WordPress'te Kullanıcı Numaralandırma Saldırılarını Önlemek

WordPress siteleri, saldırganların kullanıcı adlarının olup olmadığını öğrenmesine izin veren bir güvenlik açığı taşıyabiliyor. Bunu "user enumeration" deniyor.

Bir saldırgan `/?author=1`, `/?author=2` şeklinde istekler göndererek hangi kullanıcı adlarının sistemde kayıtlı olduğunu keşfedebiliyor. Eğer sunucu loğlarında `/?author=X` şeklinde çok sayıda istek görüyorsan, bu tür bir saldırı yaşanıyor demektir.

Sorun neden ciddi? Bir kez kullanıcı adlarını bildiğinde, saldırgan brute-force saldırılarına (şifre kırma) odaklanabilir. Böylece hedefini daraltmış olur.

Bunu durdurmak için birkaç yol var. En basit yöntem, tema veya eklenti aracılığıyla author archive sayfalarına erişimi engellemek. Örneğin, `functions.php` dosyasına kodu ekleyerek yazar sayfalarını tamamen kapatabilir veya 404 hatası gösterebilirsin.

Bir başka yaklaşım ise `.htaccess` dosyasında bu tür istekleri reddetmek. Ayrıca güvenlik eklentileri (örneğin Wordfence, Sucuri) de bu saldırıları otomatik olarak tespit edip engeller.

Eğer WordPress yöneticisiysen, loglarında bu tür istekleri gördüğün anda harekete geçmek iyi bir fikir. Hızlı bir düzeltme, saldırganın işini daha zorlaştırır.