Jak ukryć nazwy użytkowników i zatrzymać enumerację użytkowników w WordPressie?

Dlaczego to ważne

Aby się zalogować, atakujący potrzebuje dwóch rzeczy: nazwy użytkownika i hasła. WordPress od razu po instalacji oddaje pierwszą połowę. To nie błąd — każde z tych miejsc ma swój cel (dane dla aplikacji, ładne adresy autorów, wyszukiwarki). Razem jednak pozwalają dowolnemu botowi w kilka sekund zbudować listę wszystkich loginów w Twojej witrynie.

Ukrycie nazw użytkowników nie sprawi, że słabe hasło stanie się bezpieczne. Usuwa natomiast łatwą połowę łamigłówki, więc każda próba musi trafić zarówno w nazwę, jak i w hasło. W połączeniu z limitami logowania i uwierzytelnianiem dwuskładnikowym zgadywanie z powolnego staje się beznadziejne.

Cztery miejsca, w których WordPress publikuje nazwy użytkowników:

1. REST API — /wp-json/wp/v2/users wyświetla autorów z ich slugiem, który zwykle jest równy loginowi.
2. Skanowanie autorów — /?author=1 przekierowuje na /author/login-name/.
3. Archiwa autorów — sam adres archiwum zawiera slug autora.
4. Mapa witryny z rdzenia — /wp-sitemap-users-1.xml zawiera adresy archiwów autorów. Odpowiedzi oEmbed też mogą zawierać dane autora.

Częste błędy

• Naprawienie jednego miejsca i uznanie sprawy za zamkniętą. Zamknięcie ?author= przy otwartej liście REST nic dla bota nie zmienia. Sprawdź wszystkie cztery.
• Nazwa wyświetlana równa loginowi. Nawet po zamknięciu wszystkich wycieków motyw, który wyświetla „Opublikowane przez admin”, zdradza nazwę. Ustaw inną nazwę wyświetlaną w Użytkownicy → Profil (pole „Przedstawiaj mnie jako”).
• Psucie prawdziwych stron autorów. Na blogu z kilkoma autorami archiwa autorów są przydatne. Blokuj skanowanie numerów, a nie same archiwa.
• Szczegółowe błędy logowania. „Hasło podane dla nazwy użytkownika jane jest nieprawidłowe” potwierdza, że nazwa istnieje. Używaj jednego komunikatu dla obu przypadków.

Bez wtyczki

Większość tego możesz załatwić wtyczką obowiązkową (wp-content/mu-plugins/hide-users.php):

<?php
// 1. REST user list: logged-out visitors get nothing.
add_filter( 'rest_endpoints', function ( $endpoints ) {
    if ( ! is_user_logged_in() ) {
        unset( $endpoints['/wp/v2/users'], $endpoints['/wp/v2/users/(?P<id>[\d]+)'] );
    }
    return $endpoints;
} );

// 2. ?author=N scans: stop the redirect that reveals the name.
add_action( 'template_redirect', function () {
    if ( isset( $_GET['author'] ) && ! is_admin() ) {
        wp_safe_redirect( home_url( '/' ), 301 );
        exit;
    }
} );

// 3. Core sitemap: drop the users provider.
add_filter( 'wp_sitemaps_add_provider', function ( $provider, $name ) {
    return 'users' === $name ? false : $provider;
}, 10, 2 );

// 4. Same message for wrong username and wrong password.
add_filter( 'login_errors', function () {
    return 'The username or password is incorrect.';
} );

Zastrzeżenia: najpierw przetestuj to na witrynie testowej, bo motywy i wtyczki czasem odczytują listę użytkowników REST. Ten kod nie zmienia sluga autora w adresach archiwów; do tego zmień nicename każdego autora albo użyj wtyczki do nazw wyświetlanych. No i to kolejny plik, o którym trzeba pamiętać przy przenosinach lub przebudowie witryny.

Jeśli coś pójdzie nie tak

• Integracja straciła listę autorów. Niektóre zewnętrzne narzędzia odczytują /wp/v2/users bez logowania. Daj im hasło aplikacji, żeby się uwierzytelniały, albo ponownie odblokuj listę.
• Strony autorów pokazują 404. Wybrano całkowite wyłączenie archiwów autorów. Przełącz na opcję, która blokuje tylko skanowanie numerów.
• Wtyczka SEO nadal pokazuje autorów. Wiele wtyczek SEO generuje własną mapę witryny autorów. Wyłącz mapy autorów także w tej wtyczce.

Z Hushfort

Osłona nazw użytkowników należy do Hushfort Pro. Skan powierzchni ataku, który pokazuje, co jeszcze wycieka, jest w Hushfort Security, darmowej wtyczce bezpieczeństwa WordPress.

Osłona nazw użytkowników, część warstwy Redukcja powierzchni ataku w Hushfort, zamyka wszystkie cztery miejsca na jednym ekranie:

• blokuje listę REST /wp/v2/users dla niezalogowanych odwiedzających,
• blokuje skanowanie ?author=N, zachowując archiwa /author/name/ (albo całkowicie wyłącza archiwa, jeśli wolisz),
• usuwa mapę witryny z użytkownikami oraz dane autora z odpowiedzi oEmbed,
• ujednolica komunikaty błędów logowania dla błędnej nazwy użytkownika i błędnego hasła.

Następnie Skan powierzchni ataku sprawdza każde miejsce prawdziwymi żądaniami i wskazuje każdą nazwę użytkownika, która nadal wycieka.