So deaktivieren Sie die WordPress-REST-API (UK-Leitfaden 2026)
16. August 2026
Erfahren Sie, wie Sie die WordPress REST API im Jahr 2026 aus Sicherheitsgründen deaktivieren. Schritt-für-Schritt-UK-Guide mit Code-Snippets, Plugins und Best Practices.
Warum die REST-API deaktivieren?
Die WordPress-REST-API ist eine leistungsstarke Funktion, die es Entwicklern ermöglicht, aus der Ferne mit Ihrer Website zu interagieren. Sie legt jedoch auch Daten wie Benutzernamen, Beitrags-Metadaten und Benutzerrollen für jeden offen, der die richtige URL kennt. Für Website-Betreiber im Vereinigten Königreich kann dies ein Sicherheitsrisiko darstellen, insbesondere wenn Sie personenbezogene Daten gemäß der DSGVO erfassen. Nicht authentifizierte Anfragen an /wp-json/wp/v2/users können Autoren-Benutzernamen preisgeben, die ein häufiges Ziel für Brute-Force-Angriffe sind. Das Deaktivieren oder Einschränken der REST-API verringert Ihre Angriffsfläche und hilft Ihnen, Grundsätze des Datenschutzes wie die Datenminimierung einzuhalten. Es ist ein sinnvoller Schritt für Websites, die für ihre Funktionalität nicht auf die API angewiesen sind.
Methode 1: Verwendung eines Plugins (Empfohlen für UK-Nutzer)
Für Anfänger ist ein Plugin der einfachste Weg, die REST-API zu deaktivieren. Beliebte Optionen sind Disable REST API, WP Security Ninja und Wordfence. Diese Plugins werden vollständig gewartet und funktionieren mit britischen Hosting-Umgebungen. Bei der Wahl eines Plugins sollten Sie auf DSGVO-Konformität achten und darauf, dass es die offiziellen WordPress-Sicherheitsstandards verwendet. Die meisten Plugins ermöglichen es Ihnen, die API für abgemeldete Benutzer zu deaktivieren, während sie für Administratoren aktiv bleibt. Das ist ideal für britische E-Commerce-Seiten, die die API für Plugins wie WooCommerce benötigen, aber unbefugten Zugriff blockieren möchten. Denken Sie daran, Ihr Plugin regelmäßig zu aktualisieren, um neue Sicherheitslücken zu vermeiden.
Methode 2: Code zu functions.php hinzufügen
Wenn Sie einen codebasierten Ansatz bevorzugen, fügen Sie einen Filter zur functions.php-Datei Ihres Themes hinzu. Alternativ können Sie ein site-spezifisches Plugin erstellen, um Ihre Änderungen getrennt zu halten. Der folgende Code-Ausschnitt blockiert alle REST-API-Anfragen für nicht angemeldete Benutzer: add_filter('rest_authentication_errors', function($result) { if (!is_user_logged_in()) { return new WP_Error('rest_forbidden', 'REST API access denied.', array('status' => 401)); } return $result; }); Dieser Code ist einfach und effektiv. Für Entwickler im Vereinigten Königreich: Testen Sie ihn zuerst auf einer Staging-Site. Beachten Sie, dass einige Plugins und Themes möglicherweise auf die API angewiesen sind, z. B. für das Speichern im Block-Editor. Verwenden Sie dies daher nur, wenn Sie die Abhängigkeiten Ihrer Website verstehen. Erstellen Sie immer ein Backup Ihrer Website, bevor Sie Code-Änderungen vornehmen.
Selektives Deaktivieren: Behalten Sie, was Sie brauchen
Die Deaktivierung der gesamten REST-API kann Funktionen wie den Block-Editor, mobile Apps und Integrationen von Drittanbietern beeinträchtigen. Ein differenzierterer Ansatz besteht darin, bestimmte Routen zu deaktivieren oder den Zugriff anhand von Benutzerrollen einzuschränken. So können Sie beispielsweise die Benutzerauflistung unterbinden, indem Sie /wp-json/wp/v2/users blockieren, während andere Endpunkte unangetastet bleiben. Mit dem Filter 'rest_endpoints' können Sie bestimmte Endpunkte entfernen: add_filter('rest_endpoints', function($endpoints) { if (!is_user_logged_in()) { unset($endpoints['/wp/v2/users']); unset($endpoints['/wp/v2/users/(?P<id>[\d]+)']); } return $endpoints; }); Dies ist besonders nützlich für den öffentlichen Sektor im Vereinigten Königreich oder für Nachrichtenseiten, die Anforderungen an offene Daten erfüllen müssen und gleichzeitig personenbezogene Daten schützen wollen. Überprüfen Sie stets, welche Endpunkte die von Ihnen installierten Plugins verwenden.
Tests und Auswirkungen auf Ihre UK-Website
Nach der Deaktivierung der REST-API testen Sie Ihre Website gründlich. Verwenden Sie den Inkognito-Modus des Browsers, um zu prüfen, dass öffentliche Seiten korrekt laden. Führen Sie einen schnellen Scan mit einem Sicherheitstool wie WPScan oder unseren eigenen, im Vereinigten Königreich durchgeführten Prüfungen durch. Vergewissern Sie sich, dass Formulare, Kommentare und sämtliche AJAX-Funktionen weiterhin funktionieren. Wenn Sie auf ein Kontaktformular-Plugin angewiesen sind, nutzt dieses möglicherweise die REST-API für Übermittlungen; Sie müssen diese Route dann auf die Whitelist setzen. Leeren Sie außerdem etwaige Caching-Plugins wie WP Rocket oder W3 Total Cache, um die Auslieferung veralteter API-Antworten zu vermeiden. Dokumentieren Sie die Änderung zur Einhaltung der Vorschriften in Ihren Verarbeitungsverzeichnissen, wie es die ICO verlangt. Dies zeigt, dass Sie geeignete technische Maßnahmen umgesetzt haben.
FAQ
Ja, es kann die Sicherheit erheblich verbessern, indem es unbefugte Versuche blockiert, Benutzerdaten zu lesen oder gefährdete Endpunkte auszunutzen. Allerdings ist es kein Allheilmittel. Du solltest weiterhin starke Passwörter, Zwei-Faktor-Authentifizierung verwenden und dein Core, deine Plugins und deine Themes aktualisieren. Die Deaktivierung der API reduziert lediglich die Angriffsfläche.