WordPress Kullanıcı Adlarının Görünmesini Engelleme

Okuma süresi: 2 dk

Kısa yanıt: WordPress, alanadiniz.com/?author=1 adresi ve /wp-json/wp/v2/users uç noktası üzerinden kullanıcı adlarını (slug) açığa çıkarabilir. Profilinizde “Herkese açık görünen ad”ı kullanıcı adınızdan farklı yapın, ?author= isteklerini ana sayfaya yönlendirin ve REST API kullanıcı listesini oturum açmamış ziyaretçilere kapatın.

Bu rehber kimin için: WordPress site sahipleri · Gereken süre: 15 dakika · Seviye: Orta

Kaba kuvvet saldırıları, kullanıcı adını tahmin etmek yerine önce bu yöntemlerle gerçek adı bulur ve yalnızca şifreyi dener. Kullanıcı adını gizlemek tek başına bir güvenlik önlemi değildir; ancak güçlü şifre ve iki adımlı doğrulamayla birlikte saldırının maliyetini artırır ve günlüklerdeki gürültüyü azaltır.

Engelleme adımları

Test edin: Tarayıcıda alanadiniz.com/?author=1 adresini açın; adres /author/kullaniciadi/ biçimine dönüyorsa kullanıcı adınız görünür.
REST kontrolü: alanadiniz.com/wp-json/wp/v2/users adresini açın; listede slug alanlarını görün.
Görünen ad: Kullanıcılar › Profil’de takma ad belirleyip “Herkese açık görünen ad” olarak seçin.
author yönlendirmesi: .htaccess’te RewriteCond %{QUERY_STRING} ^author=[0-9] koşulunu, yönetim panelindeki yazar filtresini bozmamak için RewriteCond %{REQUEST_URI} !^/wp-admin satırını ve RewriteRule ^ /? [L,R=301] kuralını WordPress bloğunun üstüne ekleyin (.htaccess düzenleme).
REST kullanıcı listesi: Bir güvenlik eklentisinin “REST API kullanıcı listelemeyi engelle” seçeneğini açın veya rest_endpoints filtresiyle /wp/v2/users uç noktasını oturum açmamış kullanıcılar için kaldırın.
Yazar arşivi: Tek yazarlı sitelerde yazar arşivlerini SEO eklentisinden kapatın.
Tekrar test edin: İlk iki adımdaki adreslerin artık kullanıcı adı göstermediğini doğrulayın.

Mevcut kullanıcı adı “admin” ise

WordPress kullanıcı adını panelden değiştirmeye izin vermez. Yeni bir yönetici hesabı oluşturup giriş yapın, eski “admin” hesabını silerken içeriklerini yeni hesaba aktarın. Bu, hem tahmin edilebilir kullanıcı adını hem de saldırı listelerindeki en yaygın hedefi ortadan kaldırır.

Hâlâ çözülmediyse

Kullanıcı adı gizleme, wp-admin giriş koruması ve XML-RPC kapatma ile birlikte uygulandığında etkilidir. Şifre kuralları için güçlü şifre politikası rehberine bakın. Giriş denemelerine karşı sunucu düzeyinde koruma sağlayan WordPress hosting paketlerimizi inceleyebilirsiniz.

Sık sorulan sorular

REST API’yi tamamen kapatmalı mıyım?

Hayır; blok düzenleyici ve birçok eklenti REST API kullanır. Yalnızca kullanıcı uç noktasını sınırlandırın.

Yazar adım sitede görünmeye devam eder mi?

Evet; seçtiğiniz görünen ad yazılarda görünür, giriş kullanıcı adınız görünmez.

İlgili rehberler

Bu rehber işinize yaradı mı?