WordPress REST API 제한을 통한 Static Site용 보안 폼 백엔드 구축

Using a locked-down WordPress as the form backend for my static sites

Vitalii Kiiko2026년 6월 19일4분intermediate

AI 요약

Context

정적 사이트의 폼 처리 시 발생하는 제3자 서비스 의존성 및 데이터 제어권 상실 문제 분석. 외부 서비스 이용에 따른 반복 비용 발생과 데이터 저장소의 불확실성을 해결하기 위한 자체 백엔드 필요성 대두.

REST API 네임스페이스 제한을 통한 /craftforms/ 경로 외 모든 API 요청 403 차단 및 User Enumeration 방지
XML-RPC 비활성화를 통한 Brute-force 및 Pingback DDoS 공격 벡터 제거
template_redirect 훅을 활용한 비로그인 사용자의 Public HTML 접근 완전 차단
/wp-login.php 경로 변경으로 관리자 페이지 노출 최소화 및 공격 표면(Attack Surface) 제거
Static Frontend에서 JSON POST 요청을 통한 Headless 방식의 데이터 제출 아키텍처 구현
mu-plugins(Must-Use Plugins) 적용으로 플러그인 활성화 단계 없는 강제적 보안 정책 집행

실천 포인트

1. CMS 도입 시 REST API의 전체 공개 여부 및 특정 Namespace 제한 가능성 검토

2. Public Frontend가 필요 없는 경우 HTTP 403 응답을 통한 접근 제어 적용

3. 보안 취약점이 많은 XML-RPC 및 기본 로그인 경로의 커스텀 변경 적용

4. 외부 종속성 제거를 위해 데이터 저장소 및 SMTP 전송 제어권 확보 방안 마련

태그