{"id":15767,"date":"2026-11-12T13:15:00","date_gmt":"2026-11-12T12:15:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15767"},"modified":"2026-10-26T13:33:23","modified_gmt":"2026-10-26T12:33:23","slug":"was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/","title":{"rendered":"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen"},"content":{"rendered":"<p>Das REST-Verzeichnis einer WordPress-Seite beschreibt \u00f6ffentlich sichtbare API-Routen. Eine Route ist ein adressierbarer Pfad, ein Endpunkt verbindet diesen Pfad mit einer HTTP-Methode und einer Verarbeitung. Ein Eintrag im Verzeichnis bedeutet deshalb noch keinen anonymen Zugriff auf s\u00e4mtliche Daten oder Schreibfunktionen.<\/p>\n<figure class=\"lw-diagram\"><img decoding=\"async\" alt=\"\u00d6ffentliches Routenverzeichnis, Antwortinhalt und Berechtigung getrennt pr\u00fcfen\" height=\"580\" loading=\"lazy\" src=\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/dia-15767-review-20261024.png\" width=\"1120\"\/><figcaption>\u00d6ffentliches Routenverzeichnis, Antwortinhalt und Berechtigung getrennt pr\u00fcfen.<\/figcaption><\/figure>\n<h2>Das Verzeichnis finden<\/h2>\n<p>H\u00e4ufig liegt der Einstieg unter <code>\/wp-json\/<\/code>. Die zuverl\u00e4ssigere Ausgangsinformation ist der von WordPress ver\u00f6ffentlichte Link mit der Relation <code>https:\/\/api.w.org\/<\/code>, beispielsweise im HTTP-Header oder im HTML. Unterverzeichnisse, ge\u00e4nderte Pr\u00e4fixe und vorgeschaltete Systeme k\u00f6nnen den tats\u00e4chlichen API-Pfad beeinflussen.<\/p>\n<p>WordPress unterst\u00fctzt au\u00dferdem <code>?rest_route=\/<\/code>. Diese Form ist nicht ausschlie\u00dflich auf Installationen ohne sprechende Permalinks beschr\u00e4nkt. Eine Sperre eines einzelnen URL-Pfads beweist deshalb keine vollst\u00e4ndige Zugriffsbeschr\u00e4nkung. Umgekehrt beweist eine Antwort mit Status 404 am geratenen Pfad weder eine abgeschaltete API noch \u00fcberhaupt eine WordPress-Installation.<\/p>\n<h2>Routen z\u00e4hlen ist kein Plugininventar<\/h2>\n<p>Ein Namensraum wie <code>vendor\/v1<\/code> gruppiert Routen. Die Versionsziffer bezeichnet \u00fcblicherweise eine API-Version, nicht die installierte Pluginversion. Erweiterungen k\u00f6nnen mehrere Namensr\u00e4ume registrieren, vorhandene Namensr\u00e4ume erg\u00e4nzen oder ganz ohne REST-Routen arbeiten. Auch Themes und individueller Code k\u00f6nnen Routen hinzuf\u00fcgen. \u00d6ffentlich sichtbare Verzeichnisdaten sind zus\u00e4tzlich filterbar.<\/p>\n<p>Die Routenzahl beschreibt daher die Eintr\u00e4ge des konkret gelesenen Verzeichnisses. Die Zahl ist weder eine vollst\u00e4ndige Liste installierter Plugins noch ein Ma\u00df f\u00fcr Sicherheitsl\u00fccken. Auch \u00e4hnliche Routenzahlen beweisen keine gemeinsame Plattform. F\u00fcr ein vollst\u00e4ndiges Erweiterungsinventar sind administrative Bestandsdaten erforderlich.<\/p>\n<p>Eine deklarierte Methode wie <code>POST<\/code> oder <code>DELETE<\/code> dokumentiert eine Schnittstelle. Eine anonyme GET-Stichprobe pr\u00fcft deren Schreibberechtigungen nicht. Entscheidend sind die konkreten Berechtigungspr\u00fcfungen und die Daten, die unter den jeweiligen Anfragebedingungen zur\u00fcckkommen.<\/p>\n<h2>Status und Inhalt gemeinsam lesen<\/h2>\n<ul>\n<li><strong>200:<\/strong> Der Abruf war auf HTTP-Ebene erfolgreich. Erst Inhaltstyp, vollst\u00e4ndig lesbares JSON und die erwartete Datenstruktur zeigen, ob tats\u00e4chlich die angefragte REST-Antwort vorliegt. Eine HTML-Sperrseite mit 200 ist keine Benutzerliste.<\/li>\n<li><strong>401 oder 403:<\/strong> Die konkrete Anfrage wurde abgewiesen. Eine WordPress-Fehlerantwort, eine Firewall und ein vorgeschalteter Dienst sind unterschiedliche Ursachen. Daraus folgt keine allgemeine Abnahme aller Berechtigungen.<\/li>\n<li><strong>404:<\/strong> Unter dieser Adresse wurde keine passende Ressource ausgeliefert. Falscher Pfad, entfernte Route und vorgeschaltete Regeln bleiben m\u00f6gliche Erkl\u00e4rungen.<\/li>\n<li><strong>Abbruch oder abgeschnittenes JSON:<\/strong> Die Zahl ist nicht zuverl\u00e4ssig bestimmt. Ein angezeigter Nullwert darf nicht als Beleg f\u00fcr null vorhandene Routen dienen.<\/li>\n<\/ul>\n<h2>\u00d6ffentliche Autoren sind nicht s\u00e4mtliche Benutzerkonten<\/h2>\n<p>Die Standardroute <code>\/wp\/v2\/users<\/code> kann ohne Anmeldung \u00f6ffentliche Autorendaten liefern. Ohne die Berechtigung <code>list_users<\/code> begrenzt der Core die normale Auflistung auf Konten mit ver\u00f6ffentlichten Beitr\u00e4gen in REST-sichtbaren Inhaltstypen. Filter und Erweiterungen k\u00f6nnen das Verhalten ver\u00e4ndern. Au\u00dferdem sind Listen auf mehrere Ergebnisseiten verteilt: Eine Antwort ist nicht automatisch der vollst\u00e4ndige Bestand.<\/p>\n<p>Das \u00f6ffentliche Feld <code>slug<\/code> entspricht dem URL-tauglichen <code>user_nicename<\/code>. Dieser Wert kann vom Anmeldenamen abweichen. Das separate Feld <code>username<\/code> geh\u00f6rt im Standardschema zum gesch\u00fctzten Bearbeitungskontext; Passw\u00f6rter werden nicht zur\u00fcckgegeben. \u00d6ffentliche Autorennamen sind deshalb keine offengelegte Passwortdatei und beweisen f\u00fcr sich keine Sicherheitsl\u00fccke.<\/p>\n<p>\u00d6ffentliche Kennungen k\u00f6nnen dennoch f\u00fcr unerw\u00fcnschte Kontaktaufnahme oder gezielte Anmeldeversuche verwendet werden. Die Bewertung h\u00e4ngt von den tats\u00e4chlich ausgegebenen Daten und dem vorgesehenen \u00d6ffentlichkeitsgrad ab. Zugriffsschutz ben\u00f6tigt unabh\u00e4ngig davon wirksame Authentifizierung und passende Berechtigungen. Das Verbergen einer einzelnen Auflistung ersetzt diese Schutzma\u00dfnahmen nicht.<\/p>\n<h2>Berechtigungen pr\u00e4zise benennen<\/h2>\n<p>WordPress pr\u00fcft F\u00e4higkeiten statt ausschlie\u00dflich Rollennamen. Die Standardroute f\u00fcr Einstellungen pr\u00fcft beispielsweise <code>manage_options<\/code>, die Pluginauflistung <code>activate_plugins<\/code>. Bei Themes h\u00e4ngen die Anforderungen auch von der Anfrage ab. Eine pauschale Aussage \u201ealle diese Routen verlangen Administratorrechte\u201c ist deshalb zu ungenau.<\/p>\n<p>Bei der Cookie-Authentifizierung ist die REST-Nonce ein zus\u00e4tzlicher Pr\u00fcfwert in der Anfrage. Der Wert sch\u00fctzt vor bestimmten Anfragen, die eine fremde Website \u00fcber einen bereits angemeldeten Browser ausl\u00f6st. Die Nonce ersetzt weder Anmeldung noch Berechtigungspr\u00fcfung. Andere unterst\u00fctzte Verfahren, etwa Anwendungspassw\u00f6rter \u00fcber HTTPS, verwenden nicht dieselbe Cookie-\/Nonce-Kombination. Eine Regel \u201ejede zul\u00e4ssige REST-Anfrage braucht eine Nonce\u201c w\u00e4re falsch.<\/p>\n<h2>Grenzen des Routeninventars<\/h2>\n<p><a href=\"https:\/\/www.lukaswojcik.com\/blog\/de\/werkzeuge\/wordpress-rest-route-inventory\/\">Das verlinkte Routeninventar<\/a> versucht <code>\/wp-json\/<\/code> und unter bestimmten Fehlerbedingungen <code>?rest_route=\/<\/code>. Danach folgen zehn feste GET-Stichproben. Eine vollst\u00e4ndige Suche aller API-Adressen oder ein Test s\u00e4mtlicher Methoden findet nicht statt.<\/p>\n<p>Die aktuelle Auswertung ordnet Stichproben allein nach dem HTTP-Status ein. Ein lokaler Test mit einer k\u00fcnstlichen HTML-Sperrseite und Status 200 ergibt deshalb die Kennzeichnung \u201eoffen\u201c. Eine leere JSON-Liste erh\u00e4lt dieselbe Kennzeichnung. Der Begriff beschreibt hier keine nachgewiesene Offenlegung von Benutzerkonten.<\/p>\n<p>Das Abruflimit betr\u00e4gt 8 MiB. Bei abgeschnittenem Verzeichnis erscheint ein Hinweis, die numerische Routenzahl bleibt in der aktuellen Ausgabe aber null. F\u00fcr Stichproben werden nur die ersten 4096 Inhaltsbytes weitergegeben; eine gr\u00f6\u00dfere g\u00fcltige JSON-Antwort kann dadurch unlesbar werden. Eine vollst\u00e4ndige Benutzerz\u00e4hlung oder Pagination erfolgt nicht. Die Namensraumgruppierung verwendet zudem nur die ersten beiden Pfadsegmente, was l\u00e4ngere Namensr\u00e4ume falsch zusammenfassen kann.<\/p>\n<p>Die sechs lokalen Testf\u00e4lle pr\u00fcfen diese Auswertungsgrenzen mit k\u00fcnstlichen Antworten. Eine neue Rangliste fremder Installationen oder eine Sicherheitspr\u00fcfung der genannten Websites ergibt sich daraus nicht.<\/p>\n<p><a href=\"https:\/\/www.lukaswojcik.com\/blog\/de\/wordpress-plugins-tricks-de\/tutorials-de-wordpress-plugins-tricks-de\/welche-wordpress-daten-offentlich-zuganglich-sind-rest-api-und-berechtigungen-verstehen\/\">Ein erg\u00e4nzender Artikel behandelt \u00f6ffentliche Daten in der WordPress-REST-API.<\/a><\/p>\n<div class=\"lw-faq\">\n<h2>Fragen und Antworten<\/h2>\n<h3>Gen\u00fcgt das Abschalten der Benutzerroute zum Verbergen \u00f6ffentlicher Autoren?<\/h3>\n<p>Nein. Autorenarchive, Verlinkungen und Sitemaps k\u00f6nnen weiterhin \u00f6ffentliche Kennungen enthalten. Eine Einschr\u00e4nkung muss zum gew\u00fcnschten Zugriffskonzept passen. Das vollst\u00e4ndige Entfernen der Route kann au\u00dferdem Funktionen des Block-Editors oder anderer Anwendungen beeintr\u00e4chtigen.<\/p>\n<h3>Kann ein \u00f6ffentliches Verzeichnis bestehen bleiben, obwohl Daten gesch\u00fctzt sind?<\/h3>\n<p>Ja. Schnittstellenbeschreibung und Zugriff auf Daten sind verschiedene Ebenen. Das Verzeichnis erleichtert die Integration; die Berechtigung wird f\u00fcr die konkrete Operation gepr\u00fcft.<\/p>\n<h3>Was eignet sich als belastbarer Pr\u00fcfbeleg?<\/h3>\n<p>Der tats\u00e4chliche API-Einstieg, Zeitpunkt, Methode, Parameter, Authentifizierungszustand, Status und gepr\u00fcfter Antwortinhalt geh\u00f6ren zusammen. Aussagen \u00fcber Schreibschutz ben\u00f6tigen passende autorisierte Tests oder eine gezielte Codepr\u00fcfung. Eine einzelne anonyme GET-Antwort reicht daf\u00fcr nicht.<\/p>\n<\/div>\n<div class=\"lw-quellen\">\n<h2>Quellen<\/h2>\n<ul>\n<li><a href=\"https:\/\/developer.wordpress.org\/rest-api\/using-the-rest-api\/discovery\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: API-Adressen ermitteln<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/rest-api\/extending-the-rest-api\/adding-custom-endpoints\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Eigene Endpunkte und Namensr\u00e4ume<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/rest-api\/using-the-rest-api\/authentication\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Authentifizierungsverfahren<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/rest-api\/reference\/users\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Benutzerschema<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/reference\/classes\/wp_rest_users_controller\/get_items\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: \u00d6ffentliche Benutzerlisten<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/reference\/classes\/wp_rest_themes_controller\/get_items_permissions_check\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Theme-Berechtigungen<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/reference\/classes\/wp_rest_plugins_controller\/get_items_permissions_check\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Plugin-Berechtigungen<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/reference\/classes\/wp_rest_settings_controller\/get_item_permissions_check\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Berechtigungen f\u00fcr Einstellungen<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/apis\/security\/nonces\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Grenzen von Nonces<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/rest-api\/using-the-rest-api\/pagination\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Aufteilung in Ergebnisseiten<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/reference\/classes\/wp_rest_server\/get_data_for_routes\/\" rel=\"noopener noreferrer\" target=\"_blank\">WordPress: Filter des \u00f6ffentlichen Verzeichnisses<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/rest-api\/\">WordPress: REST-API-Handbuch<\/a><\/li>\n<li><a href=\"https:\/\/developer.wordpress.org\/\">WordPress: Entwicklungsdokumentation<\/a><\/li>\n<\/ul>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Ein \u00f6ffentliches WordPress-REST-Verzeichnis beschreibt sichtbare Routen. Pluginbestand, Berechtigungen und Benutzerkonten lassen sich daraus nicht vollst\u00e4ndig ableiten. Entscheidend sind Antwortinhalt, Kontext und Messgrenzen.<\/p>\n","protected":false},"author":1,"featured_media":31097,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[156],"tags":[92235,92071,92277],"class_list":["post-15767","post","type-post","status-publish","format-standard","hentry","category-tutorials-de-web-entwicklung","tag-tutorial-de","tag-web-security-de","tag-wordpress-de"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.1 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen | Lukas Wojcik<\/title>\n<meta name=\"description\" content=\"Routenverzeichnisse von 203 bis 1107 Routen, die Benutzerliste auf acht von zehn Installationen offen, und ein Verzeichnis, das das Messwerkzeug gebrochen hat.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen | Lukas Wojcik\" \/>\n<meta property=\"og:description\" content=\"Routenverzeichnisse von 203 bis 1107 Routen, die Benutzerliste auf acht von zehn Installationen offen, und ein Verzeichnis, das das Messwerkzeug gebrochen hat.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/\" \/>\n<meta property=\"og:site_name\" content=\"Lukas Wojcik - Blog\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-12T12:15:00+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/11\/klarheit-20261111-15767.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1200\" \/>\n\t<meta property=\"og:image:height\" content=\"630\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Lukas Wojcik\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Lukas Wojcik\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"5 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/\"},\"author\":{\"name\":\"Lukas Wojcik\",\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/#\\\/schema\\\/person\\\/895f7604f9b6b71aad9bba33af28d0f9\"},\"headline\":\"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen\",\"datePublished\":\"2026-11-12T12:15:00+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/\"},\"wordCount\":1002,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/#\\\/schema\\\/person\\\/895f7604f9b6b71aad9bba33af28d0f9\"},\"image\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/klarheit-20261111-15767.png\",\"keywords\":[\"Tutorial\",\"Web Security\",\"WordPress\"],\"articleSection\":[\"Tutorials\"],\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/\",\"url\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/\",\"name\":\"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen | Lukas Wojcik\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/klarheit-20261111-15767.png\",\"datePublished\":\"2026-11-12T12:15:00+00:00\",\"description\":\"Routenverzeichnisse von 203 bis 1107 Routen, die Benutzerliste auf acht von zehn Installationen offen, und ein Verzeichnis, das das Messwerkzeug gebrochen hat.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#primaryimage\",\"url\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/klarheit-20261111-15767.png\",\"contentUrl\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/klarheit-20261111-15767.png\",\"width\":1200,\"height\":630,\"caption\":\"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/de\\\/web-entwicklung\\\/tutorials-de-web-entwicklung\\\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/#website\",\"url\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/\",\"name\":\"Lukas Wojcik - Blog\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/#\\\/schema\\\/person\\\/895f7604f9b6b71aad9bba33af28d0f9\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":[\"Person\",\"Organization\"],\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/#\\\/schema\\\/person\\\/895f7604f9b6b71aad9bba33af28d0f9\",\"name\":\"Lukas Wojcik\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/lw-x2.jpg\",\"url\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/lw-x2.jpg\",\"contentUrl\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/lw-x2.jpg\",\"width\":424,\"height\":636,\"caption\":\"Lukas Wojcik\"},\"logo\":{\"@id\":\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/lw-x2.jpg\"},\"sameAs\":[\"https:\\\/\\\/www.lukaswojcik.com\\\/blog\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen | Lukas Wojcik","description":"Routenverzeichnisse von 203 bis 1107 Routen, die Benutzerliste auf acht von zehn Installationen offen, und ein Verzeichnis, das das Messwerkzeug gebrochen hat.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/","og_locale":"en_US","og_type":"article","og_title":"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen | Lukas Wojcik","og_description":"Routenverzeichnisse von 203 bis 1107 Routen, die Benutzerliste auf acht von zehn Installationen offen, und ein Verzeichnis, das das Messwerkzeug gebrochen hat.","og_url":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/","og_site_name":"Lukas Wojcik - Blog","article_published_time":"2026-11-12T12:15:00+00:00","og_image":[{"width":1200,"height":630,"url":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/11\/klarheit-20261111-15767.png","type":"image\/png"}],"author":"Lukas Wojcik","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Lukas Wojcik","Est. reading time":"5 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#article","isPartOf":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/"},"author":{"name":"Lukas Wojcik","@id":"https:\/\/www.lukaswojcik.com\/blog\/#\/schema\/person\/895f7604f9b6b71aad9bba33af28d0f9"},"headline":"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen","datePublished":"2026-11-12T12:15:00+00:00","mainEntityOfPage":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/"},"wordCount":1002,"commentCount":0,"publisher":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/#\/schema\/person\/895f7604f9b6b71aad9bba33af28d0f9"},"image":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#primaryimage"},"thumbnailUrl":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/11\/klarheit-20261111-15767.png","keywords":["Tutorial","Web Security","WordPress"],"articleSection":["Tutorials"],"inLanguage":"en-US","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/","url":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/","name":"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen | Lukas Wojcik","isPartOf":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#primaryimage"},"image":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#primaryimage"},"thumbnailUrl":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/11\/klarheit-20261111-15767.png","datePublished":"2026-11-12T12:15:00+00:00","description":"Routenverzeichnisse von 203 bis 1107 Routen, die Benutzerliste auf acht von zehn Installationen offen, und ein Verzeichnis, das das Messwerkzeug gebrochen hat.","breadcrumb":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#primaryimage","url":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/11\/klarheit-20261111-15767.png","contentUrl":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/11\/klarheit-20261111-15767.png","width":1200,"height":630,"caption":"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen"},{"@type":"BreadcrumbList","@id":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/was-die-offentliche-wordpress-schnittstelle-verrat-rest-routen-und-datenzugriff-prufen\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.lukaswojcik.com\/blog\/"},{"@type":"ListItem","position":2,"name":"Was die \u00f6ffentliche WordPress-Schnittstelle verr\u00e4t: REST-Routen und Datenzugriff pr\u00fcfen"}]},{"@type":"WebSite","@id":"https:\/\/www.lukaswojcik.com\/blog\/#website","url":"https:\/\/www.lukaswojcik.com\/blog\/","name":"Lukas Wojcik - Blog","description":"","publisher":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/#\/schema\/person\/895f7604f9b6b71aad9bba33af28d0f9"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.lukaswojcik.com\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":["Person","Organization"],"@id":"https:\/\/www.lukaswojcik.com\/blog\/#\/schema\/person\/895f7604f9b6b71aad9bba33af28d0f9","name":"Lukas Wojcik","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/07\/lw-x2.jpg","url":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/07\/lw-x2.jpg","contentUrl":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/07\/lw-x2.jpg","width":424,"height":636,"caption":"Lukas Wojcik"},"logo":{"@id":"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/2026\/07\/lw-x2.jpg"},"sameAs":["https:\/\/www.lukaswojcik.com\/blog"]}]}},"_links":{"self":[{"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/posts\/15767","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/comments?post=15767"}],"version-history":[{"count":8,"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/posts\/15767\/revisions"}],"predecessor-version":[{"id":31836,"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/posts\/15767\/revisions\/31836"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/media\/31097"}],"wp:attachment":[{"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/media?parent=15767"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/categories?post=15767"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lukaswojcik.com\/blog\/wp-json\/wp\/v2\/tags?post=15767"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}