Список логинов
Видны ли логины авторов через /wp-json/wp/v2/users.
Введите адрес сайта на WordPress
Проверим, не «светятся» ли логины авторов через REST API и страницы ?author=. Ничего на сайте не меняем и пароли не подбираем.
Что проверяет инструмент
Углублённая проверка утечки логинов WordPress: /wp-json/wp/v2/users, перебор ?author=, индекс REST. Оценка A–F и таблица видимых логинов. Кратко — в WP Quick Check; здесь только брутфорс-векторы без подбора паролей.
Утечка имён
Раскрываются ли реальные имена через author-страницы.
Открытые роутинги
Какие ещё REST-эндпоинты доступны без авторизации.
Рекомендации
Что и как закрыть — конкретными правилами для .htaccess или PHP.
Что мы делаем «под капотом»
Делаем GET-запрос к /wp-json/wp/v2/users и к /?author=1, /?author=2 и т.д. Смотрим, что отдаётся в ответе. Не пытаемся ничего записать, не подбираем пароли — только читаем то, что ваш сервер сам отдаёт публично.
Что мы НЕ делаем
- Не запрашиваем доступ в админку и не предлагаем установить плагин.
- Не сохраняем результаты проверки — каждый запрос свежий.
- Не пытаемся подобрать пароль, не сканируем уязвимости.
- Работаем только с публично доступными данными (как поисковый бот).
Что означают цифры и оценки
Таблица логинов — реальные имена пользователей, которые видит любой без пароля. Оценка ниже C — закройте перечисление до массового подбора паролей. Рекомендации внизу — правила .htaccess или код в functions.php; для WooCommerce проверьте, не сломается ли checkout.
Типовые причины и что делать
Не вердикт «навсегда» — стартовый чек-лист. Для ремонта под ключ — ссылка ниже.
Открыт wp/v2/users
Стандартная настройка WP — закрывается фильтром rest_endpoints или правилом в .htaccess.
Работают ?author=1
Перебор id авторов — редирект на /author/login/ раскрывает логин.
Слабые пароли админов
После утечки логина брутфорсят wp-login — включите лимит попыток и 2FA.
Читайте по теме этого инструмента
WordPress REST API: защита wp-json, users и xmlrpc
По /wp-json/wp/v2/users бот видит логины — дальше брутфорс wp-login. Утечка через REST, author= и xmlrpc: закрываем без поломки редактора — не «отключите интернет».
Безопасность WordPress: чек-лист защиты на 30 минут
Большинство взломов WordPress — автоматические сканеры, не «хакер лично на вас». Чек-лист за 30 минут отсекает подавляющее большинство ботов — не обзор платных «комплексных» решений.
Хотите ту же проверку прямо сейчас?
Сделаем аудит руками
Запустили инструмент и нужна интерпретация результатов? Разберём вместе и подскажем, что чинить.