WooCommerce REST API: как разрешить доступ по IP-адресам для безопасности

add_filter('rest_authentication_errors', function($result) {
    if ($result !== null) {
        return $result; // Уже произошла ошибка аутентификации
    }

    $allowed_ips = [
        '123.45.67.89', // IP вашего сервера
        '98.76.54.32'
    ];

    $client_ip = $_SERVER['REMOTE_ADDR'] ?? '';

    if (!in_array($client_ip, $allowed_ips, true)) {
        return new WP_Error(
            'rest_forbidden_ip',
            'Доступ к API разрешён только с определённых IP-адресов.',
            ['status' => 403]
        );
    }

    return $result;
});

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/wp-json/wc/v3/ [NC]
RewriteCond %{REMOTE_ADDR} !^123\.45\.67\.89$
RewriteCond %{REMOTE_ADDR} !^98\.76\.54\.32$
RewriteRule .* - [R=403,L]
</IfModule>

Шаблоны для WP Плагины для WP

Зачем ограничивать доступ к WooCommerce REST API по IP

WooCommerce REST API предоставляет мощные возможности для управления заказами, товарами и другими данными из внешних систем. Однако открытый доступ к API без ограничений может привести к утечке данных или атакам. Один из надёжных способов повысить безопасность — разрешить доступ только с определённых IP-адресов, например, серверов вашего партнёра или CRM.

Диагностика: как понять, что нужно ограничить доступ по IP

Если вы замечаете подозрительную активность в логах сервера:

• частые ошибки 401 или 403 при корректной авторизации;
• большое количество запросов с неизвестных IP;
• попытки перебора ключей API;

— это сигнал проверить настройки безопасности и добавить фильтрацию по IP.

Как реализовать ограничение доступа по IP для WooCommerce REST API

1. Добавление проверки IP через хук rest_authentication_errors

Самый безопасный и удобный способ — использовать хук rest_authentication_errors, который позволяет прервать обработку REST API запроса с ошибкой, если IP не соответствует списку разрешённых.

add_filter('rest_authentication_errors', function($result) {
    if ($result !== null) {
        return $result; // Уже произошла ошибка аутентификации
    }

    $allowed_ips = [
        '123.45.67.89', // IP вашего сервера
        '98.76.54.32'
    ];

    $client_ip = $_SERVER['REMOTE_ADDR'] ?? '';

    if (!in_array($client_ip, $allowed_ips, true)) {
        return new WP_Error(
            'rest_forbidden_ip',
            'Доступ к API разрешён только с определённых IP-адресов.',
            ['status' => 403]
        );
    }

    return $result;
});

2. Альтернатива: ограничение доступа в .htaccess для Apache

Если сервер использует Apache, можно ограничить доступ к REST API через .htaccess — это снизит нагрузку, блокируя запросы ещё на уровне веб-сервера:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/wp-json/wc/v3/ [NC]
RewriteCond %{REMOTE_ADDR} !^123\.45\.67\.89$
RewriteCond %{REMOTE_ADDR} !^98\.76\.54\.32$
RewriteRule .* - [R=403,L]
</IfModule>

Однако этот метод менее гибкий, особенно если WooCommerce REST API используется совместно с другими REST API.

Проверка результата после внедрения ограничения по IP

Чтобы проверить, что ограничение сработало:

1. Сделайте запрос к WooCommerce REST API с разрешённого IP — запрос должен выполняться без ошибок (HTTP 200 или другой успешный статус).
2. Сделайте запрос с IP, которого нет в списке — должен возвращаться HTTP 403 с сообщением Доступ к API разрешён только с определённых IP-адресов.
3. Проверьте логи сервера на наличие блокировок и ошибок.

Частые ошибки при ограничении доступа по IP и их решение

• Неверный IP клиента: Если вы используете прокси или CDN (Cloudflare, Nginx reverse proxy), $_SERVER['REMOTE_ADDR'] может содержать IP прокси. В этом случае используйте $_SERVER['HTTP_X_FORWARDED_FOR'] или настройте сервер для корректной передачи IP.
• Пропущенный хук: Добавление фильтра вне functions.php или плагина может не сработать. Убедитесь, что код загружается при инициализации REST API.
• Ошибки синтаксиса в .htaccess: Проверьте правильность регулярных выражений и экранирование точек.

Практические советы по безопасности и производительности

• Используйте собственный список IP, обновляйте его регулярно.
• Комбинируйте ограничение IP с проверкой аутентификации через ключи API или OAuth.
• Для ускорения обработки запросов используйте кэширование ответов REST API с помощью специализированных плагинов или серверных решений.
• В случае использования Cloudflare или другого CDN настройте их правила брандмауэра для блокировки нежелательных IP.
• Документируйте внесённые изменения, чтобы в будущем можно было быстро обновить или отключить фильтрацию.

Сравнение способов ограничения доступа к WooCommerce REST API