WordPress-spezifisch Wörterbuch
REST-API
Definition
Die WordPress-REST-API ist eine HTTP-JSON-Schnittstelle unter /wp-json/, genutzt vom Editor, von Apps und vielen Plugins.
Auch genannt: REST API, WordPress REST API, WP REST API, wp-json, WordPress-REST-API
Zuletzt aktualisiert
Warum es für WordPress wichtig ist
/wp-json/ ist die Art, wie der Block-Editor und unzählige Plugins mit WordPress sprechen. Es ist auch eine Entdeckungsfläche: Benutzeraufzählung, authentifizierte Routen und Plugin-Endpunkte, die Rechteprüfungen vergessen. Die ganze REST-API abzuschalten bricht oft Gutenberg. Die Aufgabe ist zu verstehen, was Sie offenlegen, nicht blind die Sicherung zu ziehen.
So zeigt es sich in der Praxis
- Aufgezählte Benutzer über öffentliche Autor- oder Benutzerrouten (wenn nicht eingeschränkt)
- Brute Force oder Stuffing gegen Routen, die mit Anwendungspasswörtern geschützt sind
- Plugin-REST-Endpunkte mit schwachen Permission-Callbacks in CVE-Texten
- Headless- oder Mobile-Apps, die bestimmte Namespaces offen brauchen
Was Sie tun sollten
- Halten Sie WordPress und Plugins aktuell. Viele REST-Fehler sind Rechtefehler.
- Bevorzugen Sie Anwendungspasswörter oder saubere OAuth-artige Abläufe, statt das Haupt-Admin-Passwort mit Apps zu teilen.
- Begrenzen Sie missbräuchliche Auth-Versuche genauso wie bei
wp-login.php. - Deaktivieren Sie nur bestimmte Routen, die Sie nicht brauchen, und testen Sie den Editor danach.
- Behandeln Sie XML-RPC und REST als verwandte Flächen: schließen Sie, was Sie nicht nutzen, härten Sie, was Sie nutzen.
Verwandte Begriffe
Ideas cercanas en el diccionario
- XML-RPC XML-RPC ist ein älterer WordPress-API-Endpunkt, den Angreifer oft für Brute Force und Verstärkung missbrauchen.
- Anmeldeschutz Anmeldeschutz ist die Menge an Kontrollen, die die WordPress-Anmeldung gegen Bots und Angriffe auf Zugangsdaten härten.
- Rate Limiting Rate Limiting begrenzt, wie oft eine Aktion von einer IP oder einem Konto passieren darf, und bremst so automatisierten Missbrauch.
- Anwendungspasswörter Anwendungspasswörter sind Zugangsdaten pro App, die WordPress ausstellt, damit Integrationen sich ohne Ihr Hauptpasswort anmelden.
