Depuis son intégration native dans WordPress 4.7, l’API REST est devenue un vecteur d’attaque de plus en plus exploité. Selon Patchstack, plus de 47 % des vulnérabilités critiques découvertes en 2025 impliquaient des endpoints d’API REST mal sécurisés. Le problème est simple : par défaut, WordPress expose un grand nombre de données via cette API — y compris la liste de vos utilisateurs — sans exiger la moindre authentification.
En interrogeant simplement https://votre-site.com/wp-json/wp/v2/users, n’importe qui peut obtenir les noms d’utilisateur (logins) de tous vos comptes WordPress. C’est une mine d’or pour les attaques par force brute. Et ce n’est qu’un exemple parmi d’autres : articles en brouillon, métadonnées sensibles, informations de configuration… tout peut fuiter si vous ne prenez pas les mesures adéquates.
Dans ce guide complet, vous allez apprendre comment sécuriser l’API REST WordPress étape par étape — sans la désactiver complètement, ce qui casserait de nombreuses fonctionnalités.
Avant de sécuriser quoi que ce soit, il faut comprendre ce que WordPress expose nativement. Voici les principaux endpoints publics :
Ces endpoints répondent à des requêtes GET anonymes. Pour les requêtes d’écriture (POST, PUT, DELETE), WordPress exige normalement une authentification — mais des plugins mal codés peuvent contourner cette protection, comme l’ont démontré plusieurs CVE recensées sur le NVD (National Vulnerability Database).
C’est la première action à entreprendre. Ajoutez ce code dans le fichier functions.php de votre thème enfant (ou via un plugin de snippets comme Code Snippets) :
// Désactiver l'endpoint /wp-json/wp/v2/users pour les non-connectés
add_filter('rest_endpoints', function($endpoints) {
if (!is_user_logged_in()) {
if (isset($endpoints['/wp/v2/users'])) {
unset($endpoints['/wp/v2/users']);
}
if (isset($endpoints['/wp/v2/users/(?P<id>[\d]+)'])) {
unset($endpoints['/wp/v2/users/(?P<id>[\d]+)']);
}
}
return $endpoints;
});Cette approche est préférable à une désactivation totale, car elle préserve le fonctionnement des plugins légitimes qui utilisent cet endpoint en étant authentifiés.
Si votre site n’utilise pas l’API REST de façon publique (headless CMS, applications tierces, etc.), vous pouvez restreindre l’accès à tous les endpoints aux seuls utilisateurs authentifiés :
// Requiert une authentification pour toute requête REST
add_filter('rest_authentication_errors', function($result) {
if (!empty($result)) {
return $result;
}
if (!is_user_logged_in()) {
return new WP_Error(
'rest_not_logged_in',
'Authentification requise.',
['status' => 401]
);
}
return $result;
});⚠️ Attention : Ce code bloquera aussi Gutenberg et certains plugins qui font des requêtes REST en front-end. Testez toujours en staging avant d’appliquer en production.
Par défaut, /wp-json/ retourne la liste complète de tous les endpoints disponibles sur votre site, révélant ainsi quels plugins sont installés et leurs éventuelles API. Pour masquer ces informations :
// Masquer le namespace listing de l'API REST
add_filter('rest_index', function($response) {
$data = $response->get_data();
unset($data['namespaces']);
unset($data['routes']);
$response->set_data($data);
return $response;
});Sans rate limiting, l’API REST peut être martelée par des bots pour tenter des attaques par énumération ou force brute. Selon Wordfence, les attaques automatisées sur l’API REST ont augmenté de 312 % entre 2024 et 2025.
La solution la plus simple est d’utiliser votre fichier .htaccess (sur Apache) pour limiter les requêtes :
<IfModule mod_evasive20.c>
DOSHashTableSize 3097
DOSPageCount 5
DOSSiteCount 50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10
</IfModule>Alternativement, des plugins comme WP REST API Cache ou Perfmatters proposent des options de limitation intégrées. Pour une protection plus robuste, combinez avec notre guide sur la protection contre les bots malveillants.
Depuis WordPress 5.6, les Application Passwords permettent de créer des jetons d’accès uniques pour chaque application tierce — sans partager votre vrai mot de passe. Voici comment les activer et les utiliser :
Authorization: Basic base64(login:token)Cette méthode est bien plus sécurisée que de stocker vos identifiants WordPress en clair dans des fichiers de configuration. Pour aller plus loin sur la gestion des accès, consultez notre article sur l’authentification 2FA WordPress.
Les plugins WordPress ajoutent souvent leurs propres endpoints REST — et c’est là que se cachent la majorité des vulnérabilités. En 2025, des failles critiques ont été découvertes dans des endpoints mal protégés de plugins populaires comme Contact Form 7, WooCommerce et Elementor.
Pour auditer les endpoints exposés sur votre site, utilisez cet outil de diagnostic :
# Via curl, lister tous les endpoints de votre site
curl -s https://votre-site.com/wp-json/ | python3 -m json.tool | grep '"href"'Analysez chaque namespace inconnu. Si un plugin expose des endpoints REST que vous n’utilisez pas, désactivez le plugin ou recherchez un correctif. Gardez également un œil sur la base CVE MITRE pour les nouvelles vulnérabilités WordPress.
Les en-têtes HTTP ajoutent une couche de protection supplémentaire. Ajoutez ces directives dans votre .htaccess :
# Sécuriser les réponses de l'API REST
<IfModule mod_headers.c>
# Bloquer les requêtes cross-origin non autorisées
Header set Access-Control-Allow-Origin "https://votre-site.com"
# Empêcher le sniffing MIME
Header set X-Content-Type-Options "nosniff"
# Protection clickjacking
Header set X-Frame-Options "SAMEORIGIN"
# Forcer HTTPS
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>La configuration CORS (Access-Control-Allow-Origin) est particulièrement importante : elle empêche des sites tiers de faire des requêtes vers votre API via le navigateur de vos visiteurs.
La sécurité n’est pas un état, c’est un processus continu. Voici comment mettre en place une surveillance efficace :
/wp-json/Pour une protection globale de votre installation, n’oubliez pas de sécuriser votre fichier wp-config.php qui contient les clés secrètes utilisées pour l’authentification WordPress, y compris pour l’API REST.
Techniquement oui, mais c’est déconseillé. Depuis WordPress 4.7, de nombreuses fonctionnalités natives (éditeur Gutenberg, widgets de blocs, prévisualisations) dépendent de l’API REST. La désactiver complètement cassera probablement votre back-office. La bonne approche est de restreindre les endpoints non nécessaires plutôt que de tout bloquer.
Oui. Depuis WordPress 4.7 (décembre 2016), l’API REST est activée par défaut sur toutes les installations. Elle est accessible via /wp-json/ sans aucune configuration particulière.
Utilisez un outil comme curl ou Postman pour interroger manuellement vos endpoints : curl https://votre-site.com/wp-json/wp/v2/users. Si vous recevez une liste d’utilisateurs sans être authentifié, votre API n’est pas sécurisée. Un retour 401 ou 403 indique que la restriction fonctionne correctement.
Certains oui. Wordfence Premium et iThemes Security Pro incluent des règles de pare-feu spécifiques à l’API REST. Mais ces plugins ne se substituent pas aux bonnes pratiques de configuration — ils viennent en complément. Wordfence bloque notamment les tentatives d’énumération des utilisateurs via l’API. De même, pensez à désactiver XML-RPC, un autre vecteur d’attaque similaire que les plugins de sécurité ne bloquent pas toujours par défaut.
L’API REST WordPress est un outil puissant — et c’est précisément pour ça qu’elle attire les attaquants. En appliquant les mesures décrites dans ce guide (masquage des utilisateurs, authentification forcée, rate limiting, en-têtes HTTP, surveillance), vous réduisez drastiquement votre surface d’attaque sans sacrifier les fonctionnalités de votre site.
Récapitulatif des actions prioritaires :
/wp-json/wp/v2/users pour les non-connectés/wp-json//wp-json/Besoin d’aide pour auditer et sécuriser votre site WordPress ? Contactez notre équipe d’experts SecuriteWP — nous réalisons des audits complets et des interventions d’urgence.
Les attaques supply chain WordPress ciblent la chaîne de distribution des plugins et thèmes. Découvrez comment elles fonctionnent, les IOC à surveiller et les mesures concrètes pour protéger votre site.
Votre base de données MySQL est le cœur de WordPress : elle contient tout. Découvrez comment la sécuriser avec 8 techniques concrètes pour 2026.
Découvrez quelles permissions de fichiers appliquer sur WordPress (644, 755, 600) pour sécuriser votre installation et éviter les intrusions. Guide complet 2026 avec commandes SSH.
Apprenez à configurer les bonnes permissions de fichiers WordPress (chmod 755/644/640). Guide complet SSH, FTP, WP-CLI pour sécuriser votre site contre les intrusions.
Un backdoor CVSS 10 découvert dans Smart Slider 3 PRO 3.5.1.35 et deux failles XSS dans Gravity Forms 2.9.30 : analyse et mesures d’urgence pour protéger votre site WordPress.
Votre site WordPress a été piraté ? Suivez ce guide de remédiation complet : détection, nettoyage des fichiers infectés, base de données, sécurisation post-hack et demande de révision Google.
Nos experts français assurent un support et une prestation de qualité.
