Gebruikersnamen zichtbaar

Waarom het belangrijk is

Als de gebruikersnaam bekend is, hoeft een indringer alleen nog het wachtwoord te raden. Met een zwak of hergebruikt wachtwoord gaat dat snel. Het is een van de eerste dingen die bots proberen op een WordPress-site.

Hoe Snaglist dit controleert

Dit hoort bij de veiligheidscheck, een eigen check naast de crawl, in Studio en Bureau, en alleen op een site die je hebt geverifieerd. Snaglist kijkt alleen naar wat elke bezoeker van buitenaf kan zien. Hij logt nooit in, raadt geen wachtwoorden en stuurt geen aanvallen. Hij vraagt de publieke gebruikerslijst van de WordPress REST API en het adres ?author=1 op, zoals elke bezoeker kan. Gevonden namen worden deels gemaskeerd getoond.

Veelvoorkomende oorzaken

• WordPress opent de gebruikerslijst in de REST API standaard
• Auteurspagina’s die de inlognaam in het adres tonen
• Geen beveiligingsplugin die dit afsluit

Hoe je het oplost

1. Sluit de gebruikerslijst in de REST API af met een beveiligingsplugin of een regel in het thema.
2. Redirect ?author= naar de homepage.
3. Zet tweestapsverificatie aan voor elke beheerder.
4. Draai de veiligheidscheck opnieuw ter controle.

Zo staat het in het rapport

In het rapport voor je klant staat dit onder de kop "Iedereen kan zien met welke namen er wordt ingelogd". Is alles in orde, dan meldt het rapport: "De site geeft geen gebruikersnamen prijs".