Как удалить или отключить REST API WordPress без потери функциональности

REST API в WordPress — мощный инструмент, который открывает доступ к данным сайта через внешние запросы. Однако иногда возникают задачи отключить или ограничить REST API из соображений безопасности, производительности или специфики проекта. В этой статье мы подробно разберём, как это сделать, не нарушая работу сайта и не теряя важные функции.

Зачем отключать REST API в WordPress? Безопасность и оптимизация

REST API предоставляет интерфейс для взаимодействия с WordPress с помощью HTTP-запросов. Это позволяет создавать мобильные приложения, внешние панели управления, интегрировать сервисы и многое другое. Но есть и обратная сторона:

• Безопасность. Открытый REST API может раскрыть информацию о сайте, пользователях, плагинах.
• Производительность. При большом количестве запросов REST API может создавать нагрузку.
• Контроль. Иногда нужно ограничить доступ к REST API из-за особенностей проекта.

Однако отключать REST API целиком не всегда можно, так как некоторые функции ядра и плагины зависят от него.

Способы отключения REST API: что выбрать?

Рассмотрим основные варианты отключения или ограничения REST API в WordPress.

1. Отключение REST API для неавторизованных пользователей

Этот способ наиболее безопасный и часто оптимальный — REST API доступен для авторизованных пользователей, но закрыт для гостей.

add_filter('rest_authentication_errors', 'wppuzzle_disable_rest_for_guests');
function wppuzzle_disable_rest_for_guests($result) {
  if (!empty($result)) {
    return $result; // Если уже есть ошибка — пропускаем
  }
  if (!is_user_logged_in()) {
    return new WP_Error('rest_forbidden', 'Доступ к REST API разрешён только авторизованным пользователям.', array('status' => 401));
  }
  return $result;
}

Этот код можно добавить в functions.php темы или в свой плагин. Он запрещает REST API гостям, что значительно снижает риски.

2. Полное отключение REST API

Если хочется полностью убрать REST API, можно использовать плагин Clearfy Pro. Он позволяет гибко управлять функционалом WordPress, включая REST API, безопасностью и оптимизацией.

Для ручного отключения добавьте следующий код:

add_filter('rest_enabled', '__return_false');
add_filter('rest_jsonp_enabled', '__return_false');

Однако учтите, что полный запрет REST API приведёт к неработоспособности некоторых функций и плагинов.

Ограничение эндпоинтов REST API: выборочный доступ

Иногда нужно не отключать REST API полностью, а ограничить доступ к определённым эндпоинтам. Например, запретить доступ к информации о пользователях, но оставить доступ к другим данным.

add_filter('rest_endpoints', 'wppuzzle_limit_rest_endpoints');
function wppuzzle_limit_rest_endpoints($endpoints) {
  if (isset($endpoints['/wp/v2/users'])) {
    unset($endpoints['/wp/v2/users']);
  }
  if (isset($endpoints['/wp/v2/users/(?P<id>\d+)'])) {
    unset($endpoints['/wp/v2/users/(?P<id>\d+)']);
  }
  return $endpoints;
}

Так можно закрыть доступ к списку и данным пользователей, что повышает безопасность сайта.

Проверка работы REST API: диагностика и отладка

Чтобы проверить, как работает REST API после изменений, используйте адрес:

https://ваш-сайт.ru/wp-json/

Если REST API доступен, вы увидите JSON с информацией. Если нет — получите ошибку доступа или пустой ответ.

Для отладки удобно использовать расширения браузера, например Postman или REST Client.

Плагины для управления REST API в WordPress

Помимо ручного кода, есть удобные плагины:

• Clearfy Pro — мощный инструмент для оптимизации, в том числе для отключения REST API. Подробнее на WPSHOP
• Disable REST API — бесплатный плагин для отключения REST API для гостей.
• WP Cerber Security — комплексный плагин безопасности с опцией ограничения REST API.

Практические советы для безопасного отключения REST API

Перед отключением REST API обязательно проверьте, какие плагины и темы зависят от него. Например, редактор Gutenberg, некоторые SEO и кеширующие плагины активно используют REST API.

Рекомендуется сначала ограничивать доступ, а не полностью отключать REST API. Это снизит риски поломки функционала.

Если вы используете плагин WPRemark для отзывов, убедитесь, что REST API доступен для его работы, иначе отзывы перестанут обновляться через AJAX.

Итог

Отключение REST API в WordPress — задача, требующая баланса между безопасностью и функциональностью. Используйте фильтры для ограничения доступа, избегайте полного отключения без необходимости и применяйте проверенные плагины для контроля.

Таким образом, вы сможете обезопасить сайт и сохранить комфортную работу всех важных функций без потерь.