Beheer WordPress-applicatiewachtwoorden op een probleemloze manier

English version: Managing WordPress application passwords a hassle-free way

Het gebruik van applicatiewachtwoorden als veiligheidsmaatregel werd geïntroduceerd in WordPress 5.6. Met deze functie kunnen u en uw gebruikers afzonderlijke wachtwoorden genereren en gebruiken voor toegang tot website-API's zoals REST API . De WP Cerber-plug-in biedt een reeks tools om applicatiewachtwoorden op een effectieve en veilige manier te beheren. In dit artikel laten we u ook zien hoe u het gebruik van applicatiewachtwoorden kunt controleren en hoe u een melding kunt krijgen wanneer een gebruiker er een aanmaakt.

We moeten applicatiewachtwoorden controleren

Hoewel het gebruik van applicatiewachtwoorden een extra beveiligingsbarrière met zich meebrengt, is de standaard WordPress-implementatie van applicatiewachtwoorden minimalistisch en kent de volgende problemen.

• Applicatiewachtwoorden bieden geen bescherming tegen brute-force-aanvallen
• We hebben geen mogelijkheid om wachtwoorden voor een specifieke gebruikersrol in of uit te schakelen
• Standaard, interactieve gebruikerswachtwoorden kunnen nog steeds worden gebruikt om toegang te krijgen tot website-API's.
• We hebben geen controle over het gebruik van wachtwoorden vanwege een gebrek aan logging

Applicatiewachtwoorden uitschakelen

Als u applicatiewachtwoorden op uw WordPress volledig wilt uitschakelen, stelt u de instelling 'Applicatiewachtwoorden' in op 'Uitgeschakeld'. Deze instelling bevindt zich onder het beheerdersmenu "Gebruikersbeleid" op het tabblad "Algemeen". Zodra het is geactiveerd, kunnen gebruikers niet langer nieuwe wachtwoorden maken en de eerder gegenereerde wachtwoorden gebruiken. Voor geavanceerd beheer kunt u de rest van het artikel lezen.

Gebruik WP Cerber om applicatiewachtwoorden te beheren

Alle instellingen bevinden zich onder het beheerdersmenu "Gebruikersbeleid". Om het gebruik van applicatiewachtwoorden voor alle gebruikers op uw website te configureren, gaat u naar het tabblad "Algemeen". Om de instelling voor elke gebruikersrol afzonderlijk te configureren, gaat u naar het tabblad "Op rollen gebaseerd". De instellingen die voor een rol zijn geconfigureerd, hebben een hogere prioriteit.

De WP Cerber-instelling die u moet configureren heet "Applicatiewachtwoorden"

Managing WordPress application passwords with WP Cerber

De standaardwaarde van de instelling is om het gebruik van de applicatiewachtwoorden toe te staan op de manier waarop dit in WordPress is geïmplementeerd. Het impliceert het gebruik van zowel traditionele wachtwoorden (die gebruikers gebruiken om in te loggen op uw website via een inlogformulier) als applicatiewachtwoorden bij toegang tot website-API's. De instelling is in dit geval "Ingeschakeld, toegang tot de API met behulp van standaard gebruikerswachtwoorden is toegestaan" .

Een veiligere, geavanceerdere en aanbevolen manier om applicatiewachtwoorden te gebruiken is door toegang tot website-API's toe te staan door alleen applicatiewachtwoorden te gebruiken. In dit geval kunnen traditionele interactieve wachtwoorden niet worden gebruikt bij toegang tot website-API's, zelfs als de opgegeven wachtwoord geldig is. Elke poging om toegang te krijgen tot API's zal worden geweigerd. Om dit te bereiken selecteert u "Ingeschakeld, geen toegang tot API met standaard gebruikerswachtwoorden" .

De laatste en eenvoudigste manier om met applicatiewachtwoorden om te gaan, is door ze uit te schakelen met de instelling ingesteld op "Disable" .

Configureer instellingen voor een specifieke gebruikersrol

Alle instellingen die voor een rol zijn geconfigureerd, hebben een hogere prioriteit dan de algemene instellingen. U kunt het gebruik van applicatiewachtwoorden dus globaal voor alle gebruikers uitschakelen en deze alleen voor een specifieke rol inschakelen.

De standaardwaarde voor alle rollen is het gebruik van globale instellingen die zijn geconfigureerd op het tabblad 'Globaal'. In de rolinstellingen heet deze optie 'Gebruik globaal beleid'. Dit betekent dat de instelling van de rol alle wijzigingen overneemt die in de algemene instellingen zijn aangebracht.

Als u een andere optie selecteert dan de optie 'Algemeen beleid gebruiken', heeft die geselecteerde optie invloed op de rol in plaats van op een instelling die is geconfigureerd op het tabblad 'Algemeen'.

Let op: de op rollen gebaseerde instellingen zijn beschikbaar in de professionele versie van WP Cerber .

Hoe u het wachtwoordgebruik van applicaties kunt controleren

WP Cerber voegt twee nieuwe kolommen toe aan de lijsten met applicatiewachtwoorden van gebruikers op hun profielpagina's in het WordPress-dashboard. Met behulp van links in die kolommen kunt u het activiteitenlogboek bekijken. De kolomkoppelingen 'Geautoriseerd' leiden u naar alle vastgelegde gebeurtenissen waarbij toepassingswachtwoorden door de gebruiker zijn gebruikt. De links in de kolom 'Authorisatie mislukt' leiden u naar alle mislukte pogingen om website-API's te gebruiken terwijl de gebruikersnaam of het e-mailadres van de gebruiker in gebruik was.

Monitoring the usage of application passwords with WP Cerber

Hoe u een melding kunt krijgen wanneer een gebruiker een nieuw wachtwoord aanmaakt

Op de beheerderspagina Activiteitenlogboek kunt u het verzenden van een e-mail of een mobiele melding inschakelen wanneer een gebruiker of een opgegeven gebruiker een nieuw toepassingswachtwoord aanmaakt. Ga naar het activiteitenlogboek, selecteer "Gebruikersapplicatiewachtwoord aangemaakt" uit de eerste selectie boven de tabel en klik op Filter . Om meldingen in te schakelen, moet u nu op de knop "Maak waarschuwing" aan de rechterkant klikken. Om het e-mailadres of het mobiele apparaat voor meldingen te configureren, gaat u naar het tabblad 'Meldingen'.

Lees meer over hoe u de benodigde meldingen kunt configureren: WordPress-meldingen eenvoudig gemaakt.

Hoe u de toegang tot REST API en XML-RPC kunt beperken

WP Cerber biedt verschillende opties om de toegang te beperken en u kunt elke combinatie hiervan configureren. U kunt de toegang tot deze API’s volledig blokkeren door ze uit te schakelen; u kunt de toegang tot deze API's vanaf specifieke IP-adressen toestaan of blokkeren met behulp van IP-toegangslijsten . Bovendien kunt u toegang tot de REST API toestaan voor specifieke rollen of alleen voor specifieke naamruimten . Door landgebaseerde toegangsregels te configureren, kunt u de toegang tot REST API of XML-RPC toestaan of weigeren via een lijst met landen.