Beveiligingsrisico’s van de JSON REST API in WordPress

Vanaf WordPress 4.4 is de JSON REST API toegevoegd aan het CMS. Tenzij je een ervaren WordPress ontwikkelaar bent is de kans groot wat je misschien geen idee hebt wat de WordPress REST API eigenlijk is. 

Hoewel de technische details wat ingewikkeld zijn, is de basis van wat de REST API doet makkelijk te volgen. Deze API helpt ontwikkelaars om WordPress te verbinden met andere websites en applicaties.

Wat is een API?

API staat voor Application Programming Interface en zorgt ervoor dat twee applicaties met elkaar kunnen communiceren. Wanneer je bijvoorbeeld een website bezoekt, stuurt de browser een verzoek naar de server waarop die website zich bevindt. De API van die server ontvangt het verzoek van je browser, verwerkt het en stuurt alleen de gegevens terug die nodig zijn om op de website weer te geven.

Maar wat is dan een REST API?

REST staat voor Representational State Transfer. Het is een standaard client-server protocol dat je website beschikbaar maakt als webservice. Dit betekent dat andere applicaties of websites informatie van je website kunnen ophalen zonder dat daar een browser voor nodig is. Hier zitten echter ook beveiligingsrisico’s aan vast, laten we eens kijken waarom dat zo is.

Beveiligingsrisico’s van JSON REST API

Als de JSON REST API geactiveerd is op een WordPress website zijn er verschillende URL’s beschikbaar om informatie van gebruikers, media en berichten te kunnen zien. Zo kan je URL ‘<voorbeeld.nl>/wp-json/wp/v2/users ‘ openen en krijgen we een lijst te zien met alle gebruikers van de website. Merk op dat de JSON REST informatie ook het ID-nummer, de URL, beschrijving, link, avatar_urls en meer weergeeft.

We hebben de domeinnaam ‘voorbeeld.nl‘ gebruikt, dit is echter een fictieve domeinnaam en gebruiken we alleen om een voorbeeld te geven. Zoals je ziet geeft de REST API alle gebruikersinformatie weg en kan leiden tot privacy- en beveiligingsproblemen.

Webcontent gevoelig voor scraping

De REST API geeft niet alleen informatie weg van de gebruikers op een WordPress website, maar kan ook een lijst geven van alle berichten die op een website zijn opgeslagen. Kijk maar eens op een willekeurige WordPress website en open de volgende URL: https://<voorbeeld.nl>/wp-json. 

Van berichten, pagina’s, categorieën, tags, opmerkingen, media en meer, al deze opgehaalde informatie is publiekelijk beschikbaar. De REST API zorgt ervoor dat andere geautomatiseerde formulieren deze informatie makkelijk kunnen lezen en zo content eenvoudig kunnen kopiëren. Maar er is meer, kijk maar eens op https://<voorbeeld.nl>/wp-json/wp/v2/media waar alle beschikbare media staat, ook afbeeldingen en andere media die niet zijn gepubliceerd..

Hoe kan je de JSON REST API uitschakelen?

Controleer voordat je de REST API uitschakelt, of er geen plugins zijn die de API gebruikt. Daarna kan je met de gratis WP Hardening Plugin de WP REST API met een enkele klik deactiveren. Na het installeren en activeren van de plugin kan je via het wp-admin dashboard menu ‘WP Hardening > Security Fixers’  de optie ‘Disable WP API JSON‘ inschakelen.

De JSON REST API handmatig uitschakelen

Deze methode is geschikt voor de meer ervaren WordPress gebruikers, die liever geen plugin gebruiken om de REST API uit te schakelen. Voeg de volgende code snippet toe aan het functions.php bestand van je WordPress thema.

add_filter('json_enabled', '__return_false');
add_filter('json_jsonp_enabled', '__return_false');

Na het deactiveren van de API zie je een bericht in je browser die aangeeft dat alle REST API verzoeken zijn geblokkeerd.

Dat is alles, met succes is zijn ongeautoriseerde REST API verzoeken uitgeschakeld op je WordPress website. We hopen dat dit artikel je heeft geholpen om inzicht te krijgen in de API en welke veiligheidsrisico’s er aan vast kunnen zitten.

Beoordeel dit artikel