{"id":13607,"date":"2026-10-20T12:45:00","date_gmt":"2026-10-20T10:45:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=13607"},"modified":"2026-10-09T23:19:54","modified_gmt":"2026-10-09T21:19:54","slug":"203-routen-was-die-wordpress-rest-api-ohne-anmeldung-herausgibt","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/wordpress-plugins-tricks-de\/tutorials-de-wordpress-plugins-tricks-de\/203-routen-was-die-wordpress-rest-api-ohne-anmeldung-herausgibt\/","title":{"rendered":"203 Routen: Was die WordPress-REST-API ohne Anmeldung herausgibt"},"content":{"rendered":"

Eine WordPress-Seite bietet zweierlei: Seiten, die ein Browser anzeigt, und eine Schnittstelle, die reine Daten liefert. Diese Schnittstelle ist seit der ersten Minute eingeschaltet, wird aber von den Verantwortlichen der Seite selten angesehen.<\/p>\n

Zu finden ist sie unter \/wp-json\/<\/code>, und ihre erste Antwort ist eine Liste all dessen, was sie kann.<\/p>\n

\n\"203
203 Routen in neun Namensr\u00e4umen, gez\u00e4hlt am eigenen Verzeichnis der Schnittstelle.<\/figcaption><\/figure>\n

Wozu die Schnittstelle da ist<\/h2>\n

Die REST-API gibt es, damit etwas anderes als ein Browser mit einer Seite arbeiten kann: der Block-Editor im Adminbereich, eine App auf dem Telefon, eine andere Seite, die Artikel \u00fcbernimmt, ein Skript, das nach Plan ver\u00f6ffentlicht.<\/p>\n

Die Schnittstelle geh\u00f6rt zu WordPress selbst und ist kein Plugin, und sie antwortet seit 2016 in der Voreinstellung. Eingeschaltet werden muss daf\u00fcr nichts.<\/p>\n

Die Folge, die es zu merken lohnt: Was auf der Seite ver\u00f6ffentlicht ist, ist auch hier ver\u00f6ffentlicht, in einer Form f\u00fcr Maschinen. Keine Kopie und keine Zusammenfassung – derselbe Inhalt, weit leichter einzusammeln.<\/p>\n

203 Routen auf einer gew\u00f6hnlichen Seite<\/h2>\n

Das Verzeichnis unter \/wp-json\/<\/code> antwortete an der hier gemessenen Seite mit 203 Routen in neun Namensr\u00e4umen.<\/p>\n

110 davon geh\u00f6ren zu wp\/v2<\/code>, dem Kern: Beitr\u00e4ge, Seiten, Medien, Kommentare, Rubriken, Schlagworte, Blocktypen und die \u00fcbrige Standardausstattung.<\/p>\n

59 geh\u00f6ren einem einzigen Plugin. Das ist mehr als ein Viertel der ganzen Schnittstelle aus einer einzigen Erweiterung, und ungew\u00f6hnlich ist es nicht – ein gro\u00dfes Plugin meldet gern f\u00fcr jede eigene Ansicht eine eigene Route an.<\/p>\n

Die \u00fcbrigen 34 verteilen sich auf sieben Namensr\u00e4ume, die meisten davon mit drei bis acht Routen.<\/p>\n

Die Liste der Namensr\u00e4ume ist eine Pluginliste<\/h2>\n

Das Verzeichnis z\u00e4hlt nicht nur Routen. Es benennt die Namensr\u00e4ume, und einen Namensraum sucht sich aus, wer das Plugin geschrieben hat.<\/p>\n

In der Antwort auf eine einzige Anfrage ohne Anmeldung steht damit im Klartext, welche Plugins installiert sind: das SEO-Plugin, das Mehrsprachen-Plugin, das Codeblock-Plugin und jeder eigene Code, den die Seite f\u00fcr sich selbst anmeldet.<\/p>\n

Ein Leck im Sinne eines Defekts ist das nicht. So muss die Schnittstelle arbeiten, denn ein Programm muss wissen, was es gibt. Es bedeutet aber, dass die Frage \u201ewelche Plugins laufen auf dieser Seite” mit einer Anfrage beantwortet ist – und diese Antwort wird regelm\u00e4\u00dfig benutzt, um nachzuschlagen, welche Versionen bekannte Schw\u00e4chen haben.<\/p>\n

\n\"Eine
\n<\/figure>\n

Was ohne Anmeldung antwortet<\/h2>\n

Das Lesen steht weitgehend offen, was daraus folgt, dass die Inhalte ohnehin \u00f6ffentlich sind.<\/p>\n

Beitr\u00e4ge, Seiten, Kommentare, Rubriken, Schlagworte, Beitragstypen, Medien und die Routen des SEO- und des Mehrsprachen-Plugins antworteten alle mit 200 und echtem Inhalt.<\/p>\n

Eine Einzelheit verdient einen Moment. Die Anfrage nach einem einzelnen Beitrag lieferte 23.455 Byte: den vollst\u00e4ndigen, fertig gesetzten Artikel, keinen Auszug. Alles Ver\u00f6ffentlichte liegt mit einer Anfrage je Beitrag bereit, sauber in Felder getrennt, ohne das Beiwerk, das eine Seite mitschleppt.<\/p>\n

Was eine Anmeldung verlangt, und die bessere Absage<\/h2>\n

Alles, was die Installation beschreibt statt der Inhalte, verlangte eine Anmeldung: die Einstellungen, die Pluginliste, die Themeliste, die Blocktypen, die Systemdiagnose. Alle antworteten mit 401.<\/p>\n

Eine Route antwortete anders, und genau die taugt zum Nachmachen: wp\/v2\/users<\/code> lieferte 404.<\/p>\n

Der Unterschied ist nicht kosmetisch. Ein 401 oder 403 best\u00e4tigt, dass die Route da ist und bewacht wird – und sagt damit, dass dahinter etwas Echtes liegt, f\u00fcr das ein zweiter Versuch lohnt. Ein 404 sagt gar nichts. Die Route war entfernt statt gesch\u00fctzt, und von au\u00dfen ist das nicht zu unterscheiden von einem WordPress, das sie nie angeboten hat.<\/p>\n

Autorennamen sind der \u00fcbliche Grund f\u00fcr diese Absage. Ein Autorenname ist die H\u00e4lfte einer Anmeldung, und eine \u00f6ffentliche Liste davon ist eine \u00f6ffentliche Liste g\u00fcltiger Benutzernamen.<\/p>\n

Was sich zu pr\u00fcfen lohnt<\/h2>\n

Drei Fragen beantworten sich mit je einer Anfrage.<\/p>\n

Was listet \/wp-json\/<\/code> auf? Welche Namensr\u00e4ume tauchen auf, und geh\u00f6rt einer davon zu etwas, das gar nicht mehr benutzt wird? Ein abgeschaltetes Plugin meldet nichts an; ein aktives, aber vergessenes meldet alles an, was es hat.<\/p>\n

Was antwortet \/wp-json\/wp\/v2\/users<\/code>? Ein 200 gibt Autorennamen heraus. Ein 401 best\u00e4tigt, dass es sie gibt. Ein 404 sagt nichts.<\/p>\n

Und was kommt f\u00fcr einen einzelnen Beitrag zur\u00fcck? Ist die Antwort der ganze Artikel, arbeitet die Schnittstelle genau wie vorgesehen – es lohnt aber zu wissen, dass der Inhalt in dieser Form vorliegt und nicht nur als Seite.<\/p>\n

Dieselben zwei Fragen, wie viele Routen das Verzeichnis unter \/wp-json\/<\/code> nennt und was wp\/v2\/users<\/code> antwortet, gingen auch an zw\u00f6lf Installationen; die Ergebnisse von 203 bis 1107 Routen stehen in 1107 Routen ohne Anmeldung: Was zehn WordPress-Installationen unter \/wp-json\/ herausgeben<\/a>.<\/p>\n

\n

Fragen und Antworten<\/h2>\n

Gen\u00fcgt es, wp\/v2\/users zu entfernen, damit keine Benutzernamen mehr nach au\u00dfen gelangen?<\/h3>\n

Nein, die Route ist nur die bequemste Liste. In der Voreinstellung verraten zwei weitere Stellen dasselbe:<\/p>\n