WordPress'te Kullanıcı Numaralandırma Saldırısını Önlemek

WordPress sitenize /?author=1, /?author=2 şeklinde istekler yağmur gibi yağıyorsa, otomatik botlar kullanıcı adlarını keşfetmeye çalışıyor demektir. Bu "kullanıcı numaralandırması" adlı saldırı, sistemde hangi kullanıcı adının var olduğunu ortaya çıkarır. Başlangıçta zararsız görünse de, saldırganın parola kırma saldırısına hazırlık yapması anlamına gelir.

WordPress varsayılan olarak yazar arşiv sayfalarına erişim izni verir. Bir saldırgan bu URL'leri sırayla test ederek aktif kullanıcı adlarının listesini oluşturabiliyor. Örneğin, /author/admin/ sayfası 404 değil 200 yanıtı verirse, "admin" kullanıcısı var demektir.

Sorunu Çözmek

En basit yöntem tema dosyasında (functions.php) birkaç satır kod eklemek. Yazar arşiv sayfalarına erişimi tamamen engelleme veya sadece bot trafiğini filtreleme yapabilirsiniz. Başka bir seçenek, REST API'nin yazar endpoint'ini kapatmak. Ayrıca güvenlik eklentileri (Wordfence, Sucuri) otomatik olarak bu istekleri tespit edip engeller.

Sunucu loglarında yoğun /?author= isteklerini görüyorsanız,.htaccess kuralıyla bu sayfaları bloklamak da etkili. Wordpress'in güvenlik yapılandırmasında küçük adımlar büyük fark yaratır.