Noms d'utilisateur visibles

Pourquoi c'est important

Avec le nom d'utilisateur connu, un intrus n'a plus qu'à deviner le mot de passe. Avec un mot de passe faible ou réutilisé, c'est rapide. C'est l'une des premières choses que les bots essaient sur un site WordPress.

Comment Snaglist le vérifie

Ceci fait partie de la vérification de sécurité, une vérification distincte à côté du crawl, dans Studio et Bureau, et uniquement sur un site que vous avez vérifié. Snaglist examine uniquement ce qu'un visiteur peut voir de l'extérieur. Il ne se connecte jamais, ne devine pas de mots de passe et n'envoie pas d'attaques. Il interroge la liste publique des utilisateurs de l'API REST de WordPress et l'adresse ?author=1, comme tout visiteur peut le faire. Les noms trouvés sont partiellement masqués.

Causes fréquentes

• WordPress ouvre la liste des utilisateurs dans l'API REST par défaut
• Pages d'auteur qui affichent le nom de connexion dans l'adresse
• Aucun plugin de sécurité qui ferme cela

Comment le corriger

1. Fermez la liste des utilisateurs dans l'API REST avec un plugin de sécurité ou une ligne dans le thème.
2. Redirigez ?author= vers la page d'accueil.
3. Activez la vérification en deux étapes pour chaque administrateur.
4. Relancez la vérification de sécurité pour confirmer.

Présentation dans le rapport

Dans le rapport pour votre client, ceci apparaît sous le titre « N'importe qui peut voir quels noms sont utilisés pour se connecter ». Lorsque tout est en ordre, le rapport indique : « Le site ne révèle pas les noms d'utilisateur ».