Sécuriser les points de terminaison API WordPress personnalisés: 11 conseils essentiels

Si vous utilisez l'API WordPress REST, sécuriser vos points de terminaison est une étape cruciale pour les empêcher de devenir des vecteurs d'attaque. Dans ce guide, nous explorons les meilleures pratiques pour le faire.

Ci-dessous, nous discutons de la façon de protéger le trafic API, de définir les bonnes autorisations, de protéger et de nettoyer les données transmises et de rester au-dessus des problèmes potentiels.

TL; DR pour les points de terminaison de l'API WordPress

Pressé pour le temps? Voici les principaux plats à retenir.

L'API WordPress REST permet des intégrations et une flexibilité puissantes, mais ses points de terminaison peuvent également ouvrir des portes aux attaques si elles ne sont pas garanties. Pour assurer la sécurité de votre site, il est important de mettre en œuvre la sécurité en couches pour tous les aspects de l'utilisation de l'API:

• Gardez WordPress, ses thèmes et ses plugins à jour pour corriger les vulnérabilités connues.

• Sécurisez tout le trafic API avec SSL / HTTPS pour protéger contre l'interception et la falsification.

• Prioriser la vitesse du site pour éviter les délais d'expiration, traiter rapidement l'API et garder votre site à travailler pendant les attaques de service de service.

• Utilisez des rôles et des autorisations utilisateur personnalisés pour maintenir les privilèges au minimum essentiel.

• Valider et désinfecter les données pour empêcher la majoration malveillante.

• Utilisez l'authentification et l'autorisation pour contrôler l'accès aux points de terminaison de l'API.

• Ajoutez un taux limitant à la défense contre les attaques brutes, grattant et DOS.

• Durci votre configuration avec des en-têtes de sécurité, une journalisation et une liste blanche IP si nécessaire.

Apprendre à connaître l'API WordPress REST

Avant de plonger dans les pratiques de sécurité pour les points de terminaison API personnalisés, il est important de comprendre ce qu'ils sont et comment ils s'intègrent dans l'écosystème WordPress.

Quelle est l'API WordPress REST?

Commençons par le haut. L'API signifie «Interface de programmation d'applications». Il s'agit d'un logiciel qui permet à deux programmes différents de communiquer entre eux et d'échanger des données.

WordPress a de nombreuses API, mais la plus puissante et la plus importante est l'API REST. C'est une fonctionnalité principale depuis WordPress 4.7.

REST signifie «Representational Sate Transfer» et décrit une norme pour la création d'API qui offre plusieurs avantages. L'un d'eux est que les API RESTful ont plus de facilité à communiquer entre elles.

L'API WordPress REST utilise également le format de données JSON (JavaScript Object Notation), qui est facile à lire et à écrire et à compatible avec de nombreux langages de programmation.

Il fournit un moyen standardisé d'interagir avec WordPress en utilisant des demandes HTTP comme GET (récupérer), Post (Create), Put / Patch (Update) et Delete (Supprimer). Avec leur aide, il est possible de manipuler les types de données de base comme les publications, les pages, les utilisateurs et les commentaires ainsi que les types de contenu personnalisés, à partir de WordPress extérieure sans se connecter d'abord au site Web.

Tout cela permet d'intégrer et de connecter WordPress avec une large gamme de logiciels, d'outils et d'applications externes. Par exemple, l'API REST est un outil de base pour les configurations WordPress sans tête ou l'intégration de votre site Web avec des applications mobiles. L'éditeur de blocs WordPress (alias Gutenberg) fonctionne également à l'aide de l'API REST.

Que sont les points de terminaison API dans WordPress?

Un point de terminaison est une URL spécifique qui représente un objet ou une ressource dans votre site WordPress. Il peut s'agir d'un message, d'un utilisateur ou d'un paramètre personnalisé. Lorsqu'un autre logiciel envoie une demande à cette URL, il peut amener WordPress à fournir ou à modifier les données situées à ce point de terminaison.

WordPress a des points de terminaison intégrés pour les types de données par défaut comme les publications, les commentaires, les médias et les utilisateurs. Vous pouvez également créer des points de terminaison personnalisés pour les fonctionnalités sur mesure, pour accéder aux données personnalisées, limiter l'exposition aux données ou rationaliser les performances. Ceci est utile, par exemple à:

• Permettez aux applications externes d'apporter des modifications telles que la publication ou la récupération de publications et la mise à jour des profils d'utilisateurs.

• Connectez WordPress aux outils, applications et services tiers (par exemple, CRMS, fournisseurs de marketing par e-mail).

• Activez la récupération des données en temps réel pour les fonctionnalités de site Web dynamique, telles que la recherche en direct.

• Créez des panneaux d'administration personnalisés ou des tableaux de bord analytiques.

Pourquoi la sécurité des points de terminaison API est-elle importante?

Étant donné que l'API offre un accès direct aux données du site Web, elle entraîne également des risques de sécurité. Chaque point de terminaison API est un point d'entrée potentiel dans votre site WordPress. Sans mesures de sécurité appropriées, ils peuvent être exploités et causer des dommages, tels que:

• Révéler des informations sensibles

• Activer la force brute ou les attaques d'injection

• Exposer les fonctions d'administration

• Corridors ouverts pour les attaques de déni de service (DOS)

• Rendre l'injection de logiciels malveillants possible

Par exemple, lorsque vous accédez à https://yoursite.com/wp-json/wp/v2/users/ (Remplacez la voleure.com par votre vrai domaine), par défaut, vous verrez une liste de tous les utilisateurs disponibles sur votre site Web.

Cela permet aux pirates de se frayer un chemin à plus facilement dans votre site, car il leur fournit la moitié des informations d'identification nécessaires pour se connecter. C'est pourquoi il est important de savoir comment sécuriser vos points de terminaison API pour assurer la sécurité de votre site Web WordPress.

Mais le faire ne concerne pas une seule solution. Cela nécessite une combinaison de stratégies, dont nous parlerons maintenant.

1. Appliquer régulièrement des mises à jour logicielles

Garder WordPress Core, les plugins et les thèmes mis à jour applique les derniers correctifs pour les vulnérabilités de sécurité connues. Vous pouvez les appliquer manuellement ou utiliser la fonction de mise à jour automatique dans WordPress.

Par défaut, les mises à jour de base mineures s'installent déjà automatiquement car elles sont souvent publiées spécifiquement pour résoudre les problèmes de sécurité. Lorsque vous appliquez des mises à jour majeures, assurez-vous d'abord de sauvegarder votre site et de les tester sur un site Web de mise en scène.

De plus, n'oubliez pas d'examiner et de mettre à jour les plugins ou le code personnalisés qui gèrent les itinéraires API.

2. Utilisez SSL / HTTPS

La mise en œuvre de SSL sur votre site Web garantit que toutes les demandes et réponses de l'API sont chiffrées en transit. Cela protège les données sensibles comme les jetons d'authentification ou les informations utilisateur contre l'interception ou la manipulation par des attaques d'homme dans le milieu.

Pour exécuter votre site Web sur HTTPS, vous avez besoin d'un certificat SSL / TLS. Si votre site Web n'a pas encore cela, il est généralement plus facile de créer votre fournisseur d'hébergement. Après cela, vous devez toujours appliquer l'utilisation HTTPS pour tous les appels de trafic et API.

3. Investissez dans les performances du site Web

Comme toutes les autres parties de votre site Web, pour que l'API reste à faire son travail, il a besoin de bonnes performances de site. Si votre site Web ne peut pas répondre aux demandes d'API en raison d'un manque de ressources de serveur, les applications et les intégrations qui en dépendent peuvent subir des réponses et des délais d'attente lents.

De plus, un site Web optimisé par la vitesse a de meilleures chances de rester réactifs pour les visiteurs et les correctifs lors d'une attaque contre les points de terminaison de l'API visant à la surcharger.

Il existe de nombreuses façons d'améliorer les performances du site Web, telles que l'investissement dans l'hébergement de qualité et l'optimisation de vos images. Un moyen facile d'accélérer votre site WordPress consiste à utiliser un plugin de performances comme WP Rocket. Il comprend de nombreuses fonctionnalités pour augmenter la vitesse du site comme:

• Mise en cache, y compris un cache mobile séparé

• Chargement paresseux pour les images, y compris les arrière-plans CSS, les vidéos et les iframes

• Ressources de blocage de rendu

• Préchargement de cache, de liens, de fichiers externes et de polices

• Polices Google à l'auto-hébergement

• Optimisation de la base de données

• Options pour se connecter facilement à un CDN, y compris RocketCDN

En dehors de cela, WP Rocket met en œuvre des améliorations de performances supplémentaires en arrière-plan, comme la compression GZIP, les fichiers CSS et JavaScript en minimisation minimisant, et l'optimisation de l'image au-dessus du pli (pour améliorer la plus grande peinture de contenu).

En conséquence, votre site remplit 80% des meilleures pratiques de performance dès que vous activez le plugin et devient plus rapide immédiatement sans aucun travail supplémentaire de votre côté.

4. Configurer des rôles utilisateur personnalisés

WordPress a des rôles utilisateur avec des capacités définies comme une fonctionnalité par défaut.

Étant donné que les demandes d'API utilisent des informations d'identification d'authentification appartenant aux utilisateurs de votre site Web, la définition du bon niveau d'accès détermine également les points de terminaison qu'ils peuvent utiliser et les opérations qu'ils peuvent effectuer:

• Administrateur: peut effectuer toutes les opérations CRUD (créer, lire, mettre à jour, supprimer) sur tous les points de terminaison de l'API.

• Éditeur: a accès à la plupart des points de terminaison de l'API liés aux publications, pages et médias, avec des autorisations pour créer, modifier et supprimer du contenu.

• Auteur: Comprend l'accès aux points de terminaison pour la création et la mise à jour des publications attribuées à l'utilisateur.

• Contributeur: L'accès aux points de terminaison de l'API est limité à leurs propres ébauches sans la possibilité de les publier.

• Abonné: les abonnés ne peuvent généralement pas récupérer leurs propres informations de profil utilisateur.

Pour la sécurité des points de terminaison API, évitez d'utiliser des rôles à grande privile (par exemple, administrateur) si cela n'est pas nécessaire pour la tâche à accomplir. Cela réduit les retombées possibles d'une violation potentielle.

Mieux encore, créez des rôles dédiés avec uniquement les autorisations nécessaires à ce que vous essayez de réaliser. Ceci est également appelé le principe du moindre privilège.

Vous pouvez utiliser les fonctions add_role () et add_cap () pour définir les rôles personnalisés et gérer les capacités ainsi que relever_cap () pour éliminer les privilèges des rôles utilisateur existants. Alternativement, utilisez le plugin d'éditeur de rôle utilisateur.

Il est également possible de désactiver complètement l'API REST pour les utilisateurs non autorisés à l'aide d'un plugin comme Disable API WP REST ou via functions.php.

5. Implémentez la validation et la désinfection des entrées

La validation des entrées et la désinfection des données empêchent les attaquants de soumettre des commandes ou scripts SQL nocifs via des points de terminaison de l'API.

La validation signifie la vérification des données entrantes pour s'assurer qu'elles correspondent aux formats, types et valeurs autorisés attendus. La désinfection, en revanche, supprime le code nuisible intégré aux demandes. Les deux sont particulièrement importants pour le contenu généré par les utilisateurs.

WordPress offre à cet effet plusieurs fonctions natives que vous pouvez trouver dans les ressources du développeur:

• Ressources du développeur WordPress: validation des données

• Ressources du développeur WordPress: Données désinfectées

6. Utiliser des instructions préparées pour les requêtes de base de données

Les instructions préparées gardent les commandes de la saisie et de la base de données de l'utilisateur. De cette façon, ils aident à prévenir les attaques d'injection SQL en neutralisant les structures de requête malveillantes.

Dans WordPress, vous pouvez utiliser $ wpdb-> prépare () lors de la construction de requêtes SQL pour échapper automatiquement à la saisie des utilisateurs ainsi que des espaces réservés (% s,% d, etc.) au lieu d'insérer directement les valeurs brutes dans les requêtes.

7. Assurer de fortes pratiques d'authentification et d'autorisation

L'authentification s'assure que les utilisateurs ou entités qui demandent des données d'un point de terminaison de l'API sont ce qu'ils prétendent être. L'autorisation, en revanche, contrôle à quoi un utilisateur donné a accès et peut faire. Nous avons déjà couvert cela lorsque nous parlons de rôles utilisateur plus tôt.

Par défaut, l'API WordPress REST offre une authentification via des cookies et des nonces, qui sont des jetons uniques de courte durée. Vous pouvez également utiliser l'authentification de base en définissant un mot de passe d'application dans votre profil utilisateur.

Les jetons Web OAuth et JSON sont également disponibles via des plugins comme WP REST API - OAuth 1.0A Server et JWT Authentication pour l'API WP REST.

Utilisez les différents types d'authentification dans les cas suivants:

• Cookies + Nonces: Idéal pour les thèmes / plugins qui font des appels d'API dans le navigateur.

• Mots de passe d'application (Auth de base): Utilisation pour les scripts, outils ou services externes. Il est facile à configurer et bon pour la communication serveur-serveur.

• OAuth: Mieux pour les applications tierces qui ont besoin d'un accès incité à l'utilisateur.

• JWT (jetons Web JSON): bon pour les pointes frontales sans tête ou découplées (par exemple, React ou mobiles) et les points de terminaison API avec un trafic élevé.

8. Employer la limitation des taux et la limitation

La limitation des taux vous permet de fixer des limites sur le nombre de demandes qu'un utilisateur ou une adresse IP peut faire dans une période donnée. Il aide à se défendre contre les attaques par force brute, le spam, les abus automatisés visant à surcharger la surcharge du système.

La limitation des taux est particulièrement importante pour les paramètres publics ou non authentifiés. Dans le même temps, il n'est pas si restrictif qu'il bloque toutes les demandes et le trafic légitimes lorsqu'ils sont attaqués.

Les limites peuvent être placées par client ou emplacement ou être placées sur le serveur lui-même. Vous pouvez utiliser des limites dures, qui interdisent toutes les demandes jusqu'à ce qu'elles soient soulevées, ou gazonner le nombre de demandes pendant une période. Enfin, vous pouvez également définir différentes limites pour différents groupes d'utilisateurs.

Les tutoriels WP ont un excellent guide sur la limitation des taux pour l'API WordPress.

9. Utilisez des en-têtes de sécurité

Les en-têtes de sécurité offrent une couche de protection supplémentaire en demandant aux navigateurs de gérer le contenu et les connexions de votre site. Lorsque votre API interagit avec les applications frontales ou les services externes, ces en-têtes aident à atténuer les vulnérabilités Web communes.

Les en-têtes de sécurité importants à mettre en œuvre sont:

• Contenu-Sécurité-politique: contrôles que les scripts peuvent fonctionner dans les extrémités frontales connectées à l'API.

• Options de type X-Content: Réglez-le sur Nosniff pour empêcher les navigateurs d'interpréter les fichiers comme un type MIME différent.

• Options X-Frame: Utilisation de Deny ou Sameorigin vous aide à empêcher le jackage de clics en interdisant à votre site d'être intégré dans un iframe.

• STRICT-TRANSPORT-SÉCURITÉ: appliquer les HTTP sur les demandes futures.

Les en-têtes de sécurité peuvent être ajoutés à l'aide de PHP via la fonction d'en-tête (), via des fichiers de serveur comme .htaccess ou des plugins de sécurité tels que les en-têtes Security Advanced. En savoir plus sur les en-têtes de sécurité.

10. Autoriser les adresses IP de liste

Une autre façon de contrôler l'accès aux points de terminaison sensibles ou administratifs est de le restreindre à des adresses IP spécifiques et prédéfinies. Cela agit comme une barrière simple mais efficace contre les demandes non autorisées de sources inconnues.

Bien sûr, la condition préalable est que vous connaissez les adresses IP des appareils et programmes que vous souhaitez permettre d'accéder à vos points de terminaison API et qu'ils restent statiques. Vous pouvez configurer les listes d'autoroute au niveau du serveur (par exemple, .htaccess, nginx config), via functions.php et certains plugins de sécurité.

11. Profitez de l'exploitation forestière et de la surveillance

Enfin, l'enregistrement des demandes d'API, des réponses et de l'activité utilisateur est un autre excellent outil pour sécuriser les points de terminaison API WordPress. Il vous permet d'identifier les points faibles, de surveiller les modèles de demande, d'erreurs ponctuelles et de déterminer la source des violations de sécurité.

Cela aide à renforcer votre sécurité au fil du temps. Vous pouvez utiliser un journal API Plugin comme REST, vos journaux d'accès au serveur ou des fonctions de journalisation personnalisées.

Sécurisez vos points de terminaison API WordPress personnalisés maintenant

L'API WordPress REST et ses points de terminaison sont puissants mais peuvent présenter des risques graves s'ils ne sont pas correctement sécurisés. Les rendre sûrs à utiliser nécessite différentes couches et une approche à plusieurs volets. Mais, comme vous l'avez vu ci-dessus, c'est relativement simple.

Un aspect que vous ne devriez pas négliger est les performances du site. Un site bien optimisé peut fournir des données via l'API plus rapidement et a une plus grande chance de rester réactif pour le dépannage lors d'une attaque de déni de service. Pour une façon facile et conviviale d'accélérer votre site, WP Rocket!