Da dove viene l’elenco
WordPress include un’interfaccia di programmazione che altri software usano per leggere il sito: l’app mobile, l’editor a blocchi, le integrazioni. Una parte di questa interfaccia elenca gli utenti. Per impostazione predefinita chiunque può leggere quell’elenco, con o senza accesso, all’indirizzo del suo sito seguito da /wp-json/wp/v2/users. Mostra il nome pubblico di ogni account e il suo nome abbreviato, che sulla maggior parte dei siti è il nome utente stesso.
Esiste un modo più vecchio per ottenere la stessa informazione. Aggiunga /?author=1 all’indirizzo del suo sito e WordPress reindirizza alla pagina d’archivio del primo account, il cui indirizzo contiene il nome utente. Provi 2, 3 e così via, e ottiene il resto del suo personale.
Perché un nome utente conta
Un accesso ha due metà. Indovinarle entrambe è lento. Se una è già nota, resta solo da provare le password, e gli elenchi di password provenienti da altre violazioni costano poco. Quando i suoi nomi utente sono pubblici, ogni account è protetto solo dalla sua password.
La vecchia interfaccia remota, xmlrpc.php, rende i tentativi ancora più veloci. Una sola richiesta può contenere centinaia di tentativi di password. È attiva per impostazione predefinita, e la maggior parte dei siti non la usa più da quando l’app mobile di WordPress ha smesso di averne bisogno.
Quattro modifiche
Primo, riservi l’elenco degli utenti ai visitatori che hanno effettuato l’accesso. I plugin di sicurezza offrono questa impostazione, e per uno sviluppatore è un breve filtro da aggiungere. L’editor a blocchi e l’app continuano a funzionare, perché hanno effettuato l’accesso.
Secondo, disattivi xmlrpc.php a meno che una specifica integrazione ne abbia bisogno. È il caso di Jetpack e di alcuni vecchi strumenti mobili. Se il suo sito ne usa uno, lo lasci attivo e metta invece un limite ai tentativi davanti.
Terzo, dia un secondo fattore a ogni account che può pubblicare. È la modifica che conta di più, perché rende inutile una password indovinata. Basta un’app di autenticazione su un telefono. Prima gli amministratori, poi gli editor, poi tutti gli altri.
Quarto, rinomini o elimini l’account chiamato admin, e faccia in modo che il nome visualizzato di ogni account sia diverso dal suo nome utente. Nessuna delle due è una difesa in sé. Entrambe tolgono il tentativo più facile.
Di che cosa non preoccuparsi
Spostare la pagina di accesso a un indirizzo segreto è una pratica popolare e serve a poco. L’elenco degli utenti si trova a un altro indirizzo, e spostare la pagina di accesso non lo nasconde. Nemmeno un plugin che nasconde il numero di versione di WordPress aiuta qui. Dedichi invece quel tempo al secondo fattore.
Che cosa segnala l’audit gratuito
L’audit gratuito chiede l’elenco degli utenti nello stesso modo in cui lo farebbe chi attacca. Indica quanti nomi utente sono tornati e mostra i primi perché possa riconoscerli. Indica anche se xmlrpc.php risponde. Ogni rilievo è moderato preso da solo e grave in combinazione, e di solito arrivano insieme.
Leland Fiegel