Widoczne nazwy użytkowników

Dlaczego to ważne

Znając nazwę użytkownika, włamywacz musi tylko zgadnąć hasło. Przy słabym lub używanym ponownie haśle jest to szybkie. To jedna z pierwszych rzeczy, które boty próbują na stronie WordPress.

Jak Snaglist to sprawdza

To część sprawdzenia bezpieczeństwa, oddzielnego testu obok crawla, dostępnego w Studio i Bureau, tylko dla zweryfikowanych stron. Snaglist sprawdza tylko to, co widzi każdy odwiedzający z zewnątrz. Nigdy nie loguje się, nie zgaduje haseł ani nie przeprowadza ataków. Pyta publiczną listę użytkowników WordPress REST API oraz adres ?author=1, tak jak może to zrobić każdy odwiedzający. Znalezione nazwy są częściowo zamaskowane.

Częste przyczyny

• WordPress domyślnie udostępnia listę użytkowników w REST API
• Strony autora pokazują nazwę logowania w adresie
• Brak wtyczki bezpieczeństwa, która to blokuje

Jak to naprawić

1. Zamknij listę użytkowników w REST API za pomocą wtyczki bezpieczeństwa lub wpisu w motywie.
2. Przekieruj ?author= na stronę główną.
3. Włącz weryfikację dwuetapową dla każdego administratora.
4. Uruchom ponownie sprawdzenie bezpieczeństwa, aby potwierdzić.

Jak to wygląda w raporcie

W raporcie dla klienta to pojawia się pod nagłówkiem „Każdy może zobaczyć, jakie nazwy służą do logowania”. Gdy wszystko jest w porządku, raport wyświetla: „Strona nie ujawnia nazw użytkowników”.