Come funziona admin-ajax.php?

Stiamo riscontrando alcuni problemi con uno sviluppatore esterno.

Vogliamo limitare l'accesso al wp-adminsito solo all'accesso interno (tramite VPN ). Semplicemente, non verrà attaccato da utenti esterni. Possiamo enumerare gli amministratori dal sito e non vogliamo che vengano phishing.

Il nostro sviluppatore sta dicendo che non possiamo farlo perché il sito deve avere la pagina di amministrazione accessibile esternamente, quindi la pagina funzionerà. in particolare la admin-ajaxpagina.

Cosa fa la admin-ajax.phppagina?

Si trova nella sezione admin di WordPress. L'accesso è non autenticato dagli utenti finali? È una pratica non sicura avere questo disponibile per gli utenti esterni?

admin-ajax.phpfa parte dell'API AJAX di WordPress e, sì, gestisce le richieste sia dal backend che dal fronte. Cerca di non preoccuparti del fatto che sia dentro wp-admin. Penso che sia un posto strano anche per questo, ma non è un problema di sicurezza in sé. Non so come si riferisca a "enumerare gli amministratori".

Per utenti non autenticati e non attendibili, ti consigliamo di fare due eccezioni specifiche alla tua VPN / Firewall / Apache .htaccess, che sono:

• example.com/wp-admin/admin-post.php
• example.com/wp-admin/admin-ajax.php

Questi sono due endpoint auto-magici utilizzati da molti sia dal WP interno che da vari plugin.

Ecco alcune spiegazioni su cosa admin-post.phpfa:

• https://www.sitepoint.com/handling-post-requests-the-wordpress-way/

admin-ajax.phpfunziona in modo molto simile e una utile spiegazione è qui .

La mia opinione personale è che questa è un'idea terribile di Dio. Circa due mesi fa il nostro direttore dello sviluppo ha insistito sul fatto che lo facessimo, molto contro il parere del team Dev. È un vero incubo e un dolore incredibile per noi, non solo uccide ajax tutti insieme ci presenta così tanti problemi di amministrazione per noi.

Abbiamo 40 dipendenti regolari e 4 sviluppatori che provano a usare la VPN a volte e balbetta, insieme a che tutti gli utenti ora richiedono due set di password uno per wp e uno per vpn e che non è solo una password condivisa, è individuale, io indica in quale altro modo faresti un audit di sicurezza. È abbastanza difficile ricordare una password sicura, figuriamoci due.

Aggiungete al problema che molte persone non sanno come usare un VPN e spesso ciò causa solo più problemi.

Alla fine è un'idea terribile ed è spesso proposta da dirigenti o superiori che non conoscono o capiscono WordPress. Lo vedono in una luce terribile, perché poiché è open source deve anche essere un problema di sicurezza, pieno di exploit facilmente intercettabili e così via ... sta invecchiando.

WordPress è sicuro e attenersi a wp-admin dietro a una VPN non è solo la paura di essere un mongolfiera, ma rappresenta un incubo per ogni membro del team

Perché i tipi di gestione non hanno fiducia quando si tratta di WordPress, sembrano dimenticare i principali siti che usano WordPress e non usano i vpns, ad esempio come mascherabili.

Quindi, per ricapitolare:

Ajax non funzionerà dietro un VPN.

Vpn è un'idea terribile per i motivi sopra menzionati

WordPress è sicuro e rimarrà tale se lo mantieni e plug-in aggiornati.

Ascolta il tuo Dev, li paghi per la loro esperienza. Posso prometterti che nulla indebolisce una relazione di lavoro come non confidare in un individuo e doverne verificare le conoscenze.

Se vai con vpn, assicurati di acquistare abbastanza licenze utente.

Se si desidera limitare l'accesso al back-end WP (ad esempio:) wp-admin, utilizzare una .htaccessregola nella wp-admindirectory.

Dai un'occhiata a questo articolo per una panoramica generale: proteggi con password una directory usando .htaccess

Consulta anche questo argomento per il tuo caso specifico: Protezione password / wp-admin /