Securizarea REST API WordPress: dezactivare selectivă și autentificare

WordPress REST API este o interfață puternică care permite aplicațiilor externe să interacționeze cu site-ul dumneavoastră, dar în configurația implicită expune informații sensibile oricui le solicită. Endpoint-ul /wp-json/wp/v2/users returnează lista completă a utilizatorilor care au publicat conținut, inclusiv username-urile, ID-urile și link-urile de profil, oferind atacatorilor jumătate din informațiile necesare pentru un atac brute force.

Conform unui analist de securitate care a investigat 47 de site-uri WordPress compromise, lanțul tipic de atac începe cu enumerarea utilizatorilor prin REST API, continuă cu identificarea plugin-urilor instalate și se finalizează cu exploatarea vulnerabilităților cunoscute. Întregul proces durează sub cinci minute cu instrumentele potrivite.

Securizarea REST API WordPress: dezactivare selectivă și autentificare

Restricționarea accesului la REST API nu înseamnă dezactivarea completă a acestuia, ceea ce ar rupe funcționalitățile editorului Gutenberg, ale multor plugin-uri și ale integrărilor legitime. Abordarea corectă este dezactivarea selectivă a endpoint-urilor periculoase și cererea autentificării pentru restul.

Boții AI din 2026 exploatează enumerarea utilizatorilor prin REST API combinat cu atacuri de tip credential stuffing, crescând eficiența atacurilor brute force față de metodele tradiționale.

Ce expune REST API implicit

Câteva endpoint-uri sunt deosebit de sensibile dacă sunt lăsate fără restricții:

• /wp-json/wp/v2/users – lista utilizatorilor cu username, ID, avatar și link de profil. Accesibil fără autentificare pentru utilizatorii care au publicat conținut.
• /wp-json/wp/v2/users/1 – detaliile administratorului principal. ID-ul 1 este aproape întotdeauna contul de administrator creat la instalare.
• /wp-json/wp/v2/plugins – lista plugin-urilor instalate, utilizată de atacatori pentru identificarea vulnerabilităților cunoscute.
• /wp-json/ – descoperirea tuturor endpoint-urilor disponibile, care oferă o hartă completă a funcționalităților site-ului.

Dezactivarea endpoint-ului /users

Cel mai simplu și mai important pas este dezactivarea accesului public la endpoint-ul de utilizatori:

// In functions.php
add_filter( 'rest_endpoints', function( $endpoints ) {
    if ( isset( $endpoints['/wp/v2/users'] ) ) {
        unset( $endpoints['/wp/v2/users'] );
    }
    if ( isset( $endpoints['/wp/v2/users/(?P<id>[\\d]+)'] ) ) {
        unset( $endpoints['/wp/v2/users/(?P<id>[\\d]+)'] );
    }
    return $endpoints;
});

Alternativ, la nivel de .htaccess pe servere Apache:

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REQUEST_URI} ^/wp-json/wp/v2/users [NC]
    RewriteRule .* - [F,L]
</IfModule>

Restricționarea REST API la utilizatori autentificați

Pentru site-urile care nu necesită acces public la REST API (blog-uri, site-uri de prezentare, portofolii), restricționarea completă la utilizatori autentificați este cea mai sigură opțiune:

add_filter( 'rest_authentication_errors', function( $result ) {
    if ( true === $result || is_wp_error( $result ) ) {
        return $result;
    }
    if ( ! is_user_logged_in() ) {
        return new WP_Error(
            'rest_not_logged_in',
            'Acces restricționat la utilizatori autentificați.',
            array( 'status' => 401 )
        );
    }
    return $result;
});

Atenție: această abordare poate rupe Contact Form 7, Jetpack și alte plugin-uri care folosesc REST API pentru utilizatori neautentificați. Testați pe un mediu de staging înainte de implementare în producție.

Autentificare modernă pentru integrări legitime

Dacă aveți integrări legitime care necesită acces la REST API (aplicații mobile, headless WordPress, integrări externe), folosiți metode de autentificare sigure în loc să lăsați API-ul complet public.

Application Passwords

Disponibile nativ din WordPress 5.6, Application Passwords permit crearea de parole dedicate pentru fiecare integrare externă, independent de parola contului de administrator. Dacă o integrare este compromisă, revocați doar parola respectivă fără să afectați contul principal.

Creați o Application Password din WordPress Dashboard, Users, profilul dumneavoastră, secțiunea Application Passwords.

JWT Authentication

Pentru aplicații mobile sau frontend-uri decuplate (React, Vue), JWT (JSON Web Tokens) oferă autentificare stateless cu token-uri cu expirare automată. Plugin-uri ca JWT Authentication for WP REST API implementează acest standard.

Rate limiting pe endpoint-urile REST API

Chiar și cu autentificarea activă, limitarea numărului de cereri per IP pe unitate de timp protejează împotriva atacurilor de tip brute force și DoS la nivel de API. Cloudflare oferă rate limiting configurabil, iar la nivel de server nginx:

limit_req_zone $binary_remote_addr zone=wpapi:10m rate=10r/s;

location /wp-json/ {
    limit_req zone=wpapi burst=20 nodelay;
    limit_req_status 429;
}

Concluzie

Securizarea REST API WordPress este o intervenție rapidă cu impact semnificativ asupra posturii de securitate a site-ului. Dezactivarea endpoint-ului /users, restricționarea la utilizatori autentificați și implementarea rate limiting-ului sunt pași pe care orice proprietar de site WordPress ar trebui să îi aplice.

Verificați starea curentă a REST API cu instrumentele noastre gratuite de scanare securitate sau solicitați un audit complet de securitate WordPress pentru evaluarea tuturor vectorilor de atac.

Securitatea digitală este importantă, dar la fel de importantă este și protejarea bunurilor fizice cu o asigurare de locuință. Asigurări SSL oferă polițe complete împotriva incendiilor, furtului și dezastrelor naturale.