WordPress REST API in Großbritannien deaktivieren: Ein praktischer Leitfaden für 2026
16. August 2026
Erfahren Sie, wie Sie die WordPress-REST-API für deutsche Websites deaktivieren. Schritt-für-Schritt-Code, Plugins und Sicherheitstipps zum Schutz Ihrer Website.
Was ist die WordPress-REST-API und warum sie deaktivieren?
Die WordPress-REST-API ermöglicht externen Anwendungen und Skripten, über einfache HTTP-Anfragen auf die Daten deiner Website zuzugreifen. Sie versorgt den Block-Editor, mobile Apps und Integrationen von Drittanbietern. Allerdings legt sie auch Benutzernamen, Beitragsinhalte und Kommentardaten offen, die jeder abfragen kann, der deine Website besucht. Viele Website-Betreiber im Vereinigten Königreich deaktivieren sie aus Sicherheits- oder Datenschutzgründen. Angreifer durchsuchen häufig /wp-json/ nach verwundbaren Endpunkten oder zur Benutzeraufzählung. Das Deaktivieren der REST-API kann deine Angriffsfläche erheblich verringern, insbesondere wenn du nicht auf externe Dienste angewiesen bist, die sie benötigen. Dennoch solltest du genau verstehen, was du abschaltest, bevor du den Schalter umlegst.
UK-spezifische Bedrohungen: Bots, Scraping und Datenoffenlegung
Im Vereinigten Königreich sind WordPress-Websites automatisiertem Bot-Traffic ausgesetzt, der nach häufigen Schwachstellen sucht. Die REST-API ist ein beliebtes Angriffsziel, da sie registrierte Benutzer-Slugs, Beitragsrevisionen und Autorenarchive preisgeben kann. Diese Details ermöglichen gezielte Phishing- oder Brute-Force-Angriffe auf Administratorkonten. Darüber hinaus legen das britische Datenschutzgesetz von 2018 und die UK-DSGVO strenge Pflichten in Bezug auf personenbezogene Daten fest. Die Offenlegung unveröffentlichter Inhalte oder Benutzerinformationen über nicht authentifizierte REST-API-Endpunkte kann zu ernsthaften Compliance-Problemen führen. Indem Sie die REST-API deaktivieren oder absichern, begrenzen Sie unbeabsichtigte Datenlecks und tragen dazu bei, die personenbezogenen Daten Ihrer Besucher und Benutzer zu schützen. Dieser proaktive Schritt wird häufig von britischen WordPress-Sicherheitsberatern empfohlen.
Methode 1: REST-API per Code deaktivieren (functions.php)
Die leichteste Methode besteht darin, einen Filter in die functions.php-Datei deines aktiven Themes oder in ein site-spezifisches Plugin einzufügen. Für nicht authentifizierte Anfragen kannst du einfach einen Fehler zurückgeben. Hier ist ein häufig verwendeter Codeausschnitt: add_filter('rest_authentication_errors', function($result) { if (!is_user_logged_in()) { return new WP_Error('rest_disabled', 'REST API disabled for this site.', array('status' => rest_authorization_required_code())); } return $result; }); Dadurch wird der gesamte REST-API-Zugriff für Besucher blockiert, während eingeloggte Administratoren und Editoren den Block-Editor und das Dashboard weiterhin nutzen können. Denke daran, ein Child-Theme zu verwenden, damit deine Änderungen bei Updates nicht verloren gehen. Sichere deine functions.php-Datei immer, bevor du sie bearbeitest, und teste zuerst in einer Staging-Umgebung.
Methode 2: REST-API mithilfe von WordPress-Plugins deaktivieren
Für Nicht-Programmierer kann ein Plugin den Prozess vereinfachen. Beliebte Optionen sind „Disable REST API“, „WP Security Headers“ und All-in-One-Sicherheits-Plugins wie Wordfence oder iThemes Security, die REST-API-Steuerung bieten. Mit diesen Plugins können Sie die API vollständig blockieren, sie auf authentifizierte Benutzer beschränken oder nur bestimmte Routen zulassen. Viele britische Websites nutzen Wordfence bereits für den Firewall-Schutz, daher fügt die Aktivierung seiner REST-API-Regeln nur minimalen Overhead hinzu. Überprüfen Sie die Plugin-Einstellungen sorgfältig: Einige ermöglichen es Ihnen, bestimmte Endpunkte aktiv zu lassen, z. B. die für Kontaktformulare oder Theme-Anpasser benötigt werden. Wenn Sie ein Caching-Plugin verwenden, denken Sie daran, nach Änderungen die Caches zu leeren, damit die neuen Header wirksam werden.
Best Practices für UK-Website-Betreiber: Selektive Deaktivierung und DSGVO
Statt einer vollständigen Abschaltung sollten Sie eine selektive Deaktivierung in Betracht ziehen. Die REST-API ist für den Block-Editor und viele moderne Plugins unverzichtbar. Wenn Sie sie für alle blockieren, kann das die Funktionalität beeinträchtigen. Für die Einhaltung der UK-Vorschriften sollten Sie prüfen, welche Endpunkte Ihre Website tatsächlich nutzt. Sie können Endpunkte zur Benutzer-Enumeration deaktivieren, während die Kern-API intakt bleibt. Verwenden Sie einen Sicherheitsscanner, um Ihre /wp-json/-Endpunkte zu testen und zu sehen, was offengelegt ist. Aktualisieren Sie außerdem Ihre Datenschutzerklärung, um alle verbleibenden API-Routen zu erwähnen. Wenn Sie personenbezogene Daten über Formulare verarbeiten, autorisieren Sie nur bestimmte Routen. Kombinieren Sie REST-API-Einschränkungen mit Ratenbegrenzung, Zwei-Faktor-Authentifizierung und regelmäßigen Kern-Updates. Dieser mehrschichtige Ansatz gewährleistet Sicherheit, ohne eine anfällige Website zu schaffen.
FAQ
Ja, das ist im Allgemeinen sicher, solange du dich nicht auf externe Apps verlässt, die die API benötigen. Das WordPress-Admin-Panel und das Frontend funktionieren ohne sie bei den meisten Websites einwandfrei. Einige Plugins und Themes nutzen jedoch möglicherweise die REST-API für Funktionen wie Live-Vorschauen. Teste nach der Deaktivierung immer alles und überprüfe deine Fehlerprotokolle.