La REST API di WordPress è una funzionalità potente, ma introduce anche considerazioni di sicurezza che non esistono nello sviluppo WordPress tradizionale. Ogni endpoint che esponghi è una potenziale superficie d'attacco. Senza autenticazione, autorizzazione e validazione degli input adeguate, la tua API può essere sfruttata per accedere, modificare o eliminare dati.
Questa guida copre come proteggere gli endpoint della REST API di WordPress, dalla scelta dei metodi di autenticazione all'implementazione del rate limiting.
Metodi di Autenticazione
La REST API di WordPress supporta diversi metodi di autenticazione, ciascuno con caratteristiche di sicurezza diverse. Le Application Passwords sono il metodo consigliato per applicazioni esterne. Sono generate per utente, possono essere revocate indipendentemente dalla password principale dell'utente e funzionano con l'HTTP Basic Auth standard. L'autenticazione tramite cookie è adatta per richieste same-origin in cui l'utente è già loggato in WordPress. OAuth 1.0a è disponibile per scenari di autorizzazione complessi con applicazioni di terze parti.
Non accettare mai richieste API senza autenticazione a meno che non tu abbia una ragione specifica. Ogni endpoint autenticato dovrebbe verificare che la richiesta includa un token o cookie valido prima di elaborarla. Registra i tentativi di autenticazione falliti per rilevare attacchi brute force.
Autorizzazione: Chi Può Fare Cosa
L'autenticazione verifica chi sei. L'autorizzazione verifica cosa ti è permesso fare. Ogni endpoint REST API dovrebbe verificare che l'utente autenticato abbia le capability richieste prima di eseguire l'azione richiesta. Usa current_user_can() con la capability appropriata per ogni operazione.
Controlla le capability a livello di endpoint, non solo a livello di registrazione della rotta. Un utente potrebbe avere il permesso di elencare i post ma non di eliminarli. Ogni endpoint dovrebbe imporre i propri requisiti di permesso e il controllo dovrebbe essere specifico per la risorsa a cui si accede, non solo per la rotta.
Rate Limiting
Il rate limiting impedisce a un singolo client di effettuare troppe richieste in un breve periodo, proteggendo la tua API da abusi e attacchi denial-of-service. Implementa il rate limiting a livello di server usando la configurazione di nginx o Apache, oppure a livello di applicazione usando un plugin o un middleware personalizzato.
Imposta limiti diversi per richieste autenticate e non autenticate. Le richieste non autenticate dovrebbero essere fortemente limitate: 10-20 richieste al minuto. Le richieste autenticate possono avere limiti più alti: 60-120 al minuto. Restituisci un codice di stato 429 Too Many Requests con un header Retry-After quando i limiti vengono superati.
Validazione degli Input
Tutti i dati ricevuti dai tuoi endpoint API devono essere validati e sanificati. La REST API di WordPress fornisce una validazione integrata attraverso il parametro args in register_rest_route(). Usa dichiarazioni di tipo, flag required, sanitize_callbacks e validate_callbacks per ogni parametro.
Non fidarti mai che il client invii dati validi. Valida che gli ID esistano prima di usarli. Verifica che gli indirizzi email siano formattati correttamente. Controlla che i parametri numerici rientrino negli intervalli previsti. Rimuovi i tag HTML inattesi dai campi di testo. Ogni dato dovrebbe passare attraverso almeno una funzione di validazione prima di essere usato.
Protezione CSRF
Gli attacchi Cross-Site Request Forgery ingannano i browser facendo richieste non autorizzate alla tua API. I nonce di WordPress forniscono protezione CSRF per le richieste autenticate tramite cookie. Per le richieste che usano Application Passwords o OAuth, i nonce non sono necessari perché il token di autenticazione stesso agisce come protezione CSRF.
Per endpoint personalizzati che accettano autenticazione tramite cookie, verifica il nonce usando wp_verify_nonce() nella callback di permesso o nell'handler dell'endpoint. Includi il nonce negli header delle richieste usando l'header X-WP-Nonce, che il client REST API di WordPress gestisce automaticamente.
Il punto fondamentale
La sicurezza della REST API segue gli stessi principi della sicurezza generale di WordPress ma con considerazioni aggiuntive per l'accesso programmatico. Autentica ogni richiesta, autorizza ogni azione, valida ogni input, limita i tassi di richiesta e proteggi da CSRF. Un'API ben protetta è sicura da esporre su internet: una scarsamente protetta è una violazione dei dati in attesa di accadere.
