Hoe verberg ik gebruikersnamen en stop ik user enumeration in WordPress?

Waarom het ertoe doet

Om in te loggen heeft een aanvaller twee dingen nodig: een gebruikersnaam en een wachtwoord. WordPress geeft de eerste helft standaard gewoon weg. Het is geen bug; elke plek heeft een reden (feeds voor apps, mooie auteurs-URL's, zoekmachines). Maar samen laten ze elke bot binnen enkele seconden een lijst maken van alle inlognamen op je site.

Gebruikersnamen verbergen maakt een zwak wachtwoord niet veilig. Wat het wel doet, is de makkelijke helft van de puzzel weghalen, zodat elke gok zowel een naam als een wachtwoord moet raken. Samen met inloglimieten en tweefactorauthenticatie maakt dat raden niet alleen traag, maar kansloos.

De vier plekken waar WordPress gebruikersnamen publiceert:

1. REST API — /wp-json/wp/v2/users somt auteurs op met hun slug, die meestal gelijk is aan hun inlognaam.
2. Auteursscans — /?author=1 stuurt door naar /author/login-name/.
3. Auteursarchieven — de archief-URL zelf bevat de auteur-slug.
4. Standaard sitemap — /wp-sitemap-users-1.xml somt de URL's van auteursarchieven op. Ook oEmbed-antwoorden kunnen auteursinformatie bevatten.

Veelgemaakte fouten

• Eén plek dichten en het daarbij laten. ?author= afsluiten terwijl de REST-lijst open blijft, verandert voor een bot niets. Controleer alle vier.
• Weergavenaam gelijk aan inlognaam. Ook als elk lek dicht is, verraadt een thema dat "Geplaatst door admin" toont de naam. Stel een andere weergavenaam in onder Gebruikers → Profiel.
• Echte auteurspagina's breken. Op een blog met meerdere schrijvers zijn auteursarchieven nuttig. Blokkeer dan de scans op nummer in plaats van de archieven zelf.
• Gedetailleerde foutmeldingen bij inloggen. "Het wachtwoord dat je hebt ingevoerd voor de gebruikersnaam jane is onjuist" bevestigt dat de naam bestaat. Gebruik één melding voor beide gevallen.

Zonder plugin

Het meeste hiervan kun je afdekken met een must-use-plugin (wp-content/mu-plugins/hide-users.php):

<?php
// 1. REST user list: logged-out visitors get nothing.
add_filter( 'rest_endpoints', function ( $endpoints ) {
    if ( ! is_user_logged_in() ) {
        unset( $endpoints['/wp/v2/users'], $endpoints['/wp/v2/users/(?P<id>[\d]+)'] );
    }
    return $endpoints;
} );

// 2. ?author=N scans: stop the redirect that reveals the name.
add_action( 'template_redirect', function () {
    if ( isset( $_GET['author'] ) && ! is_admin() ) {
        wp_safe_redirect( home_url( '/' ), 301 );
        exit;
    }
} );

// 3. Core sitemap: drop the users provider.
add_filter( 'wp_sitemaps_add_provider', function ( $provider, $name ) {
    return 'users' === $name ? false : $provider;
}, 10, 2 );

// 4. Same message for wrong username and wrong password.
add_filter( 'login_errors', function () {
    return 'The username or password is incorrect.';
} );

Kanttekeningen: test het eerst op een stagingsite, want thema's en plugins lezen soms de REST-gebruikerslijst. Dit verandert de auteur-slug in archief-URL's niet; daarvoor wijzig je de nicename van elke auteur of gebruik je een plugin voor weergavenamen. En het is weer een bestand om in de gaten te houden als je de site verhuist of opnieuw opbouwt.

Als er iets misgaat

• Een integratie is zijn auteurslijst kwijt. Sommige externe tools lezen /wp/v2/users zonder in te loggen. Geef ze een applicatiewachtwoord zodat ze zich aanmelden, of sta de lijst weer toe.
• Auteurspagina's geven een 404. Je hebt ervoor gekozen auteursarchieven volledig uit te schakelen. Kies de optie die alleen scans op nummer blokkeert.
• De SEO-plugin toont nog steeds auteurs. Veel SEO-plugins maken hun eigen auteurssitemap. Schakel auteurssitemaps ook in die plugin uit.

Met Hushfort

Het Gebruikersnaamschild is onderdeel van Hushfort Pro. De Oppervlakscan, die laat zien wat er nog uitlekt, zit in Hushfort Security, de gratis WordPress-beveiligingsplugin.

Het Gebruikersnaamschild, onderdeel van de laag Oppervlakbeveiliging van Hushfort, sluit alle vier de plekken af vanuit één scherm:

• blokkeert de REST-lijst /wp/v2/users voor bezoekers die niet zijn ingelogd,
• blokkeert ?author=N-scans en behoudt /author/name/-archieven (of schakelt archieven volledig uit, als je dat liever hebt),
• verwijdert de standaard gebruikerssitemap en auteursgegevens uit oEmbed-antwoorden,
• maakt de foutmeldingen bij het inloggen gelijk voor een verkeerde gebruikersnaam en een verkeerd wachtwoord.

Daarna test de Oppervlakscan elke plek met echte verzoeken en noemt hij elke gebruikersnaam die nog uitlekt.