La réponse acceptée désactive tous les appels API pour les utilisateurs non authentifiés, mais de nos jours, de nombreux plugins s'appuient sur cette fonctionnalité API.

La désactivation de tous les appels entraînera un comportement inattendu du site Web, ce qui m'est également arrivé lors de l'utilisation de ce code.

Par exemple, ContactForm7 utilise cette API pour envoyer les informations de contact à la base de données (je pense) et effectuer la validation ReCaptcha.

Je pense qu'il est préférable de désactiver certains points de terminaison (par défaut) pour les utilisateurs non authentifiés, comme ceci :

// Disable some endpoints for unauthenticated users
add_filter( 'rest_endpoints', 'disable_default_endpoints' );
function disable_default_endpoints( $endpoints ) {
    $endpoints_to_remove = array(
        '/oembed/1.0',
        '/wp/v2',
        '/wp/v2/media',
        '/wp/v2/types',
        '/wp/v2/statuses',
        '/wp/v2/taxonomies',
        '/wp/v2/tags',
        '/wp/v2/users',
        '/wp/v2/comments',
        '/wp/v2/settings',
        '/wp/v2/themes',
        '/wp/v2/blocks',
        '/wp/v2/oembed',
        '/wp/v2/posts',
        '/wp/v2/pages',
        '/wp/v2/block-renderer',
        '/wp/v2/search',
        '/wp/v2/categories'
    );

    if ( ! is_user_logged_in() ) {
        foreach ( $endpoints_to_remove as $rem_endpoint ) {
            // $base_endpoint = "/wp/v2/{$rem_endpoint}";
            foreach ( $endpoints as $maybe_endpoint => $object ) {
                if ( stripos( $maybe_endpoint, $rem_endpoint ) !== false ) {
                    unset( $endpoints[ $maybe_endpoint ] );
                }
            }
        }
    }
    return $endpoints;
}

De cette façon, les seuls points de terminaison ouverts maintenant sont ceux installés par le plugin.

Pour une liste complète des points de terminaison actifs sur votre site, voir https://YOURSITE.com/wp-json/

Vous êtes libre de modifier le tableau $endpoints_to_remove selon vos besoins.

Si vous avez des types de publications personnalisés, assurez-vous de tous les ajouter à la liste.

Dans mon cas, J'ai également modifié le préfixe du point de terminaison par défaut de wp-json 更改为 mybrand-api. Cela devrait dissuader les robots d’effectuer des milliers de requêtes par force brute.

Voici ce que j'ai fait :

// Custom rest api prefix (Make sure to go to Dashboard > Settings > Permalinks and press Save button to flush/rewrite url cache )
add_filter( 'rest_url_prefix', 'rest_api_url_prefix' );
function rest_api_url_prefix() {
    return 'mybrand-api';
}

Sur la base de la question originale de l'auteur, j'ai choisi l'option 2 de la suggestion officielle de WordPress (https://developer.wordpress.org/rest-api/using-the-rest-api/frequently-asked-questions/#can- je-désactive-le-reste-api). Il suffit donc de mettre votre fichier function.php et de laisser uniquement les utilisateurs connectés utiliser le reste de l'API (mais vérifiez simplement le lien d'origine au cas où mon bloc de code serait obsolète ;) ): Mise à jour (1er octobre 2021) :

add_filter( 'rest_authentication_errors', function( $result ) {
    // If a previous authentication check was applied,
    // pass that result along without modification.
    if ( true === $result || is_wp_error( $result ) ) {
        return $result;
    }

    // No authentication has been performed yet.
    // Return an error if user is not logged in.
    if ( ! is_user_logged_in() ) {
        return new WP_Error(
            'rest_not_logged_in',
            __( 'You are not currently logged in.' ),
            array( 'status' => 401 )
        );
    }

    // Our custom authentication check should have no effect
    // on logged-in requests
    return $result;
});