API保護

?authorリダイレクトをブロック

任意のURLに ?author=1 を付けると、通常そのユーザーのログイン名が露呈します。SentinelSecurityはそのリダイレクトをブロックしてトップページを返します — 攻撃者に有用な情報は何も渡りません。

ユーザー一覧の閲覧にログインを必須化

REST APIのユーザーエンドポイントはサイトの全アカウントを一覧表示します。SentinelSecurityはログイン済みユーザーにのみ公開します — 匿名訪問者には何も返りません。

/users/me を正規ツールのみに制限

このエンドポイントはログイン中のアカウントのセッション詳細を露出させることがあります。SentinelSecurityは匿名呼び出しをすべてブロックしますが、ダッシュボードや信頼済みアプリは引き続き正常に利用できます。

/settingsへの匿名アクセスをブロック

settingsエンドポイントは利用中のプラグイン・言語・タイムゾーンを暴露することがあります。SentinelSecurityは管理者のみアクセス可能にします — サイト設定は外部から不可視のままです。

oEmbedレスポンスから著者情報を除去

投稿がSNSでシェアされると、oEmbedレスポンスには通常著者名とログインスラッグが含まれます。SentinelSecurityはそのデータを除去します — 投稿は正しくプレビューされますが、著者情報は含まれません。

APIディスカバリリンクを削除

WordPressは全ページのHTMLヘッドにREST APIアドレスを掲載します。SentinelSecurityはその行を削除します — アドレスを知っているツールは引き続き動作しますが、自動スキャナーは手がかりを得られません。

IP単位のレート制限と429レスポンス

SentinelSecurityはIPアドレス単位でAPIリクエストを計測し、上限到達時に標準の429レスポンスを返します。X-RateLimit-Remainingなどのヘッダーにより、行儀よいクライアントが適切にバックオフできます。

制限値の調整、または各保護の無効化

7つの保護はそれぞれ独立したトグルと調整可能な値を持ちます。トラフィックに合わせてリクエスト数と時間枠を設定してください — どの保護も強制ではありません。