Bezpečnost a dostupnost
Hlavičky, XML-RPC, REST users
Chybí security.txt, XML-RPC je otevřené, nebo REST vypisuje uživatele — nálezy Health a Guard.
Typický příznak
Průzkumník hlásí bezpečnostní nálezy, penetration test našel xmlrpc.php, enumerace autorů.
Puluno moduly
HealthGuard
Vrácení změny
Ano — vrátit v Center
Kódy nálezů
security_txt_missing, xmlrpc_public, rest_users_public, hsts_missing, csp_missing
Co vidíte
security_txt_missing,xmlrpc_public,rest_users_public, chybějící HSTS/CSP/X-Frame-Options./wp-json/wp/v2/usersvrací seznam loginů.- Brute-force pokusy na
xmlrpc.phpv logu hostingu. - Klient dostal audit „WordPress není hardened“.
Proč to vzniká
WordPress default není minimal attack surface. Pluginy a hosting to často nechají otevřené.
Typické rizika:
- XML-RPC pro pingback / starý mobilní klient — dnes často zbytečné.
- REST users endpoint pro Gutenberg — veřejný bez autentizace.
- Chybí
/.well-known/security.txtpro responsible disclosure. - Chybí HSTS / X-Frame-Options (Guard / Health).
Co udělá Puluno
| Fáze | Modul | Akce |
|---|---|---|
| Diagnóza | Průzkumník + Health | hlavičky, endpointy, security.txt |
| Apply | Health | hardening presets (XML-RPC off, REST users) |
| Apply | Guard | security.txt draft, monitoring |
| Verify | Průzkumník | stejná URL — nálezy pryč |
Ne vše jde Apply — některé hlavičky patří na nginx / Cloudflare.
Krok za krokem
- Průzkumník — bezpečnostní sekce, zapište kódy nálezů.
- Health Center → Apply hardening (po záloze).
- Ověřte, že legitimní služby nepoužívají XML-RPC (Jetpack, některé sync).
- security.txt — publikujte kontakt pro bezpečnostní reporty.
- HSTS a další hlavičky — hosting nebo Cloudflare Transform Rules.
- Verify: Průzkumník znovu.
Rollback — vrátit změnu
Health hardening lze vrátit v Center — rollback presetu.
XML-RPC vypnutí: pokud něco přestane fungovat, rollback a hledejte závislost.
Kdy to není na Puluno
- WAF na úrovni hostingu už útoky filtruje — nález může být informativní.
- Headless WP bez classic REST — jiná architektura.
- Puluno není WAF — nečekejte firewall jako Wordfence.