Beheer WordPress-applicatiewachtwoorden op een probleemloze manier

English version: Managing WordPress application passwords a hassle-free way

Het gebruik van applicatiewachtwoorden als beveiligingsmaatregel werd geïntroduceerd in WordPress 5.6. Deze functie stelt u en uw gebruikers in staat om afzonderlijke wachtwoorden te genereren en te gebruiken voor toegang tot website-API's zoals REST API . De WP Cerber-plug-in biedt een set tools om applicatiewachtwoorden op een effectieve en veilige manier te beheren. In dit artikel laten we u ook zien hoe u het gebruik van applicatiewachtwoorden kunt controleren en hoe u op de hoogte kunt worden gesteld wanneer een gebruiker er een aanmaakt.

We moeten de wachtwoorden van applicaties controleren

Hoewel het gebruik van applicatiewachtwoorden een extra beveiligingsbarrière met zich meebrengt, is de standaardimplementatie van applicatiewachtwoorden in WordPress minimalistisch en kent de volgende problemen.

• Toepassingswachtwoorden bieden geen bescherming tegen brute-force-aanvallen
• We hebben geen mogelijkheid om wachtwoorden voor een specifieke gebruikersrol uit of in te schakelen
• Standaard, interactieve gebruikerswachtwoorden kunnen nog steeds worden gebruikt om toegang te krijgen tot website-API's.
• We hebben geen controle over het gebruik van wachtwoorden vanwege een gebrek aan logging

Toepassingswachtwoorden uitschakelen

Als u applicatiewachtwoorden op uw WordPress volledig wilt uitschakelen, stelt u de instelling "Application Passwords" in op "Disabled". Deze instelling bevindt zich onder het admin-menu "User Policies" op het tabblad "Global". Zodra deze is geactiveerd, kunnen gebruikers geen nieuwe wachtwoorden meer maken en geen van de eerder gegenereerde wachtwoorden meer gebruiken. Lees de rest van het artikel voor geavanceerd beheer.

Gebruik WP Cerber om applicatiewachtwoorden te beheren

Alle instellingen bevinden zich onder het admin-menu "Gebruikersbeleid". Om het gebruik van applicatiewachtwoorden voor alle gebruikers op uw website te configureren, schakelt u over naar het tabblad "Globaal". Om de instelling voor elke gebruikersrol afzonderlijk te configureren, schakelt u over naar het tabblad "Rolgebaseerd". De instellingen die voor een rol zijn geconfigureerd, hebben een hogere prioriteit.

De WP Cerber-instelling die u moet configureren, heet "Toepassingswachtwoorden"

Managing WordPress application passwords with WP Cerber

De standaardwaarde van de instelling is om het gebruik van de applicatiewachtwoorden toe te staan op de manier waarop het is geïmplementeerd in WordPress. Het impliceert het gebruik van zowel traditionele wachtwoorden (die gebruikers gebruiken om in te loggen op uw website via een inlogformulier) als applicatiewachtwoorden bij het openen van website-API's. De instelling is in dit geval "Ingeschakeld, toegang tot API met behulp van standaardgebruikerswachtwoorden is toegestaan" .

Een veiligere, geavanceerdere en aanbevolen manier om applicatiewachtwoorden te gebruiken, is om toegang tot website-API's toe te staan door alleen applicatiewachtwoorden te gebruiken. In dit geval kunnen traditionele interactieve wachtwoorden niet worden gebruikt bij toegang tot website-API's, zelfs als het opgegeven wachtwoord geldig is. Elke poging om toegang te krijgen tot API's wordt geweigerd. Selecteer hiervoor 'Ingeschakeld, geen toegang tot API met behulp van standaardgebruikerswachtwoorden' .

De laatste en eenvoudigste manier om met applicatiewachtwoorden om te gaan, is om ze uit te schakelen met de instelling 'Uitschakelen' .

Instellingen configureren voor een specifieke gebruikersrol

Alle instellingen die voor een rol zijn geconfigureerd, hebben een hogere prioriteit dan de globale instellingen. U kunt dus het gebruik van applicatiewachtwoorden globaal voor alle gebruikers uitschakelen en ze alleen voor een specifieke rol inschakelen.

De standaardwaarde voor alle rollen is om globale instellingen te gebruiken die zijn geconfigureerd op het tabblad 'Globaal'. In de rolinstellingen heet deze optie 'Gebruik globale beleidsregels'. Dit betekent dat de instelling van de rol alle wijzigingen overneemt die zijn aangebracht in de globale instellingen.

Als u een andere optie selecteert dan de optie 'Globaal beleid gebruiken', heeft die geselecteerde optie effect op de rol in plaats van op een instelling die is geconfigureerd op het tabblad 'Globaal'.

Let op: de rolgebaseerde instellingen zijn beschikbaar in de professionele versie van WP Cerber .

Hoe u het wachtwoordgebruik van applicaties kunt controleren

WP Cerber voegt twee nieuwe kolommen toe aan de lijsten met wachtwoorden van gebruikersapplicaties op hun profielpagina's in het WordPress-dashboard. Met behulp van links in die kolommen kunt u het activiteitenlogboek controleren. De links in de kolom 'Authorized' navigeren u naar alle geregistreerde gebeurtenissen van het gebruik van wachtwoorden van applicaties door de gebruiker. De links in de kolom 'Authorization Failed' navigeren u naar alle mislukte pogingen om website-API's te gebruiken wanneer de gebruikersnaam of het e-mailadres van de gebruiker in gebruik was.

Monitoring the usage of application passwords with WP Cerber

Hoe u een melding krijgt wanneer een gebruiker een nieuw wachtwoord aanmaakt

Op de beheerpagina van het activiteitenlogboek kunt u het verzenden van een e-mail of een mobiele melding inschakelen wanneer een gebruiker of een opgegeven gebruiker een nieuw applicatiewachtwoord aanmaakt. Ga naar het activiteitenlogboek, selecteer 'Gebruikersapplicatiewachtwoord gemaakt' in de eerste selectie boven de tabel en klik op Filter . Om meldingen in te schakelen, moet u nu op de knop 'Melding maken' aan de rechterkant klikken. Om het e-mailadres of het mobiele apparaat voor meldingen te configureren, schakelt u over naar het tabblad 'Meldingen'.

Lees meer over het configureren van de gewenste meldingen: WordPress-meldingen eenvoudig gemaakt.

Hoe de toegang tot REST API en XML-RPC te beperken

WP Cerber biedt verschillende opties om toegang te beperken en u kunt elke combinatie hiervan configureren. U kunt toegang tot deze API's volledig blokkeren door ze uit te schakelen; u kunt toegang tot deze API's toestaan of blokkeren vanaf specifieke IP-adressen door IP Access Lists te gebruiken. Daarnaast kunt u toegang tot REST API toestaan voor specifieke rollen of alleen tot specifieke naamruimten . Door landgebaseerde toegangsregels te configureren, kunt u toegang tot REST API of XML-RPC toestaan of weigeren via een lijst met landen.