Come blocco l'enumerazione degli utenti e nascondo i nomi utente in WordPress?

Perché è importante

Bloccare l'enumerazione degli utenti in WordPress significa smettere di regalare ai bot i nomi di login del tuo sito. Per accedere, a un attaccante servono due cose: un nome utente e una password. WordPress, appena installato, gli consegna la prima metà. Non è un bug; ogni punto esiste per un motivo (feed per le app, URL degli autori leggibili, motori di ricerca). Ma insieme permettono a qualsiasi bot di costruire in pochi secondi l'elenco di tutti i nomi di login del tuo sito.

Nascondere i nomi utente non rende sicura una password debole. Toglie però la metà facile del rompicapo, così ogni tentativo deve indovinare sia un nome sia una password. Abbinato ai limiti di login e all'accesso a due fattori, trasforma i tentativi da lenti a senza speranza.

I quattro punti in cui WordPress pubblica i nomi utente:

1. REST API — /wp-json/wp/v2/users elenca gli autori con il loro slug, che di solito coincide con il nome di login.
2. Scansioni degli autori — /?author=1 reindirizza a /author/nome-di-login/.
3. Archivi autore — l'URL dell'archivio contiene lo slug dell'autore.
4. Sitemap di base — /wp-sitemap-users-1.xml elenca gli URL degli archivi autore. Anche le risposte oEmbed possono includere informazioni sull'autore.

Errori comuni

• Sistemare un punto e considerare il lavoro finito. Chiudere ?author= lasciando aperto l'elenco REST non cambia nulla per un bot. Controlla tutti e quattro.
• Nome pubblico uguale al nome di login. Anche con ogni fuga chiusa, un tema che stampa "Pubblicato da admin" rivela il nome. Imposta un nome pubblico diverso in Utenti → Profilo.
• Rompere le vere pagine autore. Su un blog con più autori, gli archivi autore sono utili. Blocca le scansioni numeriche invece degli archivi stessi.
• Errori di login dettagliati. "La password inserita per il nome utente jane non è corretta" conferma che il nome esiste. Usa un solo messaggio per entrambi i casi.

Senza plugin

Puoi coprire gran parte di questo con un plugin must-use (wp-content/mu-plugins/hide-users.php):

<?php
// 1. REST user list: logged-out visitors get nothing.
add_filter( 'rest_endpoints', function ( $endpoints ) {
    if ( ! is_user_logged_in() ) {
        unset( $endpoints['/wp/v2/users'], $endpoints['/wp/v2/users/(?P<id>[\d]+)'] );
    }
    return $endpoints;
} );

// 2. ?author=N scans: stop the redirect that reveals the name.
add_action( 'template_redirect', function () {
    if ( isset( $_GET['author'] ) && ! is_admin() ) {
        wp_safe_redirect( home_url( '/' ), 301 );
        exit;
    }
} );

// 3. Core sitemap: drop the users provider.
add_filter( 'wp_sitemaps_add_provider', function ( $provider, $name ) {
    return 'users' === $name ? false : $provider;
}, 10, 2 );

// 4. Same message for wrong username and wrong password.
add_filter( 'login_errors', function () {
    return 'The username or password is incorrect.';
} );

Avvertenze: provalo prima su un sito di staging, perché temi e plugin a volte leggono l'elenco utenti REST. Questo non cambia lo slug dell'autore negli URL degli archivi; per quello, cambia il nicename di ogni autore o usa un plugin per il nome pubblico. Ed è un file in più da tenere a mente quando sposti o ricostruisci il sito.

Se qualcosa va storto

• Un'integrazione ha perso l'elenco degli autori. Alcuni strumenti esterni leggono /wp/v2/users senza accedere. Dai loro una password delle applicazioni così si autenticano, oppure consenti di nuovo l'elenco.
• Le pagine autore mostrano un 404. Hai scelto di disattivare completamente gli archivi autore. Passa all'opzione che blocca solo le scansioni numeriche.
• Il plugin SEO elenca ancora gli autori. Molti plugin SEO generano una propria sitemap degli autori. Disattiva le sitemap degli autori anche in quel plugin.

Con Hushfort

Hushfort Security è un plugin di sicurezza gratuito per WordPress; Hushfort Pro è il componente aggiuntivo a pagamento che si installa sopra. Lo Scudo nomi utente fa parte di Hushfort Pro. La Scansione della superficie, che mostra cosa trapela ancora, è inclusa nel plugin gratuito.

Lo Scudo nomi utente, parte del livello Hardening della superficie di Hushfort, chiude tutti e quattro i punti da un'unica schermata:

• blocca l'elenco REST /wp/v2/users ai visitatori non connessi,
• blocca le scansioni ?author=N mantenendo gli archivi /author/nome/ (o, se preferisci, disattiva del tutto gli archivi),
• rimuove la sitemap degli utenti di base e i dati dell'autore dalle risposte oEmbed,
• rende identici i messaggi di errore del login per un nome utente sbagliato e per una password sbagliata.

Poi la Scansione della superficie verifica ogni punto con richieste reali e indica qualsiasi nome utente che trapela ancora.