Vérifiez si xmlrpc.php est ouvert et si vos noms d'utilisateur fuient.
Outil de démonstration – les résultats sont des exemples de données, sans vérification en direct.
Deux surfaces d'attaque WordPress classiques sont xmlrpc.php et le dénombrement de l'utilisateur. xmlrpc.php peut être abusé pour l'amplification de force brute et les attaques pingback, tandis que le paramètre REST API /wp-json/wp/v2/users et la requête ?author= 1 peuvent donner aux attaquants une liste d'identifiants valides pour cibler.
Cet outil vérifie si ces paramètres sont exposés, vous pouvez donc décider de désactiver XML-RPC et bloquer le dénombrement des utilisateurs avant qu'un bot ne les trouve pour vous.
Si rien de ce que vous utilisez ne dépend de lui (certaines anciennes applications et les fonctionnalités Jetpack le font), le désactiver supprime toute une classe d'attaques. Sinon, limitez le taux et le défier à la place.
Connaître un nom d'utilisateur valide est la moitié d'une tentative de force brute. Cacher des noms d'utilisateur force les attaquants à deviner les deux champs.
Un plugin de sécurité ou un pare-feu (ou des règles CDN) peut désactiver xmlrpc.php, bloquer les analyses ?author= et exiger une authentification pour le paramètre utilisateur REST.
Performances, sécurité et outils WordPress, entièrement gérés pour que ces vérifications restent au vert.