REST-API lekt usernames via /wp-json/wp/v2/users
Standaard kan iedereen je gebruikersnamen ophalen via de REST-API. Dat is munitie voor brute-force.
support/web-en-cms/wp-rest-api-blokkerenstappen: 4
Probeer dit eerst zelf
- Installeer een security-plugin die REST-users-endpoint blokkeert voor niet-ingelogde users
- Of voeg in functions.php een filter toe op 'rest_authentication_errors'
- Test in incognito: /wp-json/wp/v2/users moet 401 of 403 geven
- Laat andere endpoints open voor plugins die ze nodig hebben
Wanneer ons inschakelen
REST helemaal dichtgooien breekt Gutenberg en veel plugins, alleen users-endpoint afdekken.
Zie ook
- WordPress, plugins en thema staan al 6+ maanden zonder updatesOut-of-date WP is de nummer-1 instap voor malware. Niet zomaar 'update all' klikken, eerst back-up.
- Thema-update gedaan en de layout is kapot of fatal errorThemes overschrijven custom-CSS bij een update als je niet via een child-theme werkt.
- WordPress geeft wit scherm na plugin-installatie of updateWSOD (white screen of death) komt meestal door één plugin die crasht. Je moet hem isoleren.
Past het bovenstaande niet?
Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.
Of doe het helemaal niet zelf
Onze Managed IT-klanten zoeken dit soort vragen niet op. Eén aanspreekpunt, vaste prijs per maand, en het is binnen werktijd opgelost.