WordPress REST API : les 7 endpoints dangereux activés par défaut

> En bref : Votre WordPress expose des données sensibles via la REST API sans que vous le sachiez. Voici les 7 endpoints à vérifier immédiatement.

WordPress expose plus que vous ne le pensez

Par défaut, WordPress active une API REST complète accessible à tout visiteur. Combinée avec des plugins comme ACF, cette API peut exposer des données qui ne sont pas sur votre site public.

Endpoint 1 : /wp-json/wp/v2/users

Liste tous les utilisateurs avec leurs noms, slugs, et parfois emails. Première étape d'une attaque par force brute.

Endpoint 2 : /wp-json/acf/v3/options

Si ACF Pro est installé, cet endpoint peut retourner TOUTES les options du site : y compris les clés API, tokens, et configurations sensibles stockées dans les champs ACF.

Endpoint 3 : /wp-json/wp/v2/media

Énumération de tous les fichiers uploadés. IDs séquentiels = possibilité de télécharger des fichiers privés par incrémentation.

Endpoint 4-7 : Namespaces custom

Chaque plugin qui enregistre un namespace REST crée potentiellement des endpoints non authentifiés. Nous trouvons régulièrement : endpoints de tracking injectables, endpoints d'IA spawning des jobs sans auth, endpoints de configuration exposant des secrets.

Comment vérifier

Accédez à votre-site.com/wp-json/ : si vous voyez une liste de routes, votre API est publique. Contactez-nous pour un revue externe.

À retenir