غیرفعال کردن REST API وردپرس: راهنمای جامع علمی برای امنیت و بهینه‌سازی

وردپرس به عنوان یکی از محبوب‌ترین سیستم‌های مدیریت محتوا در جهان، قابلیت‌های پیشرفته زیادی دارد. یکی از این ویژگی‌های کلیدی که از نسخه ۴.۷ به هسته اصلی اضافه شد، REST API است. این ابزار به برنامه‌نویسان اجازه می‌دهد تا با استفاده از درخواست‌های JSON با سایت شما ارتباط برقرار کنند. اما سوال اصلی این است: آیا همه سایت‌ها به این قابلیت نیاز دارند؟ خیر! در بسیاری از مواقع، باز بودن این درگاه می‌تواند خطرات امنیتی ایجاد کند یا منابع سرور شما را هدر دهد. در این راهنمای جامع، یاد می‌گیرید که چطور REST API وردپرس را به روش‌های اصولی، بدون اختلال در عملکرد سایت، محدود یا کلا غیرفعال کنید.

REST API وردپرس چیست و چه کاربردی دارد؟

به زبان ساده، REST API رابطی است که به برنامه‌های خارجی اجازه می‌دهد با وردپرس ارتباط برقرار کنند. این ارتباط با ارسال و دریافت داده‌ها بر پایه فرمت JSON انجام می‌شود. به عنوان مثال، اگر یک اپلیکیشن موبایل برای سایت خود ساخته‌اید، این اپلیکیشن از طریق REST API اطلاعت محصولات یا مقالات را از وب‌سایت شما می‌خواند.

همچنین ویرایشگر جدید وردپرس (گوتنبرگ) برای ذخیره‌سازی پیش‌نویس‌ها، بروزرسانی نوشته‌ها و دریافت اطلاعات در پیشخوان، اتکای زیادی به این ساختار دارد. با این حال، به صورت پیش‌فرض این مسیر بدون محدودیت خاصی برای عموم باز است که می‌تواند ریسک‌های امنیتی ایجاد کند.

چرا باید REST API وردپرس را غیرفعال یا محدود کنیم؟

اگر سایت شما یک وبلاگ شرکتی، مجله خبری یا وب‌سایت ساده است و هیچ اپلیکیشن یا ارتباط خارجی ندارد، باز بودن REST API لزومی ندارد. دلایل اصلی برای بستن یا محدود کردن آن عبارتند از:

• افشای نام کاربری مدیران (User Enumeration): هکرها با وارد کردن آدرس yoursite.com/wp-json/wp/v2/users می‌توانند فهرست تمام نویسندگان و مدیران سایت همراه با شناسه (ID) آن‌ها را ببینند. این کار اولین قدم برای حملات Bruteforce است. برای تقویت امنیت کلی می‌توانید از راهکارهای مربوط به امنیتی بخش مدیریت وردپرس استفاده کنید.
• حملات منع خدمت (DDoS) و مصرف شدید منابع: ربات‌های هکر مدام مسیرهای REST API را فرامی‌خوانند. این درخواست‌های متعدد باعث درگیر شدن پردازنده و رم سرور می‌شود و سرعت سایت را کند می‌کند.
• کاهش سطح حملات (Attack Surface): هر ابزار اضافه در وردپرس یک مسیر پتانسیل برای نفوذ است. بستن درگاه‌های بلااستفاده یکی از پایه‌ای‌ترین اصول در چارچوب امنیت سایت است.
• جلوگیری از اسکرپ و سرقت محتوا: ربات‌ها به راحتی می‌توانند تمام مقالات و دسته‌بندی‌های شما را از طریق این API استخراج کرده و در سایت‌های دیگر کپی کنند.

چه زمانی نباید REST API را کاملاً غیرفعال ساخت؟

بستن ۱۰۰ درصدی REST API برای همه کاربران ممکن است آسیب‌هایی به همراه داشته باشد. اگر موارد زیر را در سایت خود دارید، به جای غیرفعال‌سازی کامل، باید دسترسی را محدود به کاربران لاگین شده کنید:

روش‌های غیرفعال کردن REST API (با کد و افزونه)

روش اول: غیرفعال‌سازی برای کاربران مهمان (روش پیشنهادی و علمی)

بهترین راه‌حل این است که REST API را فقط برای افراد ناپیوسته و مهمان ببندید، ولی اجازه دهید مدیران و کاربران لاگین شده بدون مشکل از آن استفاده کنند. این کار باعث بررسی دقیق ساختار امنیتی REST API می‌شود و گوتنبرگ را از کار نمی‌اندازد.

کد زیر را به انتهای فایل functions.php قالب فعال یا افزونه اختصاصی خود اضافه کنید:

add_filter( 'rest_authentication_errors', function( $result ) {
    if ( ! empty( $result ) ) {
        return $result;
    }
    if ( ! is_user_logged_in() ) {
        return new WP_Error(
            'rest_not_logged_in',
            'دسترسی به REST API محدود به کاربران احراز هویت شده است.',
            array( 'status' => 401 )
        );
    }
    return $result;
});

روش دوم: غیرفعال کردن با افزونه Disable REST API

اگر علاقمند به کدنویسی نیستید، نصب یک افزونه سبک بهترین راه‌حل است. افزونه Disable REST API بدون هیچ تنظیمات پیچیده‌ای کار می‌کند.

1. وارد پیشخوان وردپرس شوید و به بخش افزونه‌ها > افزودن بروید.
2. عبارت Disable REST API را جستجو کنید.
3. افزونه ساخته شده توسط Benjamin Adams را نصب و فعال کنید.
4. به محض فعال‌سازی، دسترسی کاربران غیرعضو به API مسدود خواهد شد.

اگر تمایل دارید امنیت کلی وب‌سایت خود را فراتر ببرید، می‌توانید راهکارهای موجود در پکیج‌های جامع امنیتی را بررسی کنید.

روش سوم: فقط مسدود کردن اندپوینت کاربران (Users Endpoint)

گاهی می‌خواهید REST API فعال بماند تا افزونه‌ها کار کنند، اما فقط جلوی لو رفتن لیست کاربران را بگیرید. برای این منظور می‌توانید مسیر کاربران را مسدود کنید تا در درسترس ربات‌ها نباشد:

add_filter( 'rest_endpoints', function( $endpoints ) {
    if ( isset( $endpoints['/wp/v2/users'] ) ) {
        unset( $endpoints['/wp/v2/users'] );
    }
    if ( isset( $endpoints['/wp/v2/users/(?P<id>[d]+)'] ) ) {
        unset( $endpoints['/wp/v2/users/(?P<id>[d]+)'] );
    }
    return $endpoints;
});

توصیه می‌شود در کنار این اقدام، نسبت به مخفی‌سازی اطلاعات حساس هسته وردپرس اقدام کنید تا هکرها نتوانند ساختار سایت شما را به راحتی شناسایی کنند.

جدول مقایسه روش‌های مختلف مدیریت REST API

عیب‌یابی سریع (Troubleshooting)

گاهی پس از اعمال تغییرات در تنظبمات REST API، مشکلاتی رخ می‌دهد. در ادامه راه‌حل ۳ مشکل رایج را بررسی می‌کنیم:

سوالات متداول (FAQ)