API REST exposta no WordPress: como proteger

Tipo Seguranca

Nome do erro API REST do WordPress exposta EN: Exposed WordPress REST API

Severidade Grave

Descrição A API REST exposta no WordPress é o problema de a rota /wp-json/wp/v2/users listar publicamente os nomes de usuário do site, entregando ao invasor metade do par login-senha. Corrigir significa restringir esse endpoint e os dados sensíveis sem desligar a REST API, que muitos recursos do site usam.

O que é a API REST exposta no WordPress?

A API REST do WordPress é a interface em /wp-json/ que o editor de blocos, plugins e apps usam para ler e gravar dados. O problema de segurança não é a API existir, e sim ela expor informação sensível sem autenticação. A rota /wp-json/wp/v2/users lista os nomes de usuário (logins) de quem já publicou no site, e /wp-json/wp/v2/ revela quais plugins registram endpoints. Com os logins em mãos, o atacante só precisa quebrar a senha por força bruta. A correção certa é restringir as rotas que vazam dados, mantendo o resto da REST API funcionando, e não bloquear tudo, o que quebraria o editor e vários plugins.

Como identificar

Abrir “seudominio.com/wp-json/wp/v2/users” no navegador retorna um JSON com os nomes de usuário do site.
O scanner de segurança aponta “User Enumeration via REST API” ou “REST API users endpoint exposed”.
No log, requisições repetidas a /wp-json/wp/v2/users coincidem com picos de tentativas de login.
A rota “/wp-json/” lista publicamente todos os namespaces de plugins instalados no site.

Antes de começar: Não desative a REST API inteira para resolver isso. O editor de blocos, vários plugins e o app oficial dependem dela; bloquear tudo quebra o painel e funções do site. Restrinja apenas as rotas que vazam dados e teste o editor após aplicar.

Como prevenir

Mantenha a rota /wp/v2/users restrita a usuários autenticados e bloqueie /?author=N para anônimos
Declare permission_callback em todo endpoint REST customizado de plugins próprios
Use um WAF que limite requisições anônimas às rotas sensíveis e detecte enumeração de usuários

Causa

A rota /wp/v2/users da REST API lista nomes de usuário publicamente por padrão, sem exigir autenticação.
Enumeração de usuários também possível por /?author=1, que redireciona e revela o slug do login.
Endpoints de plugins mal escritos que retornam dados sensíveis sem checar permissão (permission_callback).
A rota índice /wp-json/ expõe todos os namespaces, mapeando os plugins instalados para o atacante.
Falta de um WAF ou regra que limite o acesso anônimo às rotas que vazam informação.

Como resolver

Confirme a exposição: abra seudominio.com/wp-json/wp/v2/users no navegador. Se retornar a lista de usuários em JSON, a enumeração via REST está aberta e precisa ser restringida.
Restrinja a rota de usuários por código: no functions.php do tema-filho ou em um plugin de snippets, filtre o endpoint /users para exigir autenticação, devolvendo erro a quem não estiver logado.
Bloqueie a enumeração por author: barre o acesso a /?author=N para visitantes anônimos, evitando que o slug do login vaze pela URL do autor.
Revise os endpoints dos seus plugins: garanta que todo endpoint customizado declare um permission_callback. Endpoint sem checagem de permissão é o vetor mais comum de vazamento de dados pela REST.
Adicione uma camada de WAF: configure o firewall/WAF para limitar requisições anônimas às rotas sensíveis da REST API e bloquear padrões de enumeração de usuários.

PHP

// Exige autenticacao na rota /wp/v2/users e bloqueia enumeracao por author
// (functions.php do tema-filho ou plugin de snippets)
add_filter( 'rest_endpoints', function ( $endpoints ) {
    if ( isset( $endpoints['/wp/v2/users'] ) ) {
        unset( $endpoints['/wp/v2/users'] );
    }
    if ( isset( $endpoints['/wp/v2/users/(?P<id>[d]+)'] ) ) {
        unset( $endpoints['/wp/v2/users/(?P<id>[d]+)'] );
    }
    return $endpoints;
} );

// Bloqueia a enumeracao classica por /?author=N para visitantes anonimos
add_action( 'template_redirect', function () {
    if ( ! is_user_logged_in() && isset( $_GET['author'] ) ) {
        wp_safe_redirect( home_url(), 301 );
        exit;
    }
} );

Perguntas frequentes

Posso simplesmente desativar a REST API inteira do WordPress?

Não é recomendado. O editor de blocos, o app oficial e muitos plugins dependem da REST API para funcionar. Desligar tudo quebra o painel e recursos do site. O certo é restringir só as rotas que vazam dados, como /wp/v2/users, mantendo o resto ativo.

Por que a rota /wp-json/wp/v2/users é um risco?

Ela lista publicamente os nomes de usuário (logins) de quem publicou no site. Com o login em mãos, o atacante já tem metade do par login-senha e só precisa quebrar a senha por força bruta. Restringir essa rota tira do invasor essa informação de partida.

Bloquear /users na REST resolve a enumeração de usuários?

Resolve a via REST, mas não a via /?author=N, que também revela o slug do login pela URL do autor. Por isso a correção completa bloqueia as duas: a rota /wp/v2/users e o acesso anônimo a /?author=N. Cobrir só uma deixa a outra aberta.

Como sei se a API REST do meu site está exposta?

Abra seudominio.com/wp-json/wp/v2/users no navegador. Se aparecer um JSON com a lista de usuários, a enumeração está aberta. Um scanner de segurança também sinaliza "User Enumeration via REST API" quando detecta essa exposição.

Restringir a REST API quebra o editor de blocos?

Não, se você restringir só as rotas sensíveis. O editor usa outras rotas da REST (posts, mídia, blocos) que continuam funcionando. Remover apenas /wp/v2/users do acesso anônimo não afeta o editor; só teste após aplicar para confirmar.

Endpoints de plugins também podem vazar dados pela REST?

Sim. Um endpoint customizado sem permission_callback retorna dados a qualquer um, sem checar permissão. É um vetor comum de vazamento. Revise os plugins próprios para garantir que toda rota registrada valide a permissão antes de responder.

Crítico

Como corrigir vulnerabilidade SQL Injection no WordPress

Uma vulnerabilidade de SQL Injection no WordPress permite que um invasor injete comandos SQL através de uma entrada mal tratada e leia ou altere o banco de dados. Corrigir significa achar a consulta vulnerável, usar consultas preparadas com $wpdb->prepare() e atualizar o plugin ou tema que abriu a falha.

Grave

Como corrigir o bloqueio de login (lockout) no All in One Security

O login lockout do AIOS acontece quando o All in One Security tranca o seu IP no recurso Login Lockdown depois de exceder o limite de tentativas, ou quando o Cookie-Based Brute Force Prevention esconde o wp-login.php e te redireciona para 127.0.0.1 por falta do cookie secreto. Em ambos os casos você perde o acesso ao painel.

Grave

Como proteger contra ataques de forca bruta no login do WordPress

Um ataque de forca bruta no WordPress tenta adivinhar usuário e senha enviando milhares de combinacoes ao wp-login.php. A proteção combina limitar tentativas, exigir senha forte com 2FA e bloquear ou esconder a página de login.

Grave

Como corrigir o bloqueio de login que não funciona no All in One Security

O AIOS não bloqueia login quando o recurso Login Lockdown do All in One Security esta desativado, com limite de tentativas alto demais, ou quando os ataques chegam por um formulário de login customizado que não passa pelo wp-login.php. Nesses casos o plugin registra as falhas mas nunca tranca o IP atacante.

Grave

Como corrigir o conflito de login entre All in One Security e Elementor Pro

O conflito de login entre All in One Security e Elementor Pro surge quando recursos do AIOS (Cookie-Based Brute Force Prevention, Rename Login Page ou CAPTCHA) interceptam o wp-login.php, para onde o widget de Login do Elementor Pro envia as credenciais. O login recarrega, da erro de captcha ou redireciona para 127.0.0.1.

Atenção

Como corrigir o Customizer bloqueado pelo firewall do All in One Security com Astra Pro no WordPress

O conflito do AIOS com o Astra Customizer ocorre quando o firewall do All in One Security barra a requisicao admin-ajax de gravacao (customize_save) do Personalizar, fazendo o Astra Pro não salvar e a previa travar em carregamento.

Setores

Extensões

Integrações

Como corrigir API REST do WordPress exposta

O que é a API REST exposta no WordPress?

Como identificar

Como prevenir

Causa

Como resolver

Perguntas frequentes

Itens relacionados

Como corrigir vulnerabilidade SQL Injection no WordPress

Como corrigir o bloqueio de login (lockout) no All in One Security

Como proteger contra ataques de forca bruta no login do WordPress

Como corrigir o bloqueio de login que não funciona no All in One Security

Como corrigir o conflito de login entre All in One Security e Elementor Pro

Como corrigir o Customizer bloqueado pelo firewall do All in One Security com Astra Pro no WordPress

Setores

Extensões

Integrações

Extensões

Hero Sections

Seções de CTA

Login

Blog

Cabeçalhos

Seções de FAQ

Cadastro

Blog individual

Rodapés

Seções de contato

Seções de preços

Faixas

Portfólio

Seções de equipe

Números

Logotipos