Nombres de usuario visibles

Por qué importa

Con el nombre de usuario conocido, un intruso solo tiene que adivinar la contraseña. Con una contraseña débil o reutilizada, es rápido. Es una de las primeras cosas que prueban los bots en un sitio WordPress.

Cómo lo comprueba Snaglist

Esto forma parte de la comprobación de seguridad, una verificación independiente junto al rastreo, en Studio y Bureau, y solo en un sitio que hayas verificado. Snaglist solo examina lo que cualquier visitante puede ver desde fuera. Nunca inicia sesión, no adivina contraseñas ni envía ataques. Consulta la lista pública de usuarios de la REST API de WordPress y la dirección ?author=1, como puede hacerlo cualquier visitante. Los nombres encontrados se muestran parcialmente enmascarados.

Causas habituales

• WordPress muestra la lista de usuarios en la REST API por defecto
• Páginas de autor que muestran el nombre de inicio de sesión en la dirección
• Ningún plugin de seguridad que lo bloquee

Cómo solucionarlo

1. Cierra la lista de usuarios en la REST API con un plugin de seguridad o una línea en el tema.
2. Redirige ?author= a la página de inicio.
3. Activa la verificación en dos pasos para cada administrador.
4. Ejecuta de nuevo la comprobación de seguridad para confirmar.

Cómo aparece en el informe

En el informe para tu cliente, esto aparece bajo el encabezado "Cualquiera puede ver qué nombres se usan para iniciar sesión". Cuando todo está en orden, el informe indica: "El sitio no revela los nombres de usuario".