Najprv zaznamenajte všetky existujúce route, ich pôvod, metódy, publikum a spotrebiteľov. Potom otestujte anonymný aj prihlásený prístup, minimalizujte zbytočné polia, zmerajte drahé požiadavky a nastavte primeranú abuse ochranu. Každý zásah overte v stagingu na editore, integráciách a stabilnej regresnej sade.
Audit WordPress REST API skúma vrstvu, ktorá už na webe existuje. Route registruje jadro, WooCommerce, bezpečnostné a formulárové pluginy, vlastné doplnky aj téma. Niektoré sú verejné zámerne, iné sa zobrazia po prihlásení alebo vznikli ako vedľajší účinok dávno zabudnutej funkcie. Samotná dostupnosť rozhrania nie je zraniteľnosť, no neznámy rozsah znemožňuje rozumne posúdiť expozíciu, výkon a vlastníctvo.
Cieľom hardeningu nie je plošne vypnúť `/wp-json/` a rozbiť blokový editor či integrácie. Potrebujete inventár reálne dostupných route, test oprávnení, kontrolu vracaných polí, ochranu nákladných operácií a merateľnú základnú líniu. Zmeny sa potom robia po konkrétnych nálezoch a overujú regresnými scenármi. Tento postup je prevádzkový audit existujúcej vrstvy, nie návod na návrh alebo programovanie nového endpointu.
Vytvorte inventár skutočnej API expozície
Inventár vytvorte z indexu REST API, registrácie v kóde, dokumentácie pluginov a pozorovanej prevádzky. Pri každej route zapíšte namespace, HTTP metódy, pôvodný plugin alebo komponent, očakávaného klienta a vlastníka. Porovnajte odpoveď anonymného návštevníka, bežného účtu a administrátora. Verejne viditeľný názov route ešte neznamená, že verejne vracia dáta alebo povoľuje zápis.
Označte route používané Gutenbergom, mobilnou aplikáciou, headless front-endom, webhookom a internou integráciou. Nepoužívaný endpoint nemožno určiť iba podľa krátkeho logu, preto spojte dáta s rozhovorom a kódom. Zaznamenajte verziu WordPressu a pluginov, čas auditu a testovací účet. Inventár sa tak dá zopakovať po aktualizácii a odhaliť novú alebo zmiznutú expozíciu.
- Namespace, route a povolené metódy
- Komponent, ktorý route registroval
- Anonymné a prihlásené správanie
- Známy klient a prevádzkový vlastník
Auditujte autentifikáciu a oprávnenia na reálnych objektoch
Pri každej citlivej route overte, aký mechanizmus identity sa skutočne používa a ku ktorému účtu vedie. Cookie s nonce, aplikačné heslo alebo iný podporovaný mechanizmus majú odlišný kontext. Vyhľadajte zdieľané integračné účty, nadmerné role, neaktuálne poverenia a klientov bez plánovanej rotácie. CORS ani znalosť adresy nenahrádzajú autentifikáciu.
Autorizáciu testujte nad vlastným aj cudzím objektom a pre každú povolenú metódu. Účet, ktorý smie čítať svoj záznam, nemusí smieť čítať kolekciu, meniť stav alebo pristupovať k cudziemu ID. Skúste priame požiadavky bez administračného rozhrania, pretože skryté tlačidlo nič nechráni. Nález popíšte ako konkrétnu dvojicu identity a nepovolenej akcie.
- Anonymný používateľ a viac rolí
- Vlastný verzus cudzí objekt
- Čítanie, zápis, mazanie a hromadné akcie
- Minimálne oprávnenia integračného účtu
Minimalizujte vracané dáta a informačné stopy
Pre reprezentatívne požiadavky uložte schému a zoznam polí, nie produkčné osobné dáta. Skontrolujte používateľské profily, autorov, médiá, vyhľadávanie, embed odpovede, koncepty a metadata doplnené pluginmi. Verejná stránka môže určitý údaj zobrazovať, no API nemusí poskytovať ďalšie interné ID, technické príznaky alebo kompletné objekty, ktoré klient nepotrebuje.
Preskúšajte chybové vetvy, neplatné parametre a neexistujúce ID. Odpoveď nemá odhaliť cestu na serveri, databázový dotaz, stack trace, tajomstvo ani rozdiel, ktorý potvrdí existenciu cudzieho citlivého záznamu. Ak pole odstránite alebo zmeníte kontext viditeľnosti, najprv nájdite legitímnych spotrebiteľov a pripravte kompatibilný prechod.
Zmerajte abuse scenáre, rate limiting a cache
Z logov a kontrolovaného testu určte latenciu, veľkosť odpovede, databázové dotazy a pamäť pre najpoužívanejšie aj najdrahšie route. Skúste maximálnu stránku, filtre, vyhľadávanie a paralelné anonymné požiadavky v bezpečnom prostredí. Jedna pomalá verejná kolekcia môže vyčerpať workery aj bez prekonania autentifikácie alebo formálnej zraniteľnosti.
Rate limiting nastavujte podľa route, identity, nákladov a legitímnej prevádzky, nie jedným nízkym limitom pre celé `/wp-json/`. Rozlišujte blokový editor, webhook, dôveryhodnú integráciu a anonymné čítanie. Verejnú stabilnú odpoveď možno cachovať, ale cache key musí rešpektovať parametre a jazyk. Personalizovaná či oprávnením chránená odpoveď sa nesmie dostať do zdieľanej cache.
- P95 latencia a veľkosť odpovede
- Maximálne stránky a nákladné filtre
- Limity podľa klienta a rizika
- Oddelenie verejnej a personalizovanej cache
Zaveďte logy, monitoring a regresný hardening
Logujte route alebo bezpečný vzor, metódu, stavový kód, čas, identitu typu klienta a korelačné ID. Nezapisujte bearer token, nonce, celé telo ani osobné polia len kvôli pohodliu. Monitoring sleduje nárast 401, 403, 404, 429 a 5xx, zmenu latencie, neobvyklú veľkosť odpovedí a zlyhania klientov. Prahy vychádzajú zo zaznamenanej základnej línie.
Každý nález premeňte na test: anonymný prístup, rola s minimálnym oprávnením, cudzí objekt, zakázaná metóda, veľký limit, cache izolácia a očakávaný chybový výstup. Hardening nasaďte najprv v stagingu s blokovým editorom a reálnymi integráciami, potom po menších zmenách. Po aktualizácii jadra alebo pluginu zopakujte inventár a regresnú sadu, aby sa expozícia nevrátila.
Časté otázky
Má sa pri hardeningu vypnúť celé WordPress REST API?
Zvyčajne nie. API používa jadro, Gutenberg aj integrácie a verejná route môže byť zámerná. Auditujte konkrétne metódy, dáta a oprávnenia a obmedzte iba potvrdenú nepotrebnú alebo rizikovú expozíciu.
Ako auditovať REST API bez rozbitia blokového editora?
Najprv identifikujte route používané editorom a vytvorte regresný scenár v stagingu. Ochranu aplikujte cielene podľa route a klienta, potom otestujte načítanie, uloženie, náhľad, médiá aj relevantné pluginové bloky.
Ktoré signály má monitoring REST API sledovať?
Najmä latenciu a veľkosť odpovedí, počty 401, 403, 404, 429 a 5xx, najdrahšie route, neobvyklé objemy a zlyhania známych integrácií. Prahy porovnávajte s bežnou prevádzkou a očakávanými špičkami.
Zdroje a ďalšie čítanie
Web developer zo Spišskej Novej Vsi. Venuje sa WordPressu, WooCommerce, vlastným pluginom, API integráciám, webovým aplikáciám a praktickým AI automatizáciám.
