Vodič za WordPress REST API autentifikaciju

Uvod u WordPress REST API autentifikaciju

WordPress API interfejs REST API je mocan alat koji omogućava pristup WordPress sadržaju i funkcionalnosti putem HTTP zahteva iz bilo koje aplikacije, bilo da je to mobilna aplikacija, JavaScript frontend, eksterni servis ili potpuno odvojena web aplikacija. Međutim, dok je čitanje javnog sadržaja obično dostupno bez autentifikacije, kreiranje, ažuriranje i brisanje sadržaja zahteva da se korisnik autentifikuje kako bi WordPress znao ko izvrsava akciju i da li ima potrebne dozvole.

WordPress podržava više metoda autentifikacije za REST API, a svaka ima svoje prednosti, mane i idealne scenarije korišćenja. Izbor prave metode zavisi od toga ko pristupa API-ju (frontend na istom sajtu, eksterna aplikacija, mobilna aplikacija), koliki nivo bezbednosti je potreban i koliko kompleksnu integraciju želite da implementirate. U ovom vodicu detaljno prolazimo kroz svaku metodu sa praktičnim primerima.

Cookie autentifikacija sa nonce-om

Cookie autentifikacija je podrazumevana metoda za zahteve koji dolaze sa samog WordPress sajta, tipično iz JavaScript koda u admin panelu ili na frontendu. Kada je korisnik ulogovan u WordPress, browser automatski šalje cookie sa svakim zahtevom i WordPress REST API ga koristi za identifikaciju korisnika. Međutim, sam cookie nije dovoljan jer bi to omogućilo CSRF napade gde zlonamerni sajt može pokrenuti zahteve u ime ulogovanog korisnika.

Kako funkcioniše nonce

WordPress koristi nonce (number used once) kao dodatni sloj zaštite protiv CSRF napada. Nonce je vremenski ograničen token koji WordPress generiše za ulogovanog korisnika i koji se mora poslati uz svaki mutating zahtev (POST, PUT, DELETE). JavaScript kod ga dobija putem wp_localize_script() funkcije ili wpApiSettings.nonce globalne promenljive u admin panelu.

• Generisanje - wp_create_nonce('wp_rest') na server strani
• Prosleđivanje - wp_localize_script() za prosleđivanje nonce-a u JavaScript
• Slanje - X-WP-Nonce header ili _wpnonce query parametar
• Validnost - nonce istice nakon 24 sata (dve WordPress nonce periode od 12h)
• Revalidacija - za dugotrajne sesije, periodično zatrazite novi nonce putem API-ja

Cookie autentifikacija je idealna za JavaScript kod koji se izvrsava na samom WordPress sajtu jer ne zahteva nikakvu dodatnu konfiguraciju osim ispravnog prosleđivanja nonce-a. Nije pogodna za eksterne aplikacije jer one ne mogu pristupiti WordPress cookie-ju. Takođe, imajte na umu da nonce istice i da dugotrajne sesije zahtevaju mehanizam za osvezavanje tokena kako korisnik ne bi dobio 403 grešku usred rada.

Application Passwords

Application Passwords su uvedeni u WordPress 5.6 kao ugrađena metoda za autentifikaciju eksternih aplikacija bez davanja glavne lozinke korisnika. Svaki korisnik može kreirati više application password-a sa opisnim nazivima (npr. Mobile App, Zapier Integration, Custom Script) i svaki se može nezavisno opozvati bez uticaja na ostale ili na glavnu lozinku korisnika.

Kreiranje i korišćenje

Application password se kreira u WordPress admin panelu pod Users, Edit User, Application Passwords sekcija. Unosite naziv aplikacije i WordPress generiše lozinku od 24 karaktera grupisanu u 4 grupe od 6 karaktera razdvojene razmakom. Ova lozinka se koristi za HTTP Basic Authentication gde se username i application password šalju u Authorization hederu kodirani u base64 formatu.

Zahtev sa Application Password izgleda kao standardni HTTP Basic Auth: Authorization header sadrži Basic nakon cega sledi base64 kodirani string username:application_password. Razmaci u lozinki se ignorisu pa ih možete ukloniti ili ostaviti. WordPress automatski prepoznaje da je u pitanju Application Password a ne glavna lozinka korisnika i primenjuje odgovarajuce dozvole.

Prednosti i ograničenja

• Jednostavnost - ugrađena funkcionalnost bez potrebe za pluginima
• Granularna kontrola - svaka aplikacija ima sopstvenu lozinku koja se može opozvati
• Logging - WordPress beleži poslednje korišćenje svake application lozinke
• Ogranicenje - radi samo preko HTTPS jer Basic Auth šalje kredencijale u svakom zahtevu
• Ogranicenje - nema scope ili permission granularnost izvan korisničke uloge

Application Passwords su odlican izbor za server-to-server integracije, idealno za VPS hosting okruženja, automatizacione skripte i aplikacije gde je jednostavnost važnija od granularne kontrole pristupa. Obavezno koristite HTTPS jer se kredencijali šalju u svakom zahtevu i bez HTTPS-a mogu biti presretnuti. Za produkcione integracije kreirajte zasebnog WordPress korisnika sa minimalnim potrebnim dozvolama umesto da koristite admin nalog.

OAuth 2.0

OAuth 2.0 je industrijski standard za autorizaciju koji koriste Google, Facebook, GitHub i mnogi drugi servisi. WordPress nema ugrađenu OAuth podršku ali je dostupna kroz plugine kao što su WP OAuth Server i OAuth 2.0 Provider. OAuth je idealan za scenarije gde želite da omogućite third-party aplikacijama pristup vašem WordPress API-ju sa preciznom kontrolom nad dozvolama bez deljenja korisničkih kredencijala.

OAuth 2.0 flow

Najčešći OAuth flow za web aplikacije je Authorization Code flow koji se sastoji od nekoliko koraka. Aplikacija preusmeri korisnika na WordPress authorize endpoint gde korisnik odobrava pristup. WordPress preusmeri korisnika nazad na aplikaciju sa authorization code-om. Aplikacija zamenjuje code za access token pozivom na token endpoint. Access token se zatim koristi za API zahteve u Authorization Bearer hederu.

• Authorization Code - najsigurniji flow za web aplikacije sa serverskom stranom
• Implicit - za SPA aplikacije bez servera (manje siguran, obično se ne preporučuje)
• Client Credentials - za server-to-server komunikaciju bez korisničkog konteksta
• PKCE - Proof Key for Code Exchange, poboljšava sigurnost za mobilne i SPA aplikacije

OAuth pruža najvisci nivo kontrole i bezbednosti ali je i najkompleksniji za implementaciju. Access tokeni imaju ograničen rok trajanja i koriste se refresh tokeni za dobijanje novih bez ponovne autorizacije korisnika. Scope parametar definise koje dozvole aplikacija traži što daje korisniku transparentnost o tome šta aplikacija može da radi sa njihovim podacima.

JWT (JSON Web Tokens)

JWT autentifikacija je popularna alternativa za REST API pristup koja koristi tokene umesto sesija. JWT token je potpisan string koji sadrži informacije o korisniku i dozvolama i koji se šalje u Authorization hederu svakog zahteva. WordPress nema ugrađenu JWT podršku ali je dostupna kroz plugine kao što su JWT Authentication for WP REST API i Simple JWT Login.

Kako JWT funkcioniše

Korisnik šalje username i password na token endpoint (obično /wp-json/jwt-auth/v1/token) i dobija JWT token u odgovoru. Ovaj token se zatim šalje u Authorization: Bearer hederu svih API zahteva. Server verifikuje potpis tokena i izvlaci informacije o korisniku bez potrebe za pretragom u bazi podataka što čini JWT efikasnijim za visoko opterecene API-je.

JWT token se sastoji od tri dela razdvojena tačkama: header (algoritam i tip tokena), payload (podaci o korisniku, vreme isteka, izdavac) i signature (kriptografski potpis koji garantuje integritet tokena). Token se može dekodirati na klijentskoj strani ali se ne može falsifikovati bez secret key-a koji je poznat samo serveru. Ovo omogućava klijentu da pročita informacije o korisniku iz tokena bez dodatnog API poziva.

Prednosti JWT-a

• Stateless - server ne čuva sesije što olakšava skaliranje
• Self-contained - token sadrži sve potrebne informacije o korisniku
• Cross-domain - radi sa različitim domenima bez CORS problema sa cookie-jima
• Mobilne aplikacije - idealan za mobilne aplikacije koje ne koriste cookie-je
• Performanse - verifikacija tokena ne zahteva upit ka bazi podataka

Poređenje metoda autentifikacije

Izbor metode autentifikacije zavisi od vašeg specifičnog scenarija. Cookie i nonce su idealni za JavaScript na istom sajtu jer ne zahtevaju dodatnu konfiguraciju. Pogledajte naše hosting planove za WordPress sajtove za optimalno okruženje. Application Passwords su najbolji za jednostavne server-to-server integracije i skripte jer su ugrađeni i laki za korišćenje. OAuth 2.0 je pravi izbor za third-party aplikacije gde je potrebna granularna kontrola pristupa i korisnička autorizacija. JWT je optimalan za mobilne aplikacije i SPA framework-e koji komuniciraju sa WordPress-om kao headless CMS-om.

Bezbednosne preporuke

• Uvek koristite HTTPS - sve metode autentifikacije zahtevaju enkriptovanu konekciju
• Minimalne dozvole - kreirajte korisnike sa samo potrebnim dozvolama za API pristup
• Token rotation - implementirajte refresh tokene i kratke access token rokove
• Rate limiting - ogranicite broj zahteva po korisniku za zaštitu od brute-force napada
• Logging - belezite sve API zahteve za audit i detekciju zlonamernih aktivnosti
• CORS konfiguracija - ogranicite pristup API-ju samo sa dozvoljenih domena

Za produkcione aplikacije preporučujemo kombinaciju više metoda gde svaka pokriva različit scenarij. Cookie autentifikacija za admin panel i frontend interakcije, Application Passwords za interne skripte i automatizaciju, JWT za mobilne aplikacije i OAuth za third-party integracije. Redovno revidirajtie aktivne tokene i application passwords i opozivajte one koji se više ne koriste jer svaki aktivni token je potencijalni vektor napada.