Как избежать проблемы с безопасностью при использовании WP REST API в WordPress

Диагностика проблем безопасности, связанных с WP REST API

WP REST API открывает гибкие возможности для взаимодействия с WordPress через HTTP-запросы, но без правильной настройки может привести к утечке данных или несанкционированному доступу. Основные признаки проблем:

• Публичный доступ к конфиденциальным данным (пользователи, метаданные, заказы WooCommerce и т.п.)
• Возможность изменения данных без проверки прав доступа
• Частые атаки типа brute force или DDoS с использованием REST API

Для диагностики можно проверить, какие эндпоинты доступны без аутентификации, и какие данные они возвращают. Пример запроса:

curl -X GET https://example.com/wp-json/wp/v2/users

Если этот запрос возвращает полный список пользователей, включая email и метаданные, значит API не ограничен должным образом.

Пошаговое решение: ограничение доступа к WP REST API

1. Ограничение публичного доступа к чувствительным эндпоинтам

Добавьте следующий код в functions.php вашей темы или в отдельный плагин для ограничения доступа к REST API пользователям без авторизации:

add_filter('rest_authentication_errors', function($result) {
    if (!empty($result)) {
        return $result; // Уже есть ошибка
    }

    if (!is_user_logged_in()) {
        return new WP_Error('rest_forbidden', 'Доступ к REST API разрешен только авторизованным пользователям.', array('status' => 401));
    }

    return $result;
});

2. Ограничение доступа к определенным типам данных через фильтр

Например, запретить доступ к списку пользователей через REST API, если пользователь не админ:

add_filter('rest_endpoints', function($endpoints) {
    if (isset($endpoints['/wp/v2/users'])) {
        if (!current_user_can('manage_options')) {
            unset($endpoints['/wp/v2/users']);
        }
    }
    return $endpoints;
});

3. Защита от DDoS и brute force

Используйте серверные правила (firewall), а также плагины безопасности, которые умеют распознавать подозрительные запросы к REST API. Например, плагин Clearfy Pro Clearfy Pro умеет блокировать нежелательный трафик и отключать REST API для гостей.

Проверка результата после внедрения

После внедрения ограничений:

• Повторите тот же curl запрос без авторизации. Он должен возвращать ошибку 401 или пустой результат.
• Авторизуйтесь в админке и сделайте запрос с куками или токеном — данные должны быть доступны.
• Проверьте логи сервера: отсутствуют ли подозрительные запросы или ошибки, связанные с REST API.

Частые ошибки и как их исправить

• Ошибка 401 для всех пользователей: Возможно, фильтр rest_authentication_errors блокирует доступ даже для авторизованных. Проверьте условия в коде, что проверка is_user_logged_in() работает корректно.
• Полный доступ к пользователям сохраняется: Проверьте, что фильтр rest_endpoints корректно удаляет нужные эндпоинты. Ошибка в ключах массива или порядок фильтров может влиять.
• Некорректная работа с кэшированием: REST API кэш может мешать проверки. Очистите кэш или временно отключите его для тестов.

Практические советы по безопасности и производительности REST API

• Используйте nonce или OAuth для аутентификации запросов с фронтенда.
• Минимизируйте объем возвращаемых данных, создавая кастомные эндпоинты с выборкой только нужных полей.
• Отключайте REST API для неиспользуемых публичных клиентов.
• Настройте лимиты запросов (rate limiting) на уровне сервера или через плагины безопасности.
• Используйте плагин Clearfy Pro для тонкой настройки и отключения REST API там, где он не нужен — это снижает риск и нагрузку.

Сравнение вариантов ограничения доступа к WP REST API