Nejprve zaznamenejte všechny existující routy, jejich původ, metody, publikum a spotřebitele. Poté otestujte anonymní i přihlášený přístup, minimalizujte zbytečná pole, změřte náročné požadavky a nastavte přiměřenou ochranu proti zneužití. Každý zásah ověřte ve stagingu na editoru, integracích a stabilní regresní sadě.
Audit WordPress REST API zkoumá vrstvu, která na webu již existuje. Routy registruje jádro, WooCommerce, bezpečnostní a formulářové pluginy, vlastní doplňky i šablona. Některé jsou veřejné záměrně, jiné se zobrazí po přihlášení nebo vznikly jako vedlejší účinek dávno zapomenuté funkce. Samotná dostupnost rozhraní není zranitelnost, ale neznámý rozsah znemožňuje rozumně posoudit expozici, výkon a vlastnictví.
Cílem hardeningu není plošně vypnout `/wp-json/` a rozbít blokový editor či integrace. Potřebujete inventář skutečně dostupných route, test oprávnění, kontrolu vracených polí, ochranu nákladných operací a měřitelnou výchozí úroveň. Změny se pak provádějí na základě konkrétních nálezů a ověřují se regresními scénáři. Tento postup je provozní audit existující vrstvy, nikoli návod na návrh nebo programování nového endpointu.
Vytvořte inventář skutečné expozice API
Inventář vytvořte z indexu REST API, registrace v kódu, dokumentace pluginů a pozorovaného provozu. U každé route zapište namespace, HTTP metody, původní plugin nebo komponentu, očekávaného klienta a vlastníka. Porovnejte odpověď pro anonymního návštěvníka, běžný účet a administrátora. Veřejně viditelný název route ještě neznamená, že veřejně vrací data nebo povoluje zápis.
Označte routy používané Gutenbergem, mobilní aplikací, headless front-endem, webhookem a interní integrací. Nepoužívaný endpoint nelze určit pouze podle krátkého logu, proto data propojte s rozhovory a kódem. Zaznamenejte verzi WordPressu a pluginů, čas auditu a testovací účet. Inventuru tak lze po aktualizaci zopakovat a odhalit novou nebo zmizelou expozici.
- Namespace, route a povolené metody
- Komponenta, která route registrovala
- Anonymní a přihlášené chování
- Známý klient a provozní vlastník
Auditujte autentizaci a oprávnění na reálných objektech
U každé citlivé route ověřte, jaký mechanismus identity se skutečně používá a ke kterému účtu vede. Cookie s nonce, aplikační heslo nebo jiný podporovaný mechanismus mají odlišný kontext. Vyhledejte sdílené integrační účty, nadměrné role, neaktuální přihlašovací údaje a klienty bez plánované rotace. CORS ani znalost adresy nenahrazují autentizaci.
Autorizaci testujte nad vlastním i cizím objektem a pro každou povolenou metodu. Účet, který smí číst svůj záznam, nemusí smět číst kolekci, měnit stav nebo přistupovat k cizímu ID. Vyzkoušejte přímé požadavky bez administračního rozhraní, protože skryté tlačítko nic nechrání. Nález popište jako konkrétní dvojici identity a nepovolené akce.
- Anonymní uživatel a více rolí
- Vlastní versus cizí objekt
- Čtení, zápis, mazání a hromadné akce
- Minimální oprávnění integračního účtu
Minimalizujte vracená data a informační stopy
Pro reprezentativní požadavky uložte schéma a seznam polí, nikoli produkční osobní data. Zkontrolujte uživatelské profily, autory, média, vyhledávání, embed odpovědi, koncepty a metadata doplněná pluginy. Veřejná stránka může určitý údaj zobrazovat, ale API nemusí poskytovat další interní ID, technické příznaky nebo kompletní objekty, které klient nepotřebuje.
Vyzkoušejte chybové větve, neplatné parametry a neexistující ID. Odpověď nemá odhalit cestu na serveru, databázový dotaz, stack trace, tajemství ani rozdíl, který by potvrdil existenci cizího citlivého záznamu. Pokud pole odstraníte nebo změníte kontext viditelnosti, nejprve najděte legitimní spotřebitele a připravte kompatibilní přechod.
Změřte scénáře zneužití, rate limiting a cache
Z logů a řízeného testu určete latenci, velikost odpovědi, databázové dotazy a paměť pro nejpoužívanější i nejnáročnější route. Vyzkoušejte maximální stránku, filtry, vyhledávání a paralelní anonymní požadavky v bezpečném prostředí. Jediná pomalá veřejná kolekce může vyčerpat workery i bez prolomení autentizace nebo formální zranitelnosti.
Rate limiting nastavujte podle route, identity, nákladů a legitimního provozu, ne jedním nízkým limitem pro celé `/wp-json/`. Rozlišujte blokový editor, webhook, důvěryhodnou integraci a anonymní čtení. Veřejnou stabilní odpověď lze cachovat, ale cache key musí respektovat parametry a jazyk. Personalizovaná či oprávněním chráněná odpověď se nesmí dostat do sdílené cache.
- P95 latence a velikost odpovědi
- Maximální stránky a nákladné filtry
- Limity podle klienta a rizika
- Oddělení veřejné a personalizované cache
Zaveďte logy, monitoring a regresní hardening
Logujte route nebo bezpečný vzor, metodu, stavový kód, čas, identitu typu klienta a korelační ID. Nezapisujte bearer token, nonce, celé tělo požadavku ani osobní pole jen z pohodlnosti. Monitoring sleduje nárůst 401, 403, 404, 429 a 5xx, změnu latence, neobvyklou velikost odpovědí a selhání klientů. Prahy vycházejí ze zaznamenané výchozí úrovně.
Každé zjištění převeďte na test: anonymní přístup, role s minimálním oprávněním, cizí objekt, zakázaná metoda, vysoký limit, izolace cache a očekávaný chybový výstup. Hardening nasaďte nejprve na stagingu s blokovým editorem a reálnými integracemi, poté po menších změnách. Po aktualizaci jádra nebo pluginu zopakujte inventuru a regresní sadu, aby se expozice nevrátila.
Časté dotazy
Má se při hardeningu vypnout celé WordPress REST API?
Obvykle ne. API používá jádro, Gutenberg i integrace a veřejná route může být záměrná. Auditujte konkrétní metody, data a oprávnění a omezte pouze potvrzenou nepotřebnou nebo rizikovou expozici.
Jak auditovat REST API bez rozbití blokového editoru?
Nejprve identifikujte routy používané editorem a vytvořte regresní scénář na stagingu. Ochranu aplikujte cíleně podle routy a klienta, poté otestujte načítání, uložení, náhled, média i relevantní bloky pluginů.
Které signály má monitoring REST API sledovat?
Především latenci a velikost odpovědí, počty 401, 403, 404, 429 a 5xx, nejdražší route, neobvyklé objemy a selhání známých integrací. Prahy porovnávejte s běžným provozem a očekávanými špičkami.
Zdroje a další čtení
Adam Antoni vyvíja weby, aplikácie a softvér na mieru. Prepája firemné systémy, automatizuje procesy a vytvára AI agentov. Pôsobí v Spišskej Novej Vsi a spolupracuje s firmami na celom Slovensku.
