Hace unos meses escribí en dos entradas cómo evitar la enumeración de usuarios o user enumeration (parte 1 y parte 2). Ahora viene la bola extra: Evitar la enumeración de usuarios en WordPress a través de la REST API.
Como probablemente sabrás, WordPress integró en su core la REST API. El desarrollo de la REST API va a ser uno de los pilares fundamentales de evolución de WordPress, junto con el editor y el personalizador. No lo digo yo, lo dijo el propio Matt Mullenweg en el pasado State of the Word.
¿Cómo puedes ver la enumeración de usuarios de un sitio WordPress a través de la REST API?
Pues es muy sencillo, basta con añadir /wp-json/wp/v2/users a un dominio de una web hecha en WordPress. Por ejemplo: https://eldominioquesea.com/wp-json/wp/v2/users y te mostrará algo tipo esto:
[{
"id":1,
"name":"admin",
"url":"",
"description":"",
"link":"http:\/\/wptest.dev\/author\/admin\/",
"slug":"admin",
"avatar_urls":{
"24":"http:\/\/2.gravatar.com\/avatar\/b883f29b8ab037671d9d3bf1233f161e?s=24&d=mm&r=g",
"48":"http:\/\/2.gravatar.com\/avatar\/b883f29b8ab037671d9d3bf1233f161e?s=48&d=mm&r=g",
"96":"http:\/\/2.gravatar.com\/avatar\/b883f29b8ab037671d9d3bf1233f161e?s=96&d=mm&r=g"
},
"meta":[],
"_links":{
"self":[{
"href":"http:\/\/wptest.dev\/wp-json\/wp\/v2\/users\/1"
}],
"collection":[{
"href":"http:\/\/wptest.dev\/wp-json\/wp\/v2\/users"
}]
}
}]Simplemente con esta acción ya has obtenido el username de un sitio, o lo que es lo mismo: el 50% de lo que necesitas para acceder al escritorio de WordPress de una web.
¿Cómo evitamos listar usuarios con la REST API?
Pues por poder hacerlo podemos hacerlo, pero la pregunta es: ¿debemos hacerlo? Quizá hoy en día aún se puede decir que la REST API está dando sus primeros pasos, pero parece evidente que de aquí en adelante muchos desarrolladores de temas y plugins empezarán a hacer mucho uso de ella, por no hablar del core del propio WordPress.
Por lo tanto, antes de evitar la enumeración de usuarios comprueba que ni tú, ni tu tema, ni tus plugins hagan uso de ella. Puestos ahora a deshabilitar la REST API tienes 2 opciones: hacerlo total o parcialmente. Y dentro de estas 2 opciones tienes 2 alternativas: añadiendo un pequeño código a tu functions.php o a través de plugins.
Para deshabilitar la REST API totalmente a partir de la versión 4.7 de WordPress bastaría con añadir este código al functions.php de tu tema:
<?php
function completely_disable_rest_api( $access ) {
return new WP_Error( 'rest_cannot_access', __( 'Deshabilitada la REST API', 'your-text-domain' ), array( 'status' => rest_authorization_required_code() ) );
}
add_filter( 'rest_authentication_errors', 'completely_disable_rest_api' );Para deshabilitar la REST API parcialmente, es decir, en este caso deshabilitaremos los endpoints de users, el código que debemos añadir es el siguiente:
<?php
// Disable REST API user endpoints
function disable_rest_api_users_endpoints ( $endpoints ){
if ( isset( $endpoints['/wp/v2/users'] ) ) {
unset( $endpoints['/wp/v2/users'] );
}
if ( isset( $endpoints['/wp/v2/users/(?P<id>[\d]+)'] ) ) {
unset( $endpoints['/wp/v2/users/(?P<id>[\d]+)'] );
}
return $endpoints;
}
add_filter( 'rest_endpoints', 'disable_rest_api_users_endpoints' );En cualquiera de estos dos casos podríamos enfocar esta restricción por ejemplo para usuarios no logueados, bastaría con añadir la condición if ( ! is_user_logged_in() ). O permitir el acceso a una determinada IP, o lo que se nos pueda ocurrir. Al hacerlo mediante código tenemos más control y podemos personalizarlo según nuestras necesidades.
Si te decantas por la opción vía plugins, para deshabilitar la REST API totalmente dispones en el repositorio de plugins de WordPress de uno llamado Disable REST API. Para el supuesto de querer deshabilitar sólamente los endpoints de users, dispones de un plugin llamado SMNTCS Disable REST API User Endpoints.
Puede que también te interese
