Como desativar endpoints desnecessários da REST API do WordPress imprimir

Como desativar endpoints desnecessários da REST API do WordPress

Oi! Aqui é a Sensei da GeHost 🌱 Hoje vamos falar sobre um assunto que parece "coisa de programador", mas que qualquer cliente consegue entender e resolver com calma: a REST API do WordPress e por que às vezes é uma boa ideia fechar algumas portinhas dela.

Não se preocupe se você nunca ouviu esse termo antes. Vou explicar tudo devagar, como se estivéssemos tomando um café enquanto conversamos sobre o seu site. 😊

O que é a REST API do WordPress, afinal?

Pense no seu site WordPress como uma casa. A REST API é como um conjunto de "janelinhas" que o WordPress deixa abertas para que outros sistemas (aplicativos, plugins, o próprio editor do site) consigam conversar com ele e trocar informações — por exemplo, buscar a lista de posts, categorias ou até dados de usuários.

O problema é que, por padrão, algumas dessas janelinhas ficam visíveis para qualquer pessoa da internet, não só para o seu site. Isso não significa que seu site foi invadido nem que existe uma falha grave — mas é um excesso de exposição que dá pra evitar, principalmente em endpoints que revelam informações sensíveis, como nomes de usuários cadastrados.

💡 Dica da Sensei: você pode conferir quais informações a REST API do seu site está expondo agora mesmo. Basta digitar no navegador seudominio.com.br/wp-json/ e ver o que aparece. Se aparecer uma lista grande de dados técnicos, é sinal de que vale a pena revisar.

Por que eu deveria me preocupar com isso?

• O endpoint /wp-json/wp/v2/users pode revelar os nomes de usuários cadastrados no seu WordPress — informação que criminosos usam em tentativas de login por força bruta.
• Endpoints não usados aumentam a "superfície de ataque" do site, ou seja, mais pontos que precisam ser vigiados.
• Sites institucionais ou lojas que não dependem de aplicativos externos, em geral, não precisam de boa parte da REST API pública.

Por outro lado, é importante saber: alguns recursos do próprio WordPress dependem da REST API para funcionar — como o Editor de Blocos (Gutenberg), o aplicativo do WordPress e certos plugins de formulário ou de loja. Por isso, a ideia aqui não é "desligar tudo", e sim desativar só o que não é necessário, com cuidado.

Passo a passo para desativar endpoints desnecessários

Passo 1 — Faça um backup antes de qualquer alteração

Sempre, sempre, sempre! Antes de mexer em qualquer configuração do site, garanta um backup recente. No cPanel da sua hospedagem GeHost você encontra essa opção na tela de Backup.

Assim, se algo não sair como o esperado, você consegue voltar tudo com tranquilidade.

Passo 2 — Escolha o caminho mais fácil: um plugin de segurança

Para quem não é da área técnica, o jeito mais simples e seguro de desativar endpoints da REST API é usar um plugin de segurança confiável instalado direto no painel do WordPress (não confundir com o cPanel da hospedagem). Alguns plugins populares de segurança do WordPress já trazem, entre suas configurações, uma opção do tipo "Restringir/Desativar REST API" ou "Ocultar enumeração de usuários".

1. Acesse o painel administrativo do seu WordPress (seudominio.com.br/wp-admin).
2. Vá em Plugins → Adicionar novo.
3. Pesquise por um plugin de segurança de sua confiança, com boas avaliações e atualizado recentemente.
4. Instale, ative e procure nas configurações do plugin a seção relacionada a "REST API" ou "API".
5. Ative apenas a opção de restringir o acesso de usuários não autenticados aos endpoints — evite a opção "desativar tudo" a menos que você tenha certeza de que nenhum recurso do site depende disso.

💡 Dica da Sensei: prefira sempre plugins com boa reputação e atualizações frequentes. Um plugin abandonado pode virar um problema pior do que o que você está tentando resolver.

Passo 3 — Caminho alternativo: um trecho de código (para quem já se sente confortável)

Se você (ou seu desenvolvedor) preferir uma solução mais enxuta, sem instalar plugin extra, é possível adicionar um pequeno código que restringe endpoints específicos. O ideal é usar um plugin do tipo "gerenciador de snippets", que permite inserir códigos com segurança, sem editar diretamente os arquivos do tema.

Caso prefira editar o arquivo functions.php do seu tema diretamente, você pode acessá-lo pelo Gerenciador de Arquivos do cPanel, dentro da pasta do seu site em public_html.

⚠️ Atenção: editar código diretamente no tema exige atenção redobrada — um pequeno erro de digitação pode deixar o site fora do ar. Se não se sentir seguro com esse passo, fique tranquilo em usar apenas o caminho do plugin (Passo 2) ou peça ajuda ao nosso suporte.

Passo 4 — Teste o resultado

1. Depois de aplicar a alteração, visite novamente seudominio.com.br/wp-json/ e confira se o endpoint sensível (como o de usuários) já não está mais acessível.
2. Navegue pelo site inteiro: página inicial, posts, formulários de contato, carrinho de compras (se for loja) e o próprio editor do WordPress.
3. Se algum recurso parar de funcionar (por exemplo, um formulário ou um bloco do editor), isso é sinal de que ele depende da REST API — nesse caso, ajuste a configuração para liberar apenas aquele endpoint específico.

Passo 5 — Ficou com dúvida ou algo quebrou?

Sem crise! É bem comum que ajustes de REST API precisem de um retoque fino, já que cada site usa plugins e recursos diferentes. Você tem 30 dias de suporte gratuito após a entrega do seu site com a GeHost — e, fora desse período, pode acompanhar suas opções direto no painel do cliente.

🌱 Resumo da Sensei: a meta não é fechar tudo, é fechar só o que expõe informação sem necessidade. Backup antes, teste depois, e vá com calma — segurança boa é segurança feita devagar e com atenção.

Um abraço e até o próximo guia! 💚