XML-RPC ve REST API, WordPress ile uygulamalar arasında iletişim kurmak için kullanılan farklı arayüzlerdir. Her ikisini koşulsuz kapatmak bazı araçları ve yönetim işlevlerini bozabilir; açık bırakmak da kimlik doğrulama ve yetki kontrolünü ihmal etme gerekçesi değildir. Önce sitenizde hangi istemcinin hangi arayüzü kullandığını bulun. Bir URL adresini gizlemek ile o adreste yetkisiz işlemleri engellemek farklı güvenlik hedefleridir.
Başlamadan önce
Mobil uygulama, uzaktan yayın aracı, sayfa oluşturucu ve özel entegrasyonları listeleyin. Her biri için kullanılan hesap ve erişim yöntemini kaydedin. Ana yönetici parolasını uygulamalarla paylaşmayın. Staging üzerinde deneme yapın ve gerekiyorsa her entegrasyon için ayrı, iptal edilebilir uygulama parolası kullanın. API ile gönderilen gizli bilgilerin HTTPS üzerinden iletildiğini doğrulayın.
Uygulama adımları
1. Gerçek kullanım ihtiyacını belirleyin
Hangi uygulamanın XML-RPC veya REST uç noktasına bağlandığını loglardan ve entegrasyon ayarından kontrol edin. Kullanılmayan erişim yöntemlerini not edin.
Kontrol: Her açık yöntem için anlaşılır bir iş gereksinimi bulunmalıdır. Yalnızca istek sayısına bakarak bütün trafiği kötü niyetli saymayın.
2. Kimlik doğrulama ve rolü ayırın
API istemcisi için gerekli izinlere sahip ayrı kullanıcı seçin. Uygulama parolası veya desteklenen güvenli yöntemi kurup ana hesap parolasını ayrı tutun.
Kontrol: İstemci yalnızca kendi görevi için gereken işlemleri yapabilmelidir. Yönetici rolü gerekmeyen entegrasyona tam yetki vermeyin.
3. XML-RPC kontrolünün kapsamını okuyun
xmlrpc_enabled filtresinin kimlik doğrulama gerektiren yöntemleri etkilediğini, tüm pingback veya özel yöntemleri tamamen kapatmadığını dikkate alın.
Kontrol: Kullandığınız engelin hangi talepleri kapsadığını staging üzerinde sınayın. Tek filtre satırını bütün uç noktanın erişim sınırı sanmayın.
4. REST davranışını gerçek akışta sınayın
Editör, medya, özel içerik ve entegrasyon işlevlerini test edin. Uç noktada oturumlu ve oturumsuz kullanıcının izinli sonuçlarını karşılaştırın.
Kontrol: Yetkisiz yazma isteği reddedilmeli; gerekli halka açık içerik tasarlanan biçimde okunmalıdır. Başarısız entegrasyon için güvenlik kuralını topluca kaldırmayın.
Sonucu nasıl doğrularsınız?
Bir erişim matrisi oluşturun: halka açık okuma, yetkili içerik yazma, medya yükleme ve kullanıcı yönetimi. Test hesabıyla her işlemin beklenen sonucunu not edin. Kimlik bilgisini URL sorgusuna yazmayın. Uygulama parolasını iptal ettiğinizde eski istemcinin artık işlem yapamadığını sınayın. WordPress editörünü ve otomasyonları da kontrol edin; API sınırı yalnızca dış uygulamaları değil yönetim ekranının bazı işlemlerini etkileyebilir.
Sorun devam ederse
403 hatası güvenlik duvarı veya izin eksikliğine, kimlik doğrulama hatası yanlış hesaba ya da başlığın sunucu katmanında kaybolmasına bağlı olabilir. Başlığı loglarken parolayı kaydetmeyin. Jetpack veya mobil yayın gibi kullandığınız araçların kendi gereksinimini resmî belgelerinden okuyun. Entegrasyon kaldırıldıysa ilişkili uygulama parolasını da iptal edin. Her çözümden sonra izinli ve izinsiz iki test sonucu alın.
Uygulama örneği
Bir içerik yayınlama aracı sadece yazı oluşturacaksa ayrı bir kullanıcıyla test yazısı yayınlatın. Aynı hesapla kullanıcı yönetimi isteğinin reddedildiğini kontrol edin. Araçtan vazgeçtiğinizde onun uygulama parolasını silin ve eski kimlik bilgisinin başarısız olduğunu sınayın; başka araçların erişimini gereksiz yere kesmeyin.
Sık sorulan sorular
REST API açık olduğunda site kesin güvensiz mi?
Hayır. Halka açık içeriğin okunması tasarlanmış davranış olabilir. Güvenlik, hassas işlem ve verilerde doğru kimlik doğrulama ile yetki sınırına bağlıdır.
Uygulama parolasıyla normal giriş yapabilir miyim?
WordPress uygulama parolaları programatik erişim için tasarlanır. Normal tarayıcı girişinin yerine kullanılmaz; her entegrasyon için ayrı tutup gerektiğinde iptal edin.
Bakım ve kabul kaydı
Entegrasyon envanterinde uygulama adı, bağlı kullanıcı, kullanılan arayüz ve erişimin bitiş tarihi yer alsın. Bir aracı kaldırmak onun kimlik bilgisini kendiliğinden iptal etmeyebilir. İptalden sonra eski istemcinin reddedildiğini kontrollü bir testle görün. Halka açık içerik okumayı kapatırken WordPress editörünün gereksinimini ayrıca sınayın. Özel uç noktalar geliştiriyorsanız her işlemde yetki ve veri doğrulaması uygulanmalıdır; standart arayüzün mevcut güvenliği özel yazdığınız kodun doğru olduğunu otomatik olarak göstermez.
İlgili rehberler
Süreç özeti
WordPress XML-RPC ve REST API erişimini değerlendirme için kontrol sırası
| Adım | Kontrol |
|---|---|
| 1 | Gerçek kullanım ihtiyacını belirleyin |
| 2 | Kimlik doğrulama ve rolü ayırın |
| 3 | XML-RPC kontrolünün kapsamını okuyun |
| 4 | REST davranışını gerçek akışta sınayın |