Как проверить, что мой сайт на WordPress открывает посторонним?

Почему это важно

Проверить безопасность сайта на WordPress проще всего снаружи, как это делает бот: не входя в систему, откройте /wp-login.php, /xmlrpc.php, /wp-json/wp/v2/users, /?author=1 и /wp-sitemap-users-1.xml. Ответы покажут, какие двери для входа открыты и утекают ли имена пользователей.

Большинство советов по безопасности — про переключатели: включите это, отключите то. Но переключатель говорит о том, что вы попросили, а не о том, что произошло. Слой кэширования может отдавать старый ответ. Правило CDN может блокировать файл ещё до того, как WordPress увидит запрос. Один плагин может снова открыть то, что закрыл другой. Единственный честный ответ на вопрос «что открывает мой сайт?» — спросить его так, как спросил бы посторонний.

Хорошая новость: со стороны входа проверять нужно немногое. Боты ищут одни и те же несколько адресов на каждом сайте WordPress:

Ни один из этих пунктов сам по себе не катастрофа. Но вместе они дают боту список имён и две двери, чтобы их опробовать. Зная, что открыто, вы закроете всё в правильном порядке: сначала двери, потом имена.

Частые ошибки

• Проверка из-под своей учётной записи. WordPress показывает вошедшим пользователям больше. Используйте приватное окно или curl.
• Проверка кэшированной страницы. Если вы только что изменили настройку, сначала очистите кэш страниц и кэш CDN, иначе увидите старый ответ.
• Остановка на первом зелёном сигнале. Закрыть форму входа и оставить открытым XML-RPC — самое частое полурешение, которое мы встречаем.
• Ожидание полного аудита безопасности. Эти проверки касаются путей внутрь. Они ничего не говорят о вредоносном коде, изменениях файлов или устаревших плагинах.

Без плагина

Пять команд curl из шага 1 — это ручной способ, и его стоит знать. Читайте результаты так:

• HTTP/2 200 на wp-login.php: стандартный вход открыт для всех. 404: он скрыт.
• XML-RPC server accepts POST requests only. от xmlrpc.php: точка доступа работает. Чтобы узнать, принимается ли вход, пришлось бы отправить вызов wp.getUsersBlogs с тестовой учётной записью.
• JSON-массив из /wp/v2/users с полями "slug": имена пользователей открыты. 401 или пустой массив: закрыто.
• Location: /author/name/ от ?author=1: утечка. Повторите с 2, 3 и так далее, чтобы понять, сколько пользователей может собрать бот.
• 200 на карте сайта с пользователями: адреса авторов перечислены.

Минусы — время и интерпретация. Проверку нужно повторять после каждого изменения, а чтобы как следует проверить вход через XML-RPC, придётся составлять XML вручную.

Если что-то пошло не так

• Сканер пишет «открыто», хотя вы это отключили. Очистите кэш страниц и CDN и просканируйте снова. Если всё ещё открыто, возможно, настройку перекрывает другой плагин или правило сервера.
• Сканер не может достучаться до сайта. Некоторые хостинги запрещают сайту отправлять запросы самому себе (loopback). Попросите хостинг разрешить loopback-запросы или используйте способ с curl снаружи.
• Имя пользователя утекает и после укрепления. Проверьте блок автора в вашей теме и карту сайта авторов в SEO-плагине. Если тема выводит отображаемое имя автора, измените его.

С Hushfort

«Сканирование поверхности» входит в Hushfort Security — бесплатный плагин безопасности для WordPress.

«Сканирование поверхности» находится в панели «Укрепление поверхности» Hushfort. Оно измеряет, что ваш сайт на самом деле открывает, с помощью реальных запросов — так же, как ручной способ, — и перечисляет найденные имена пользователей поимённо. Каждой находке соответствует уровень Hushfort, который её закрывает:

• Вход через XML-RPC → Замок чёрного хода (Pro)
• Список пользователей REST, перебор авторов, карта сайта → Защита имён пользователей (Pro)
• Стандартный вход → Скрытие входа (бесплатно)

Мы создали «Сканирование поверхности» после того, как в один магазин продолжали поступать попытки подбора пароля через XML-RPC, хотя страница входа уже была скрыта. Настройки выглядели в порядке; открытую дверь показал только реальный запрос.