Comment fonctionne admin-ajax.php?

admin-ajax.phpfaitpartie de l ' API AJAX WordPress ,et oui,ilgère les demandes dubackendet dufront.Essayez dene pas vousinquiéter dufait qu'il setrouve dans wp-admin.Jepense que c'est unendroit étrangepour cela aussi,mais cen'estpas unproblème de sécuritéen soi.Comment cela se rapporte à "énumérer les administrateurs",je ne saispas.

admin-ajax.php is part of the WordPress AJAX API, and yes, it does handle requests from both backend and front. Try not to worry about the fact that it is in wp-admin. I think that is a strange place for it too, but it is not a security problem in itself. How this relates to "enumerate the admins", I don't know.

Pour les utilisateursnon authentifiéset non approuvés,vous voudrezfaire deuxexceptions spécifiques à votre VPN/Firewall/Apache .htaccess,qui sont:

• example.com/wp-admin/admin-post.php
• example.com/wp-admin/admin-ajax.php

Ce sont deuxpoints determinaison auto-magiques utilisésparbeaucoup à lafoispar WPinterneet par diversplugins.

Voici quelquesexplications sur ce quefait admin-post.php:

• https://www.sitepoint.com/handling-post-demandes-the-wordpress-way/

admin-ajax.phpfonctionne d'unemanièretrès similaire,et uneexplication utileest ici.

For unauthenticated and untrusted users, you'll want to make two specific exceptions to your VPN / Firewall / Apache .htaccess, which are:

• example.com/wp-admin/admin-post.php
• example.com/wp-admin/admin-ajax.php

These are two auto-magic endpoints used by a lot by both internal WP and also various plugins.

Here's some explanation of what admin-post.php does:

• https://www.sitepoint.com/handling-post-requests-the-wordpress-way/

admin-ajax.php works in a very similar way, and a helpful explanation is here.

Si vous souhaitez limiter l'accès aubackend WP (ex: wp-admin),utilisez simplement une règle .htaccess sur le wp-admin répertoire.

Consultez cet articlepour uneprésentationgénérale: Protégerparmot depasse un répertoire à l'aide de .htaccess

Consultez également cette rubriquepour votre cas spécifique: Protectionparmot depasse/wp-admin/

If you want to limit access to the WP backend (ex: wp-admin), just use a .htaccess rule on the wp-admin directory.

Check out this article for a general overview: Password Protect a Directory Using .htaccess

Also check out this topic for your specific case: Password protecting /wp-admin/

Mon opinionpersonnelleest que c'est uneidéeterrible de Dieu. Il y aenviron deuxmois,notre directeur du développement ainsistépour quenousfassionsexactement cela,bien contre l'avis de l'équipe de développement. C'est un véritable cauchemaret une douleurincroyablepournous,non seulement celatue ajaxtousensemble,mais celaposetant deproblèmes d'administrationpournous.

Nous avons 40employés régulierset 4 développeurs quiessaientparfois d'utiliser le vpnet celabégaie,et tous les utilisateurs ontmaintenantbesoin de deuxensembles demots depasse,unpour wpet unpour vpnet cen'estpas seulement unmot depassepartagé,c'estindividuel les uns,je veux dire commentferiez-vous autrement un audit de sécurité. Ilest déjà assez difficile de se souvenir d'unmot depasse sécurisé,et encoremoins de deux.

Ajoutez auproblème quebeaucoup degensne saventpas comment utiliser un VPNet souvent cela cause simplementplus deproblèmes.

Enfin de compte,c'est uneidéeterribleet elleest souventmiseen avantpar la direction ouplus quine connaîtpas oune comprendpas WordPress. Ils le voient sous unjourterrible,queparce qu'ilest open source,il doit aussi être unproblème de sécurité,rempli d'exploitsfaciles àexploiteret ainsi de suite ... ça vieillit.

WordPressest sécuriséet coller wp-admin derrière un VPNn'estpas seulement une source depeur,ilprésente un cauchemarpour chaquemembre de l'équipe

Pourquoi lestypes degestionn'ont-ils aucune confianceen ce qui concerne WordPress,ils semblent oublier que lesprincipaux sites utilisent WordPresset n'utilisentpas de VPN,regardezmashableparexemple.

Pour récapituler:

Ajaxne fonctionnerapas derrière un VPN.

VPNest uneidéeterriblepour les raisonsmentionnées ci-dessus

WordPressest sécuriséet le restera si vous legardezet lesplugins àjour.

Écoutez votre développeur,vous lepayezpour sonexpertise. Jepeux vouspromettre que rienne porte atteinte à une relation detravail commene pasfaire confiance à unindividuet devoir vérifier ses connaissances.

Si vous optezpour vpn,assurez-vous d'acheter suffisamment de licences utilisateur.

My personal opinion is that this is a god awful idea. About two months ago our director of development insisted we do just this, much against the advice of the Dev team. It's a genuine nightmare and an incredible pain for us, not only does it kill ajax all together it presents so many administration issues for us.

We have 40 regular staff and 4 devs trying to use the vpn at times and it just stutters, along with that all users now require two sets of passwords one for wp and one for vpn and that's not just a shared password it's individual ones, I mean how else would you do a security audit. It's hard enough to remember one secure password, let alone two.

Add to the issue that a lot of people do not know how to use a vpn and often that just causes more issues.

Ultimately it's a terrible idea and it's often put forward by management or higher who do not know or understand WordPress. They see it in a terrible light, that because it's open source it must also be a security issue, filled with easily tapped exploits and so on.... its getting old.

WordPress is secure and sticking wp-admin behind a vpn is not only fear mongering it presents a nightmare for every member of the team

Why is it that management types have no trust when it comes to WordPress, they seem to forget major sites use WordPress and don't use vpns, look at mashable for example.

So to recap:

Ajax won't work behind a vpn.

Vpn is a terrible idea for reasons mentioned above

WordPress is secure and will remain so if you keep it and plugins up to date.

Listen to your Dev, you pay them for their expertise. I can promise you, that nothing undermines a working relationship like not putting your trust into an individual and having to check up on their knowledge.

If you do go with vpn, be sure to buy enough user licenses.