Leitfaden zur Absicherung von API-Aufrufen in einer WordPress-Umgebung

Einleitung: zwei Richtungen, zwei verschiedene Probleme

Von „API-Sicherheit" wird gesprochen, als wäre es ein einziges Thema. Es sind zwei, und sie zu verwechseln ist die Ursache der meisten Fehler:

EINGEHEND : was die Welt von Ihrem WordPress verlangen kann → REST-API, Webhooks
AUSGEHEND : was Ihr WordPress von der Welt verlangt         → Schlüssel, Anbieter, KI

Das Eingehende ist ein Berechtigungsproblem: wer was verlangen darf. Das Ausgehende ist ein Geheimnisproblem: wo der Schlüssel liegt und wer ihn lesen kann. Dieser Artikel behandelt beides und beginnt mit dem, was am häufigsten vernachlässigt wird.

1. Ausgehend — wo der Schlüssel liegt

Das ist der Punkt, der alles andere zunichtemacht, wenn man ihn verfehlt.

Niemals in einer versionierten Datei. Ein Schlüssel in einem Repository bleibt in der Historie, auch wenn man ihn später löscht. Der Widerruf ist die einzige echte Lösung: die Datei zu ändern genügt nicht.

Niemals im Code eines Themes. Ein Theme wird kopiert, geteilt, in eine Vorproduktion ausgerollt, an einen Dienstleister geschickt.

Niemals in clientseitigem JavaScript. Ein Schlüssel, der im Browser ankommt, ist ein öffentlicher Schlüssel. Dieser Fehler kommt häufiger vor, als es scheint — gerade weil er einwandfrei „funktioniert".

In einer Umgebungsvariablen des Servers oder im Geheimnisspeicher Ihres Hostings. Und mit einer organisatorischen Regel, die genauso viel wert ist wie die technische: ein Schlüssel je Kundin und je Verwendung. Ein geteilter Schlüssel macht jede Zurechnung unmöglich, und eine Überschreitung wird anonym.

Dieser letzte Punkt macht auch das Budget lesbar — die vollständige Begründung steht in das Budget Ihrer Agentur mit einem persönlichen API-Schlüssel optimieren.

2. Ausgehend — was bei jedem Aufruf zu prüfen ist

• Ein ausdrückliches Zeitlimit. Ohne es blockiert ein langsamer Anbieter Ihre Seite. Das ist die häufigste Ursache für „die Website ist ausgefallen", obwohl sie nur auf eine Antwort wartete.
• Eine Ausgabenobergrenze beim Anbieter, je Schlüssel. Das ist eine strukturelle Garantie: sie hält auch dann, wenn ein automatischer Vorgang in eine Schleife läuft. Keine vertragliche Zusage leistet das, weil sie erst im Nachhinein greift.
• Eine Ratenbegrenzung auf Ihrer Seite, damit eine schlecht geschlossene Schleife einen Zwischenfall kostet und nicht ein Monatsbudget.
• Keine unnötigen Daten versenden. Am besten geschützt sind die Daten, die nie hinausgegangen sind: braucht der Vorgang nur den Produkttext, braucht er nicht den Kundennamen. Das ist das Prinzip aus warum Datenschutz Ihre beste Verbündete ist.
• Keine Geheimnisse in den Protokollen. Eine Fehlermeldung, die die vollständige Anfrage ausgibt, schreibt Ihren Schlüssel in eine Datei, die aufbewahrt und mitunter an Dritte geschickt wird.

3. Eingehend — die REST-API und was sie standardmäßig preisgibt

WordPress stellt eine standardmäßig aktive REST-API bereit. Das ist kein Mangel, aber drei Dinge sollte man wissen:

1. Manche Routen sind absichtlich öffentlich, und einige geben die Autorenliste der Website preis, also Kontonamen, die für einen Passwortangriff nutzbar sind. Diese Route einzuschränken kostet wenige Zeilen.
2. Jedes Plugin kann eigene Routen hinzufügen. Ihre eingehende Angriffsfläche wächst mit jeder Installation, ohne dass jemand hinsieht. Ein Argument mehr, um Ihre Plugins zu prüfen.
3. Eine eigene Route ohne Prüfung der Fähigkeiten steht allen offen. Das ist der klassische Fehler maßgeschneiderter Plugins: man prüft die Nonce und vergisst die Fähigkeit. Die Nonce belegt die Herkunft der Anfrage, nicht das Recht, sie auszuführen. Es braucht beides.

4. Eingehend — die Webhooks

Ein Webhook ist eine öffentliche URL, die Code ausführt. Drei Regeln, und keine davon ist optional:

• die Signatur prüfen, die der Absender mitschickt, jedes Mal. Ohne Prüfung kann jede Person, die die URL kennt, den Vorgang auslösen;
• den Vorgang idempotent machen: dasselbe Ereignis zweimal empfangen darf nicht zwei Wirkungen haben. Anbieter senden erneut, das ist normal;
• schnell antworten und danach arbeiten. Ein Webhook, der vor der Antwort einen langen Vorgang ausführt, löst Wiederholungen aus, und Wiederholungen erzeugen Duplikate.

5. Die fünf Fehler, die man überall findet

1. Der Schlüssel auf der Clientseite — es funktioniert, und es ist öffentlich.
2. Die Nonce ohne die Fähigkeit — geprüft wird die Herkunft, nicht das Recht.
3. Der zwischen Kundinnen geteilte Schlüssel — Zurechnung unmöglich, Widerruf unmöglich, ohne alle zu treffen.
4. Kein Zeitlimit — der Ausfall des Anbieters wird zu Ihrem Ausfall.
5. Das Geheimnis in den Protokollen — einmal geschrieben, monatelang aufbewahrt.

6. Das Protokoll, auf einer Seite

• Kein Schlüssel in einem versionierten Repository, in einem Theme oder in Client-JavaScript
• Ein Schlüssel je Kundin und Verwendung, in einer Umgebungsvariablen oder im Geheimnisspeicher
• Ausgabenobergrenze beim Anbieter gesetzt, je Schlüssel, mit Zwischenwarnung
• Ausdrückliches Zeitlimit bei jedem ausgehenden Aufruf
• Ratenbegrenzung bei automatischen Vorgängen
• Eigene REST-Routen: Nonce und Prüfung der Fähigkeiten, ausnahmslos
• Webhooks: Signatur geprüft, Vorgang idempotent, schnelle Antwort
• Protokolle durchgesehen: keine Geheimnisse, keine vollständigen Anfragen ausgegeben
• Widerrufsverfahren schriftlich — und einmal erprobt, nicht angenommen

Der letzte Punkt ist der, den niemand macht, und der einzige, der an dem Tag zählt, an dem man ihn braucht.

Fazit

Die Sicherheit von API-Aufrufen beruht nicht auf einem Werkzeug, sondern auf zwei Fragen, die man jederzeit beantworten können muss: Wo liegen meine Schlüssel, und wer kann sie lesen? und Was kann die Welt von mir verlangen, ohne sich auszuweisen?

Die meisten Zwischenfälle stammen nicht aus einem raffinierten Angriff, sondern von einem Schlüssel, der an der falschen Stelle lag, und von einer Route, die nicht prüfte, was sie zu prüfen glaubte.

Die Probe: Müssten Sie heute Nacht alle Ihre Schlüssel widerrufen — wüssten Sie, wo sie sind, und wie lange es dauern würde? Können Sie das nicht beantworten, ist genau das die Arbeit, die zuerst ansteht.

Zum Weiterlesen: fortgeschrittenes WordPress-Hardening, proaktiver Schutz vor Zero-Day-Bedrohungen und der DSGVO+-Ansatz und die Architektur mit persönlichem API-Schlüssel. Unsere Premium-Erweiterungen sind mit vollständiger Rückerstattung innerhalb von 14 Tagen erhältlich: zum Katalog.