Premium WordPress-Wartung · by Frontend GmbH
Wie schützt man die REST API?
Die Antwort.
Die WordPress-REST-API wird nicht pauschal abgeschaltet, sondern durch korrekte Authentifizierung, Autorisierung und begrenzte Datenfreigabe geschützt. Eigene Endpunkte müssen Eingaben validieren, Berechtigungen mit passenden Capability-Checks prüfen und Missbrauch durch Rate Limits oder vorgeschaltete Regeln begrenzen. Nicht benötigte öffentliche Funktionen und sensible Felder sollten entfernt werden.
Abhängig vom vereinbarten Umfang prüfen wir die REST-API Ihrer Website auf öffentliche Endpunkte, sensible Felder, Berechtigungen und Abhängigkeiten zu Apps oder Editor.
Die REST API ist eine Schnittstelle, kein Fehler an sich
WordPress und viele Plugins benötigen sie. Schutz bedeutet deshalb, nur vorgesehene Daten und Aktionen mit korrekten Berechtigungen verfügbar zu machen.
- Endpunkte inventarisieren und unnötige Erweiterungen entfernen.
- Authentifizierung und Capability-Prüfung serverseitig erzwingen.
- Sensible Felder nicht öffentlich ausgeben.
- Schreibende oder teure Endpunkte mit Rate Limits und Logs überwachen.
Die Reihenfolge wird im konkreten Fall an Dringlichkeit, Datenlage und technische Abhängigkeiten angepasst.
Öffentlich lesbar und öffentlich veränderbar unterscheiden
Viele REST-Endpunkte liefern absichtlich veröffentlichte Beiträge. Kritisch sind unnötige Benutzerdaten, private Inhalte oder schreibende Aktionen ohne korrekte Rechteprüfung. Tests erfolgen abgemeldet, mit niedriger Rolle und mit berechtigtem Konto. So werden Datenfreigabe, Authentifizierung und Autorisierung getrennt bewertet, statt die gesamte API abzuschalten und damit Editor oder Apps zu beschädigen.
Nonce ist keine allgemeine Zugangsberechtigung
WordPress-Nonces erschweren bestimmte Cross-Site-Requests, ersetzen aber weder Anmeldung noch Capability-Prüfung. Jeder schreibende Endpunkt muss serverseitig prüfen, ob das konkrete Konto die angeforderte Aktion ausführen darf.
REST-Endpunkte nach Daten und Aktion prüfen
Öffentlich lesbare Beiträge sind beabsichtigt; private Felder oder schreibende Aktionen benötigen korrekte Authentifizierung und Capability-Prüfung. Tests erfolgen abgemeldet, mit niedriger Rolle und berechtigtem Konto. So werden Datenfreigabe und Autorisierung getrennt bewertet.
Berechtigungen jedes schreibenden Endpunkts testen
WordPress-Nonces erschweren bestimmte Cross-Site-Requests, ersetzen aber keine Berechtigung. Teure Endpunkte können Rate Limits benötigen. Protokolle dürfen keine Tokens oder sensiblen Nutzlasten offenlegen. Die API wird nicht pauschal abgeschaltet, weil Editor, Apps und Plugins sie verwenden können; unnötige Erweiterungsendpunkte werden gezielt entfernt.
Verwandte Fragen.
Wie schützt man Upload-Verzeichnisse?
Upload-Verzeichnisse werden durch restriktive Ausführungsregeln, passende Dateirechte, aktuelle Komponenten und eine Begrenzung erlaubter Dateitypen geschützt.
Wie schützt man WordPress vor DDoS-Angriffen?
DDoS-Schutz beginnt mit einer schnellen, gut gecachten Website und kann durch Ratenbegrenzung, Blockregeln, CDN oder WAF ergänzt werden.
Wie schützt man WordPress vor Bot-Traffic?
Bot-Traffic wird mit Ratenbegrenzung, Firewall- oder CDN-Regeln, Caching, Schutz besonders belasteter Endpunkte und einer Auswertung der Zugriffsmuster begrenzt.
Wie schützt man die WordPress-Datenbank?
Die Datenbank wird mit getrennten Zugangsdaten, begrenztem Netzwerkzugriff, sicheren Backups und aktuellen Serverkomponenten geschützt.
Ihre Website-Betreuung klären.
Beschreiben Sie uns Ihre Website und Ihr Anliegen. Im Gespräch legen wir fest, welche Betreuung Sie benötigen.