WP JSON abschalten: So deaktivierst du die REST API in WordPress (2026)
16. August 2026
So schaltest du die WP REST API (wp-json) ab – aus Sicherheitsgründen oder DSGVO. Inkl. Plugins, Code, .htaccess.
Was ist wp-json und warum abschalten?
wp-json ist die REST-API-Schnittstelle von WordPress. Sie ermöglicht es, Inhalte und Funktionen über HTTP-Endpunkte abzurufen und zu verwalten. Standardmäßig ist sie für jeden erreichbar, was Angreifern Einblicke in Nutzernamen, Beitragsstrukturen und installierte Plugins geben kann. Viele Website-Betreiber in Deutschland schalten wp-json daher ab, um die Angriffsfläche zu verkleinern und den Anforderungen der DSGVO gerecht zu werden. Gerade bei kleineren Websites ohne App-Anbindung ist die API oft überflüssig. Doch Vorsicht: Einige Plugins wie Gutenberg, Kontaktformulare oder SEO-Tools benötigen die Schnittstelle, um korrekt zu funktionieren.
Methoden zum Deaktivieren: Plugin vs. Code
Es gibt drei gängige Wege, wp-json abzuschalten. Einfachste Methode für Laien: Ein Sicherheits-Plugin wie „Disable REST API“ oder „WP Cerber“ installieren. Diese bieten oft einen Schalter, um alle REST-Endpunkte zu blockieren. Fortgeschrittene Nutzer können den Zugriff per Code in der functions.php des Themes einschränken. Ein Filter wie `rest_authentication_errors` gibt bei Bedarf eine Fehlermeldung zurück. Alternativ lässt sich die REST-API auf dem Webserver über .htaccess-Regeln blockieren. Ein Nachteil der Code-Variante: Bei einem Theme-Wechsel geht sie verloren. Am besten nutzt du ein Child-Theme oder ein kleines eigenes Plugin.
REST API gezielt einschränken statt abschalten
Ein komplettes Deaktivieren von wp-json kann unerwünschte Nebenwirkungen haben. Besser ist es, die API nur einzuschränken. So kannst du unangemeldeten Benutzern den Zugriff verwehren, während eingeloggte Admins weiterarbeiten. Das klappt per Code-Filter oder mit dem Plugin „WP REST API – Access Manager“. Auch das Deaktivieren einzelner Endpunkte wie `/wp-json/wp/v2/users` ist sinnvoll, weil darüber oft Benutzernamen ausgespäht werden. Diese Details sind gerade in Deutschland wichtig, weil viele Website-Betreiber Sicherheitslücken vermeiden wollen. Eine eingeschränkte API bleibt kompatibel mit modernen Plugins und schützt gleichzeitig vor automatisierten Angriffen.
Probleme nach dem Abschalten vermeiden
Wer wp-json kompromisslos abschaltet, riskiert kaputte AJAX-Funktionen, Probleme im Gutenberg-Editor und Fehler bei Plugins, die REST-Endpunkte nutzen (z. B. Jetpack, WooCommerce, Elementor). Gerade in Deutschland nutzen viele Onlineshops WooCommerce – dort ist die API oft Pflicht. Vor dem Abschalten solltest du daher ein Backup erstellen und die Website ausgiebig testen. Sollte etwas nicht funktionieren, kannst du die Änderung schnell rückgängig machen. Ein eigener Testserver ist ideal. Beachte außerdem: Manche Hoster wie All-Inkl oder Strato setzen eigene Regeln, die mit deinen .htaccess-Anweisungen kollidieren können.
DSGVO und Sicherheit: Deutsche Besonderheiten
Die Debatte um wp-json ist in Deutschland oft mit Datenschutz verbunden. Über die REST-API können personenbezogene Daten wie Autorennamen und Kommentare öffentlich abgerufen werden. Das kann im Konflikt mit der DSGVO stehen, wenn du keine Rechtsgrundlage dafür hast. Seit dem Urteil des EuGH zum Privacy Shield schauen deutsche Datenschutzbehörden genauer hin. Wer wp-json nicht benötigt, sollte es daher abschalten oder einschränken. Das senkt das Risiko von Datenschutzabmahnungen. Beachte aber: Eine Abmahnung wegen DSGVO bezieht sich meist auf fehlende Hinweise oder Cookies – nicht direkt auf REST-API. Dennoch ist weniger Offenlegung oft die sichere Wahl.
FAQ
Für kleine Websites, die keine dynamischen Apps verwenden, ist es sinnvoll. Du reduzierst die Angriffsfläche und verhinderst das Auslesen von Benutzernamen. Bei Websites mit WooCommerce oder umfangreichen Plugins solltest du es lieber nicht komplett abschalten, sondern nur einschränken – sonst drohen Funktionseinbußen.