WordPress Application Passwords: Jak bezpečně připojovat externí aplikace

Chcete propojit WordPress s mobilní aplikací, automatizačním nástrojem nebo skriptem? Nemusíte sdílet běžné heslo do administrace. WordPress nabízí aplikační hesla – samostatné přístupové údaje, které lze vytvořit pro konkrétní službu a kdykoli zrušit. Sama o sobě ale neurčují, co smí aplikace dělat. Oprávnění se odvíjejí od uživatelského účtu, ke kterému jsou připojena.

Co jsou aplikační hesla ve WordPressu

Aplikační hesla jsou určena k ověřování aplikací a skriptů, které komunikují s WordPressem přes API. Používají se například při automatickém publikování článků, nahrávání médií nebo propojení webu s externím nástrojem. WordPress je představil ve verzi 5.6. Nejsou určena k běžnému přihlášení do administrace přes stránku wp-login.php.

Každé aplikační heslo je navázané na konkrétní uživatelský účet. WordPress ho při vytvoření zobrazí jen jednou. Později si lze prohlédnout informace o jeho používání a heslo jednotlivě zrušit.

Pokud tedy přestanete některou službu používat nebo máte podezření, že se přístupové údaje dostaly do nesprávných rukou, můžete vypnout jen příslušné heslo. Ostatní propojení i hlavní heslo uživatele zůstanou beze změny.

Jak aplikace heslo používá

Aplikace se obvykle připojuje k WordPress REST API, například k rozhraní pro práci s příspěvky nebo médii. Při požadavku odešle uživatelské jméno a aplikační heslo jako přihlašovací údaje HTTP Basic Authentication.

Protože tento způsob ověřování sám o sobě údaje nešifruje, musí komunikace probíhat přes HTTPS. Při použití nezabezpečeného HTTP by je mohl zachytit někdo, kdo sleduje síťový provoz.

Aplikační hesla mohou sloužit také pro XML-RPC, pokud je toto rozhraní na webu povolené. Konkrétní způsob připojení závisí na aplikaci. Ta by měla nabídnout pole pro adresu webu, uživatelské jméno a aplikační heslo. Nevkládejte heslo přímo do URL adresy ani do veřejně dostupného kódu.

Jak aplikační heslo vytvořit

Přihlaste se do administrace WordPressu účtem, pod kterým se má aplikace připojovat. V nabídce Uživatelé → Profil najděte sekci Aplikační hesla. Zadejte výstižný název, například „Automatické publikování“ nebo „Mobilní aplikace“, a nechte si vygenerovat nové heslo. Hned ho bezpečně uložte a zadejte do nastavení propojené služby – WordPress ho později znovu nezobrazí.

Pokud tuto sekci v profilu nevidíte, ověřte, zda web používá HTTPS a zda funkci nevypnul bezpečnostní plugin nebo vlastní úprava WordPressu. Dostupnost aplikačních hesel může správce webu omezit nebo zcela vypnout.

Jedno heslo pro jednu integraci

Pro každou aplikaci vytvořte samostatné aplikační heslo. Pokud některou službu přestanete používat nebo se její přístupové údaje dostanou do nepovolaných rukou, zrušíte jen heslo určené pro ni. Ostatní propojení zůstanou funkční.

Při správě hesel pomůže několik jednoduchých zásad:

• Pojmenujte je podle služby – například „Mobilní aplikace“ nebo „Automatické publikování“. V seznamu je pak snadno poznáte.
• Ukládejte je bezpečně – nepište je do veřejného dokumentu, repozitáře ani do kódu dostupného návštěvníkům webu.
• Kontrolujte jejich používání – v profilu uživatele můžete zkontrolovat dostupné informace o posledním použití.
• Nepotřebná hesla zrušte – při podezření na únik přístup odeberte a před vytvořením nového prověřte, kde bylo původní heslo uložené.

Samostatné aplikační heslo však neznamená samostatná oprávnění. Aplikace může prostřednictvím API provádět činnosti povolené uživatelskému účtu, ke kterému je heslo připojené. Zvažte proto, zda pro integraci použít účet s omezenou rolí a jen takovými oprávněními, která skutečně potřebuje.

Jak s heslem zacházet bezpečně

Aplikační heslo berte jako jiné tajné přístupové údaje. Neukládejte ho do veřejného repozitáře, sdíleného dokumentu ani do kódu dostupného návštěvníkům webu. Pokud ho aplikace umožňuje uložit, používejte její zabezpečené úložiště přihlašovacích údajů. U vlastních skriptů a automatizací ho uchovávejte odděleně od zdrojového kódu, například v proměnné prostředí nebo správci tajných údajů.

Pravidelně kontrolujte seznam vytvořených hesel a jejich údaje o posledním použití. Nepotřebná hesla zrušte. Při podezření na únik zrušte příslušný přístup ihned a vytvořte nový až poté, co prověříte, kde byl původní uložen. V profilu WordPressu lze zobrazit také informace o posledním použití, například čas a IP adresu.

Aplikační hesla zjednodušují propojení WordPressu s dalšími nástroji a umožňují odvolat přístup jedné služby bez změny hlavního hesla. Bezpečnost ale závisí i na tom, přes jaké spojení aplikace komunikuje a jaká oprávnění má připojený uživatelský účet. Nejdůležitější je proto používat HTTPS, vytvářet hesla zvlášť pro jednotlivé integrace a průběžně rušit ta, která už nepotřebujete.

Bezpečné propojení začíná u správného nastavení

Aplikační hesla umožňují připojit WordPress k externím službám bez sdílení hlavního hesla do administrace. Bezpečné používání ale závisí také na zabezpečeném spojení, přiměřených oprávněních a pravidelné kontrole přístupů.

Pro provoz webů na WordPressu nabízí CZECHIA.COM specializovaný webhosting s několika variantami podle velikosti projektu.