Snippets

Desabilitar REST API WordPress: Segurança e Performance

Por bernardocollet • 23 de fevereiro de 2026 • 9 min de leitura

Desabilitar REST API WordPress: Aumente Sua Segurança e Performance

O WordPress REST API é uma ferramenta poderosa que facilita a comunicação entre o seu site e outras aplicações, permitindo a criação de interfaces dinâmicas, aplicativos móveis e integrações com serviços externos. No entanto, para muitos proprietários de sites que não utilizam essas funcionalidades avançadas, o REST API pode se tornar um vetor de segurança desnecessário ou até mesmo um gargalo de performance. Portanto, aprender a desabilitar REST API WordPress é uma estratégia inteligente para otimizar seu site. Este guia completo oferece snippets de código eficazes e as melhores práticas para garantir que seu site permaneça seguro, rápido e eficiente, sem comprometer funcionalidades essenciais.

Por Que Desabilitar o REST API no WordPress?

Apesar de suas inegáveis vantagens para desenvolvedores e aplicações modernas, o REST API expõe dados do seu site que, em certos cenários, não precisam estar acessíveis publicamente. Assim, desabilitá-lo pode trazer diversos benefícios:

Melhora na Segurança: Reduz a superfície de ataque do seu site. Menos pontos de entrada significam menos oportunidades para atores mal-intencionados explorarem vulnerabilidades.
Otimização de Performance: Diminui a quantidade de requisições HTTP que seu servidor precisa processar, especialmente de bots ou scanners que tentam acessar o endpoint /wp-json/, liberando recursos e acelerando o carregamento da página.
Proteção da Privacidade: Evita a exposição de informações sensíveis, como nomes de usuários, IDs de posts ou categorias, que podem ser inferidos através do REST API.
Simplicidade e Controle: Se você não usa o REST API, removê-lo simplifica a arquitetura do seu site e lhe dá mais controle sobre o que está sendo executado em segundo plano.

É crucial, contudo, avaliar se seu site realmente não precisa do REST API. Muitos temas e plugins modernos, incluindo o editor de blocos Gutenberg e o WooCommerce, dependem dele. Antes de prosseguir com a decisão de desabilitar REST API WordPress, certifique-se de que a desativação não prejudicará a funcionalidade do seu site.

Identificando o Uso do REST API em Seu Site

Antes de implementar qualquer snippet para desabilitar REST API WordPress, é fundamental verificar se algum componente do seu site o utiliza. Você pode fazer isso de algumas maneiras:

Verifique Seus Plugins e Temas: Muitos plugins de construtor de páginas, galerias, formulários ou e-commerce (como o WooCommerce) utilizam o REST API para sua funcionalidade. Consulte a documentação deles.
Use as Ferramentas de Desenvolvedor do Navegador: Abra o console do navegador (F12) e verifique a aba ‘Rede’. Monitore as requisições enquanto navega pelo seu site. Procure por requisições para /wp-json/.
Acesse o Endpoint Diretamente: Tente acessar seusite.com.br/wp-json/. Se você vir uma resposta JSON, o API está ativo.

Se você encontrar dependências, considere desabilitar o API seletivamente, em vez de completamente, conforme abordaremos nos próximos snippets.

Snippets Essenciais para Desabilitar o REST API no WordPress

Aqui estão os snippets de código que você pode usar para desativar ou restringir o acesso ao REST API. Lembre-se de adicionar esses códigos ao arquivo functions.php do seu tema filho ou através de um plugin de snippets personalizado para evitar perder as alterações em futuras atualizações do tema.

1. Desabilitar Completamente o REST API

Esta é a opção mais drástica e deve ser usada apenas se você tiver certeza absoluta de que seu site não utiliza nenhuma funcionalidade que dependa do REST API. Este snippet remove completamente o acesso, tanto para usuários logados quanto para visitantes.

add_filter('rest_enabled', '__return_false');
add_filter('rest_json_enabled', '__return_false');

Explicação: As funções rest_enabled e rest_json_enabled controlam a ativação do REST API principal e do JSON REST API, respectivamente. Ao filtrá-las para retornar false, nós efetivamente desativamos ambos os componentes. Este método é direto e eficaz para sites que buscam máxima segurança e não possuem dependências do API.

2. Desabilitar o REST API Apenas para Usuários Não Logados

Se seu site precisa do REST API para funcionalidades administrativas (por exemplo, o editor Gutenberg), mas você deseja proteger o acesso público, este snippet é ideal. Ele permite que usuários logados (administradores, editores) continuem usando o API, enquanto bloqueia o acesso para visitantes.

add_filter('rest_authentication_errors', function($result) {
    if (!empty($result) && is_wp_error($result)) {
        return $result;
    }
    if (!is_user_logged_in()) {
        return new WP_Error('rest_not_logged_in', 'Você não tem permissão para acessar o REST API.', array('status' => 401));
    }
    return $result;
});

Explicação: Este filtro intercepta erros de autenticação do REST API. Se um usuário não estiver logado (!is_user_logged_in()), ele retorna um erro WP_Error com status 401 (Não Autorizado), impedindo o acesso. Usuários logados, no entanto, mantêm o acesso normal. Esta é uma forma eficiente de desabilitar REST API WordPress para o público geral.

3. Remover os Links do REST API do Cabeçalho

Mesmo que você desabilite o REST API, o WordPress por padrão ainda pode adicionar links para o API no cabeçalho HTML do seu site (<link rel="https://api.w.org/" />). Embora não representem um risco de segurança direto, removê-los contribui para um código mais limpo e pode oferecer uma micro-otimização de performance.

remove_action('wp_head', 'rest_output_link_wp_head', 10);
remove_action('template_redirect', 'rest_output_link_header', 11);

Explicação: As ações wp_head e template_redirect são responsáveis por injetar esses links. Ao usar remove_action, nós removemos esses links do cabeçalho HTML e dos cabeçalhos HTTP, respectivamente. Isso resulta em um código-fonte mais limpo e reduz o tamanho do cabeçalho da página.

4. Desabilitar o REST API Via .htaccess (Para Usuários Avançados)

Para uma camada extra de segurança, você pode bloquear o acesso ao endpoint /wp-json/ diretamente no arquivo .htaccess do seu servidor. Este método é mais robusto, pois o bloqueio ocorre antes mesmo que o WordPress seja carregado completamente. No entanto, uma configuração incorreta pode causar erros em seu site. É uma forma poderosa de desabilitar REST API WordPress em nível de servidor.

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REQUEST_URI} ^.*wp-json.*$
    RewriteRule . - [F]
</IfModule>

Explicação: Este código usa o módulo mod_rewrite do Apache. Ele verifica se a URI da requisição contém wp-json. Se sim, a regra RewriteRule . - [F] nega o acesso (F de Forbidden), resultando em um erro 403. Use com cautela e teste exaustivamente, pois pode impactar diretamente plugins que dependem do REST API.

5. Desabilitar o REST API para Usuários Específicos ou Roles

Em cenários onde você precisa de um controle mais granular, é possível permitir o acesso ao REST API apenas para usuários com certas capacidades ou papéis (roles). Este snippet é mais avançado, mas oferece flexibilidade para gerenciar quem pode acessar o API.

add_filter('rest_authentication_errors', function($result) {
    if (!empty($result) && is_wp_error($result)) {
        return $result;
    }

    // Permite acesso apenas para administradores
    if (is_user_logged_in() && current_user_can('manage_options')) {
        return $result;
    }

    // Bloqueia todos os outros
    return new WP_Error('rest_forbidden_access', 'Você não tem permissão para acessar o REST API.', array('status' => 403));
});

Explicação: Similar ao snippet de “não logados”, este código verifica se o usuário está logado e, além disso, se possui a capacidade manage_options (normalmente atribuída a administradores). Se o usuário não atender a esses critérios, o acesso é negado com um erro 403. Você pode modificar 'manage_options' para outras capacidades ou usar current_user_can('editor'), por exemplo, para permitir editores. Esta abordagem permite desabilitar REST API WordPress de forma inteligente para a maioria dos usuários.

Considerações Importantes e Melhores Práticas

Antes de aplicar qualquer um dos snippets para desabilitar REST API WordPress, considere estes pontos:

Teste em Ambiente de Staging: Sempre implemente e teste essas alterações em um ambiente de desenvolvimento ou staging antes de aplicá-las em seu site de produção. Isso evita problemas inesperados para seus visitantes.
Backup: Faça um backup completo do seu site (arquivos e banco de dados) antes de fazer modificações no código.
Dependências de Plugins/Temas: Verifique se seus plugins e temas ativos dependem do REST API. Plugins como Elementor, Beaver Builder, WooCommerce, e até mesmo o próprio editor de blocos do WordPress (Gutenberg) podem ser afetados. Se você usa o Gutenberg, o REST API é essencial para seu funcionamento.
Alternativas à Desativação Completa: Se você precisa do REST API para algumas funções, mas quer aumentar a segurança, considere as opções de desativação seletiva (para não logados ou por função de usuário) ou limite o acesso via firewall ou plugins de segurança.

Garantindo a Segurança Além do REST API

Desabilitar o REST API é um passo importante, mas a segurança do seu site WordPress é um esforço contínuo. Além disso, implemente estas práticas:

Mantenha o WordPress, temas e plugins sempre atualizados.
Use senhas fortes e autenticação de dois fatores.
Instale um plugin de segurança robusto (como Wordfence ou Sucuri).
Utilize um firewall de aplicação web (WAF).
Faça backups regulares do seu site.

Otimizando a Performance Após Desativar o REST API

A desativação do REST API pode contribuir para a performance, mas outras otimizações são igualmente cruciais. Portanto, considere:

Implementar um plugin de cache (WP Rocket, LiteSpeed Cache).
Otimizar imagens.
Usar uma CDN (Content Delivery Network).
Escolher uma hospedagem de qualidade.

Conclusão: Mais Segurança e Performance para Seu Site

Dominar a arte de desabilitar REST API WordPress é uma habilidade valiosa para qualquer proprietário de site preocupado com segurança e performance. Ao aplicar os snippets e seguir as melhores práticas apresentadas neste guia, você pode reduzir significativamente a superfície de ataque do seu site e otimizar seus recursos. Lembre-se, a decisão de desabilitar o REST API deve ser informada e baseada nas necessidades específicas do seu projeto. Portanto, analise cuidadosamente as dependências do seu site antes de implementar as mudanças.

Sua segurança e a performance do seu site são primordiais. Implemente estas dicas hoje mesmo e sinta a diferença! Se você tiver dúvidas ou quiser compartilhar sua experiência, deixe um comentário abaixo.