security」の公式仕様に沿った具体的な解決手順は以下の通りです。
シンプルWAFの設定画面を開く
WordPress管理画面の左メニュー ［CloudSecure WP Security］ ＞ ［シンプルWAF］ を選択します。
XSS遮断を一時的に解除する
「遮断する攻撃種別」一覧にある 「クロスサイトスクリプティング」のチェックを外し、画面最下部にある ［変更を保存］ ボタンをクリックします。
AFFINGER7の設定を保存する
AFFINGER7の設定画面に戻り、行いたかった設定変更・保存を実行します（エラーなく完了します）。
WAF設定を必ず元に戻す
保存完了後、再び［シンプルWAF］画面を開き、「クロスサイトスクリプティング」に再度チェックを入れて［変更を保存］をクリックします。
【原因】なぜ保存がブロックされるのか？
1. WAFの誤検知メカニズム
AFFINGER7の管理画面でアクセス解析コードや広告コード等を入力して保存する際、送信データ内に <script> タグが含まれます。
CloudSecure WP Securityの「シンプルWAF」は、送信データにこのパターンを検出すると、たとえサイト管理者本人の操作であっても「XSS攻撃」とみなしてブロックします。
2. 実際のセキュリティログの分析
ログデータを確認すると、明確に誤検知の跡が記録されています。
- 検知内容: クロスサイトスクリプティング
- 対象データ:
<script - 対象ページ:
[https://kumayy.com/wp-admin/admin.php?page=my-custom-admin](https://kumayy.com/wp-admin/admin.php?page=my-custom-admin) - 日時・IP: 2026-08-28 20:58:18 / IP:
xxx.xxx.xxx.xxx
【重要】作業時の注意点
- 保存後は必ずWAFを再有効化する
「クロスサイトスクリプティング」のチェックを外したまま放置すると、サイト全体がXSS攻撃に対して無防備になります。AFFINGER7側の保存が終わったら、必ず即座にチェックを戻して再有効化してください。 - IPアドレス等の個別除外（ホワイトリスト）機能について
現行の「CloudSecure WP Security」には、特定のIPやURLのみを例外許可する機能が備わっていません。そのため、今回紹介した「設定変更時のみ一時解除する」方法が公式に推奨されている唯一の確実な手順となります。
