Qu'est-ce que l'API REST ?
L'API Rest, également connue sous le nom d'API RESTful, est un style d'écriture d'interfaces de programmation d'applications limitées par les règles définies mais par le style architectural REST et permettant la communication entre les points de terminaison REST. La communication entre API doit être protégée par une méthode de sécurité telle que l'accès soit sécurisé et protégé. Cet article présentera l'API REST ainsi que les terminologies et méthodes associées pour sécuriser l'API REST WordPress. Nous passerons également par
Plugin d'authentification API REST miniOrange WordPress et ses fonctionnalités pour protéger et sécuriser l'API REST wordpress.
Qu'est-ce que le REPOS ?
REST ou Representational State Transfer, est essentiellement la collection de
JSON points de terminaison (URL) qui contiennent les informations concernant vos publications, pages, etc. Vous pouvez simplement faire une requête GET à votre point de terminaison WordPress et lire le contenu de votre site Web WordPress au format JSON depuis l'extérieur de l'installation WordPress. Cela rend l'API REST WordPress disponible pour les opérations CRUD, vous permettant de créer, lire, mettre à jour et supprimer facilement du contenu sur votre site depuis l'extérieur de l'installation WordPress. Nous parlerons de la protection des points de terminaison dans la suite de l'article.
Qu'est-ce que l'API?
API ou Application Programming Interface permet à deux applications de communiquer entre elles. Chaque fois qu'un utilisateur envoie une requête au serveur. Le serveur répond à cette demande avec une ressource extraite du serveur appelée réponse. L'API est créée sur le serveur et l'utilisateur est autorisé à lui parler. Cela fournit une interface pour les systèmes informatiques sur le Web, permettant au client et au serveur d'interagir plus facilement et de partager des données de manière limitée et clairement définie. L'API permet à l'utilisateur d'envoyer ou de recevoir des données en effectuant un « appel » ou une « demande » particulier. JSON est un langage de programmation utilisé pour cette communication. L'API peut être utilisée pour effectuer quatre types de requêtes différents :
1. GET (Retrieve) : Cette fonction vous permet de récupérer des données depuis le serveur via l'appel api.
2. POST (Create) : Cette fonction vous permet d'écrire de nouvelles informations sur le serveur.
3. PUT (Update) : Cette fonction permet de mettre à jour le contenu déjà disponible sur le serveur.
4. DELETE (Supprimer) : Cette fonction vous permet de supprimer des données du serveur.
Exemples quotidiens d'API :
1. Prévisions météorologiques : Les API météo sont des interfaces de programmation d'applications qui vous permettent de récupérer des informations météorologiques à partir de grandes bases de données de prévisions météorologiques. Cela se fait au moyen d’une API, qui vous renvoie la réponse.
2. Google Carte : L'API Google Maps est utile pour fournir des données telles que les emplacements géographiques, les latitudes, les longitudes, etc. à partir de la base de données Google Maps.
3. Connectez-vous en utilisant XYZ : Vous avez peut-être vu sur divers sites Web l'option de connexion avec Google, Facebook, etc. Au lieu d'utiliser les informations d'identification de l'utilisateur, l'application effectue un appel API à Google, Facebook, etc. demandant l'authentification de l'utilisateur pour permettre à l'utilisateur d'accéder au site Web.
Qu’est-ce que l’API REST WordPress ?
L'API WordPress REST (Representational State Transfer Application Programming Interface) fournit une interface permettant aux applications (comme Android, IOS, React, Angular) d'interagir avec votre site Web WordPress en envoyant et en recevant des données sous forme d'objets JSON (JavaScript Object Notation). Ici, nous utilisons JavaScript pour visiter l'API WordPress REST afin de charger le contenu de la base de données WordPress dans notre page Web.
Exemple : le point de terminaison REST ci-dessous est utilisé pour récupérer toutes les publications et pages WordPress.
- OBTENIR /posts - https://www.example.com/wp-json/wp/v2/posts
- OBTENIR /pages - https://www.example.com/wp-json/wp/v2/pages
Termes clés de l’API REST WordPress
Avant de plonger davantage dans l'API WordPress REST et ce qu'elle signifie pour les développeurs, prenons un bref moment pour nous familiariser avec les terminologies de base liées à l'API WP REST :
1. Itinéraire : Il s'agit d'une URL qui peut être mappée à différentes méthodes HTTP. Exemple : /wp-json/
2. Point final : Il s'agit d'une connexion entre une méthode HTTP individuelle et une route.
3. Demande : Il s'agit d'une instance de WP_REST_Request qui peut être utilisée pour récupérer des informations sur les requêtes en cours.
4. Réponse : Il fournit les données demandées ou affiche une erreur pour montrer ce qui n'a pas fonctionné lors de l'exécution/de l'appel.
5. Schéma : Il vous permet de comprendre quels paramètres et propriétés d'entrée peuvent être envoyés et reçus via l'API REST.
6. Classes de contrôleurs : C'est là que vous gérez/gérez les requêtes API REST.
En quoi l’API REST WordPress est-elle utile ?
- L'API REST de WordPress rend les opérations CRUD (Créer, Lire, Mettre à jour et Supprimer) disponibles de n'importe où au lieu de se limiter au seul tableau de bord d'administration de WordPress. Il fournit une forme légère de communication entre le client et le serveur, ce qui en fait une excellente solution pour l'échange de données.
- Il peut être utilisé pour créer des applications natives iOS/Android, etc. Nous pouvons utiliser n'importe quel langage de notre choix tant que le langage a la capacité de faire des requêtes HTTP et d'interpréter JSON tel que Node, js, Express.js, Ruby, Python, etc.
- Il vous permettra d'avoir une application mobile pour votre WooCommerce site ecom. Vous pourrez synchroniser vos utilisateurs, votre inventaire et toutes les autres données entre votre site wordpress et votre application mobile. Vos clients pourront payer plus rapidement sur votre application mobile et ainsi augmenter vos ventes et vos bénéfices.
- L'API REST WordPress vous permettra d'étendre les fonctionnalités d'un site Web de commerce électronique (WooCommerce) au-delà des fonctionnalités de base fournies par Woocommerce. Il vous aidera à vous connecter à des API externes (plus de fonctions) pour fournir plus de fonctionnalités dans votre boutique WooCommerce en toute sécurité.
Nous savons que l'API REST de WordPress ouvre la porte à de nombreuses opportunités, mais nous devons être conscients pour protéger et sécuriser nos points de terminaison. Notre plugin pour WordPress dispose de nombreuses fonctionnalités de sécurité pour protéger les sites wordpress (WooCommerce, Learndash, Zoho, etc).
Comment fonctionnent les API REST WordPress ?
Il existe une énorme quantité de données disponibles via API REST WordPress et il est accessible à tous ceux qui le demanderont, comme les publications, les pages, les commentaires, etc. L'authentification par cookie est la méthode d'authentification standard incluse avec WordPress pour protéger vos données. Lorsque vous vous connectez à votre tableau de bord, les cookies sont configurés correctement pour vous. Les développeurs de plugins et de thèmes n'ont donc besoin que d'un utilisateur connecté. Cependant, l'API REST inclut une technique appelée nonces pour éviter les problèmes CSRF. Cela empêche d’autres sites de vous forcer à effectuer des actions sans avoir explicitement l’intention de le faire. Cela nécessite une gestion légèrement particulière pour l'API. C'est une méthode plus sécurisée pour protéger votre site WordPress. L'API REST est envoyée via des points de terminaison HTTP (HyperText Transfer Protocol), en utilisant le formatage JSON (JavaScript Object Notation). Ces points de terminaison peuvent représenter les publications, les pages et d’autres types de données WordPress ou tout autre point de terminaison créé sur mesure. Il manipule les données du client et du serveur sans avoir réellement accès à la base de données et la base de données reste donc sécurisée.
Les points de terminaison de l’API WordPress REST sont ouverts par défaut et s’avèrent donc être une faille dans votre site Web. Outre le vol de données et le phishing qui peuvent être initiés via ces points de terminaison WordPress, il existe une menace plus grande pour les données utilisateur que Wordpress fournit à toute personne qui en fait la demande.
- Exemple : https://example.com/wp-json/wp/v2/users/
Si vous essayez d'accéder à ces points de terminaison, l'API REST WordPress affichera par défaut toutes les données liées à vos utilisateurs, ce qui peut conduire à une faille de sécurité majeure.
Ainsi, en ayant des points de terminaison WP ouverts sur vos sites WordPress comme woocommerce, il est facile pour les scrapers et les voleurs de contenu de voler votre site WordPress car ils sont suffisamment avertis en technologie pour profiter de votre erreur et de votre imprudence. Cela peut entraîner un risque potentiel pour la vie privée, car les données utilisateur telles que le nom et les adresses des utilisateurs peuvent être consultées par ces mauvaises personnes.
Le risque survient également lorsque les mauvais acteurs ont votre nom d’utilisateur et peuvent désormais accéder par force brute à votre site Web, car l’API REST de WordPress a autorisé l’accès à votre site Web d’où ils ont obtenu les noms d’utilisateur. Pour plus de sécurité, vous pouvez désactiver complètement l'API REST sur votre site Web (WooCommerce, elearning, etc.), mais cela vous empêchera d'utiliser cette fonctionnalité pour développer votre entreprise et vos opportunités, car vous pouvez intégrer votre site Web WordPress à d'autres points de terminaison. comme l'inventaire central, les applications mobiles, etc. Plutôt que d'interdire complètement les autres API, vous devez trouver un moyen de les sécuriser et utiliser l'API Wordpress REST pour ce à quoi elle est destinée.
Avantages de l'API REST WordPress
L'API REST de Wordpress ouvre une grande porte aux développeurs pour explorer et implémenter des fonctions qui faciliteront la gestion trépidante de leurs données. C'est grâce au formatage JSON des données que WordPress peut échanger des données avec d'autres sites Web et logiciels à l'aide de l'API REST de WordPress, quelle que soit la langue dans laquelle l'application/le logiciel/le site Web est écrit. Il vous suffit de prendre soin de protéger les points de terminaison en mettant en place des méthodes sécurisées comme celles que nous proposons dans notre plugin WordPress REST API Authentification. Cela aidera à sécuriser votre WordPress et donnera également plus de fonctionnalités à votre site que vous pourrez utiliser pour votre croissance.
Cas d'utilisation de l'API REST WordPress
Il existe différents cas d'utilisation disponibles pour les API REST WordPress et certains des principaux cas d'utilisation sont répertoriés ci-dessous :
- Supposons que vous souhaitiez développer une application Android et IOS à des fins de blogging, où les utilisateurs peuvent voir les blogs et publier des blogs en utilisant leur application mobile elle-même. Dans ce cas, vous souhaitez également créer, récupérer, mettre à jour et supprimer les publications de l’application mobile, ce qui pourrait être fait facilement avec l’aide de WordPress en toute sécurité.
- Supposons que vous ayez un site de commerce électronique développé à l'aide du plugin WooCommerce et de WordPress et que vous cherchiez à développer des applications natives à l'aide du framework React. Désormais, vous ne souhaitez pas créer une autre base de données pour l'application native et télécharger tous les détails des produits, des clients et des commandes, car elle ne sera pas efficace et bien entretenue selon le cas de WordPress. Vous pouvez facilement accéder aux API REST WooCommerce avec sécurité et protection dans votre application native, même avec la fonctionnalité de connexion de l'utilisateur avec les informations d'identification WordPress et même avec la connexion sociale. Vous pouvez facilement vous authentifier et accéder aux API REST WooCommerce si vous vous êtes connecté à l'aide de la plateforme de connexion sociale dans votre application.
PLUGIN D'AUTHENTIFICATION API WORDPRESS REST miniOrange pour protéger vos points de terminaison REST.
Je vous suggère de télécharger le plugin d'authentification API WP REST pour WordPress, ce qui facilitera grandement l'accès aux API REST WordPress avec une sécurité et une protection des données conformes aux normes de l'industrie, en fonction de votre cas d'utilisation ou de vos exigences.
Il prend en charge de nombreuses méthodes d'authentification telles que l'authentification par clé API, l'authentification de base, l'authentification JWT, l'authentification OAuth 2.0 et la méthode d'authentification du fournisseur OAuth 2.0 tiers, etc. pour protéger et sécuriser votre site WordPress. Celles-ci sont également compatibles avec toutes les méthodes HTTP ci-dessous :
1. OBTENIR (Récupérer) : Cette fonction vous permet de récupérer des données depuis le serveur via l'appel API.
2. POST (Créer) : Cette fonction vous permet d'écrire de nouvelles informations sur le serveur.
3. METTRE (Mise à jour) : Cette fonction vous permet de mettre à jour le contenu déjà disponible sur le serveur.
4. SUPPRIMER (Supprimer) : Cette fonction vous permet de supprimer des données du serveur.
Installation du plugin d'authentification de l'API REST WordPress
Il existe plusieurs façons d’installer et de configurer notre plugin WordPress REST API pour la sécurité de votre site WordPress.
1. Vous pouvez télécharger le package zip du plugin depuis la place de marché miniOrange ou directement depuis la place de marché WordPress. Après avoir téléchargé le zip, vous devez extraire le contenu du dossier téléchargé dans le répertoire `/wp-content/plugins/` de votre système, puis simplement activer le plugin depuis la page des plugins wordpress sur votre site wordpress.
2. Une autre méthode pour installer et bénéficier de notre plugin est de le télécharger à partir de l'option « ajouter un nouveau » sur votre page de plugins.
L'une ou l'autre de ces deux étapes simples vous permettra de protéger et de sécuriser vos sites WordPress comme WooCommerce, Learndash, etc. Pour une explication détaillée et un guide étape par étape pour configurer le plugin, veuillez cliquez ici.
Points de terminaison de l'API de repos des plugins standards et personnalisés/tiers :
WordPress fournit des points de terminaison REST standard pour obtenir les données depuis et vers le site Web WordPress. Certains de ces points de terminaison sont les suivants :
1. Poteaux
2. Nos Pages
3. Médias
4. après Meta
5. Commentaires
6. Utilisateurs
7. Conditions
Mais la question se pose : si vous avez besoin de créer des points de terminaison d’API REST par défaut, comment pouvez-vous y parvenir ? Que se passe-t-il si vous souhaitez obtenir vos données personnalisées de la base de données à l'aide des API REST en toute sécurité ?
Dans ce cas, vous devez créer des API REST WordPress personnalisées pour gérer la fonctionnalité ou vous pouvez utiliser notre autre plugin nommé API CUSTOM pour WP pour créer des API REST WordPress personnalisées. Vous pourrez vous connecter aux API de Learndash, Gravity Forms, WooCommerce, Google Merchant, etc. Vous pourrez simplement mettre le nom de l'API et la méthode HTTP que vous souhaitez utiliser. Après cela, vous devez sélectionner la table de base de données à partir de laquelle vous souhaitez récupérer les données. Vous pouvez également sélectionner les colonnes et définir la condition pour l'obtenir sans même coder une seule ligne.
Personnalisation pour tout type d’intégration/authentification API dans Wordpress :
Si vous pensez que vous aurez besoin de personnalisations dans notre plugin WordPress REST API ou Custom API, laissez-moi vous annoncer que nous fournissons des personnalisations aux clients en fonction de leur cas d'utilisation afin qu'ils n'aient pas à faire de compromis sur tout et profitez de nos services et de notre support avec nos plugins API REST.
Méthodes d'authentification de l'API WordPress REST dans notre plugin WordPress
Ce sont les méthodes d’authentification fournies dans notre plugin WordPress REST API. Pour en savoir plus et vous familiariser avec les exemples de facteur, cliquez sur les liens ci-dessous :
- Authentification de base : Il s'agit de la méthode d'authentification de base pour protéger et sécuriser les points de terminaison WordPress, où les utilisateurs peuvent être authentifiés en suivant deux méthodes :
1. Nom d'utilisateur : Mot de passe : - Dans ce type d'authentification de base, les informations d'identification de l'utilisateur telles que le nom d'utilisateur et le mot de passe sont requises pour approuver l'utilisateur sur le système.
2. Client-ID : Client-Secret : - Dans ce type d'authentification de base, les informations d'identification du client sont fournies par le plugin dans l'en-tête d'autorisation sous la forme d'un cryptage HMAC codé en base64 ou hautement sécurisé.
- Authentification par clé API : Cette méthode de sécurité vous permet de sécuriser les points de terminaison WordPress sans révéler les informations d'identification de l'utilisateur, car le plugin génère une clé API pour accéder à toute ressource qui peut également être régénérée dans le plugin ou expirée par le souhait de l'administrateur.
- Authentification JWT : Cette méthode utilise le jeton JWT émis par le plugin et fonctionne comme un authentificateur d'API pour protéger vos API REST. Le plugin lui-même fournit le point de terminaison de l'API REST via lequel vous pouvez générer le jeton JWT très facilement en transmettant les informations d'identification utilisateur WordPress valides.
- Authentification OAuth 2.0 : Il s'agit de la méthode la plus sécurisée pour authentifier et protéger les API REST. Si vous n'avez pas de fournisseur d'identité tiers, l'authentification API REST WordPress fonctionne à la fois comme serveur OAuth (fournisseur) et authentificateur API pour protéger vos API REST.
1. Octroi de mot de passe : - Cette méthode est utilisée lorsque des données spécifiques à l'utilisateur sont nécessaires.
2. Octroi des informations d'identification client : - Cette méthode est utilisée pour authentifier les appels API sans avoir d'utilisateur spécifique.
-
Authentification du fournisseur tiers : Cette méthode est utilisée lorsque vous disposez déjà d'un OAuth/OpenID Connect externe (fournisseur d'identité) qui vous fournit un jeton d'accès/jeton d'identification ou un jeton JWT, qui peut être utilisé pour authentifier les API REST de WordPress et le plugin validera le jeton. directement auprès de ces fournisseurs de jetons et uniquement en cas de validation réussie, les points de terminaison de l'API sont autorisés à accéder.
Quelle méthode de sécurité utiliser où ?
-
Authentification de base : Si vous souhaitez protéger vos API WP REST (par exemple, publication, pages et autres API REST) avec les informations de connexion WordPress des utilisateurs ou l'identifiant client: client-secret fourni par le plugin lui-même, vous pouvez opter pour cette méthode. Il est recommandé d'utiliser cette méthode sur HTTPS ou Secure Socket Layer.
-
Authentification par clé API : Si vous souhaitez protéger vos API WP REST (par exemple, publication, pages et autres API REST) des utilisateurs non authentifiés mais que vous ne souhaitez pas partager les informations de connexion des utilisateurs ou l'identifiant client, le secret pour authentifier l'API REST, vous pouvez utiliser l'API. Authentification par clé, qui générera une clé d'authentification aléatoire pour vous. À l'aide de cette clé, vous pouvez authentifier n'importe quelle API REST sur votre site. Cette méthode fournit également une fonctionnalité permettant de générer une clé API spécifique à l'utilisateur pour accéder et authentifier les API qui impliquent des autorisations utilisateur. La clé générée sera au format crypté et, par conséquent, il n'y aura aucune violation de la sécurité ni aucune fuite de données possible.
-
Authentification JWT : Si vous cherchez à protéger vos API REST à l'aide du jeton JWT et si vous n'avez aucun fournisseur/fournisseur d'identité tiers qui émet le jeton JWT, vous devriez opter pour la méthode d'authentification JWT. Dans ce cas, notre authentification API REST WordPress émet elle-même le jeton JWT et fonctionne comme un authentificateur API pour protéger vos API REST.
-
Authentification OAuth 2.0 (LE PLUS SÉCURISÉ et LE PLUS RECOMMANDÉ) : Si vous cherchez à protéger vos API REST à l'aide du jeton d'accès ou du jeton d'identification (jeton JWT) et qu'en même temps vous n'avez aucun fournisseur/fournisseur d'identité tiers, alors vous devriez optez pour la méthode d’authentification OAuth 2.0. Dans ce scénario, notre authentification API REST WordPress fonctionne à la fois comme serveur OAuth et authentificateur API pour protéger vos API REST.
-
Authentification du fournisseur tiers : Si vous cherchez à protéger/restreindre l'accès à vos API WP REST à l'aide d'un fournisseur OAuth/fournisseur d'identité externe comme Azure, Amazon Cognito, KeyCloak, Okta, ADFS, Google, Facebook, etc. et Firebase, alors vous devriez opter pour le fournisseur tiers. Méthode d'authentification. Ici, il vous suffit de configurer le plugin avec Introspection Endpoint/User Info Endpoint fourni par votre fournisseur d'identité et vous pourrez authentifier la demande d'API à l'aide du jeton fourni par l'application de votre fournisseur.
Lectures connexes
Plugins recommandés
Demander une démo du plugin
