Mit dem CMS WordPress sind Websites auch ohne Fachwissen schnell aufgebaut. Damit dessen JSON-API nicht sämtliche Daten ausplaudert, müssen Sie es schützen.
(Bild: Jessica Nachtigall / KI / heise medien)
20.07.2026, 14:00 Uhr
Lesezeit: 7 Min.
-
Datenlecks auf WordPress-Websites finden und abdichten
- Offen für alles
- Datenbanken verknüpfen und Inhalte durchsuchen
- Ausgesperrt
Mit WordPress ein eigenes Blog oder eine Homepage aufzusetzen, ist leicht. Schlüsselfertige Installationen des CMS bekommt man praktisch bei jedem Hoster. Das ist ideal, um Informationen zu verbreiten. Manche Daten nur bestimmten Benutzern zugänglich zu machen, ist hingegen nicht so leicht. Denn was viele Betreiber nicht wissen: WordPress besitzt ein leistungsfähiges, standardmäßig ziemlich auskunftsfreudiges JSON-API. Darüber lassen sich zum Teil sensible Daten ohne vorherige Anmeldung am Frontend vorbei abrufen.
Durch das JSON-API ist WordPress besonders ausbaufähig und flexibel. Es ermöglicht die Entwicklung von Erweiterungen auf Basis einer stabilen, klar definierten Schnittstelle, die noch dazu zustandslos ist – also nicht abhängig davon, was andere Benutzer gerade auf der Website tun. So gibt es Smartphone-Apps und verschiedene Editoren, mit denen man Inhalte erstellen und verwalten kann: Neben dem Classic Editor den aktuellen Standard-Editor Guttenberg, Thrive Architect, Elementor und Divi, um nur drei bekanntere zu nennen. Auch viele Plug-ins wie Kontaktformulare nutzen das JSON-API als Schnittstelle zu WordPress.
- WordPress eignet sich prima, um Informationen zu verbreiten – um manches etwa dem Vereinsvorstand vorzubehalten, muss man zusätzlichen Aufwand treiben.
- Ohne Schutzmaßnahmen sind über das JSON-API auch Daten zugänglich, für die ein Login sinnvoll wäre.
- Indem Sie das Plug-in „Disable WP REST API“ installieren, versperren Sie nicht angemeldeten Benutzern die Hintertür zu WordPress.
Für ein Reise-Blog mag es kein Problem sein, dass standardmäßig alle Inhalte jedem zugänglich sind, doch schon bei einer Vereinswebsite liegt der Fall anders: Dort gibt es üblicherweise einen Mitglieds- oder gar Vorstandsbereich, den eben nicht jeder einsehen können soll. Denn selbst wenn der Abruf dieser Seiten über das Standard-Theme nur angemeldeten Benutzern möglich sein sollte, kommt über das JSON-API jeder ohne eine Anmeldung heran. Abhilfe bringt ein Plug-in, das den Zugang zum JSON-API einschränkt.
Das war die Leseprobe unseres heise-Plus-Artikels "Datenlecks auf WordPress-Websites finden und abdichten". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Auf Leistung getrimmt: Die Betas von iOS, iPadOS und macOS 27 im Hands-on
Apple hat die öffentlichen Betas von iOS 27, macOS 27 & Co. bereitgestellt. Wir haben uns die Systeme angeschaut und stellen die wichtigsten Funktionen vor.
Haustiere professionell fotografieren: So gelingen starke Tierbilder
Mit Licht, Perspektive und dem richtigen Setup gelingen artgerechte Haustierporträts – ganz ohne Gitter, Stress und Studio.
Ex-GitHub-Chef im Interview: Über den Unterschied zwischen Vibecoding und Pfusch
Thomas Dohmke spricht über die Abkehr von Microsoft, die Abneigung gegen den Begriff Vibecoding und wie die US-Sperre von Fable sein Unternehmen betroffen hat.
Spulenwickelmaschine mit Arduino bauen
Spulen von Hand zu wickeln kostet Zeit und Nerven. Diese Arduino-gesteuerte Wickelmaschine übernimmt die Arbeit automatisch, präzise und für unter 100 Euro.
Warum Firmen AI Coding Tools noch nicht einführen
KI-Tools wie GitHub Copilot sind in der Entwicklung Alltag, doch viele Firmen zögern bei der Freigabe. Ein pragmatischer Umgang mit Risiken schafft Sicherheit.
APS-C-Kameras im Vergleich: Die besten Modelle für jeden Einsatzzweck
APS-C-Kameras bieten hohe Bildqualität, schnellen Autofokus und kompakte Gehäuse. Wir zeigen die besten Modelle für Reise, Street, Sport und Video.
