Proxy API et sécurité

# MAUVAIS : le navigateur appelle directement WordPress
Browser → https://cms.monsite.fr/wp-json/wp/v2/posts
                    ↑
          L'URL WordPress est exposée dans le DevTools
          Navigateur, attaques ciblées, robots...

# BON : le navigateur appelle ton propre domaine
Browser → https://www.monsite.fr/api/wp-json/wp/v2/posts
                         ↓
              Proxy (Cloudflare/Next.js)
                         ↓
          https://cms.monsite.fr/wp-json/wp/v2/posts
                    ↑
          URL invisible pour le visiteur

// next.config.ts

import type { NextConfig } from 'next'

const nextConfig: NextConfig = {
  async rewrites() {
    return [
      {
        source: '/api/wp-json/:path*',
        destination: 'http://mon-cms-headless.local/wp-json/:path*',
      },
    ]
  },
}

export default nextConfig

// functions/api/[[path]].ts
// Catch-all : intercepte toutes les requêtes /api/*

interface Env {
  WP_API_ORIGIN: string  // https://cms.monsite.fr
}

export const onRequest: PagesFunction<Env> = async (context) => {
  const url = new URL(context.request.url)

  // Reconstruit l'URL WordPress
  const wpPath = url.pathname.replace(/^\/api/, '')
  const wpUrl = `${context.env.WP_API_ORIGIN}${wpPath}${url.search}`

  // Transmet la requête avec les cookies
  const wpResponse = await fetch(wpUrl, {
    method: context.request.method,
    headers: context.request.headers,
    body: context.request.method !== 'GET'
      ? await context.request.text()
      : undefined,
  })

  // Renvoie la réponse au navigateur
  const response = new Response(wpResponse.body, {
    status: wpResponse.status,
    headers: wpResponse.headers,
  })

  return response
}

# .htaccess (Apache / o2switch)

# Bloque l'accès direct à wp-json sauf depuis le proxy
<IfModule mod_rewrite.c>
  RewriteEngine On

  # Autorise les requêtes depuis le proxy Cloudflare
  # et les requêtes internes (wp-admin)
  RewriteCond %{HTTP:X-Forwarded-For} !^(104\.16\.|172\.67\.)
  RewriteCond %{REQUEST_URI} ^/wp-json/
  RewriteCond %{HTTP_REFERER} !^https://cms\.monsite\.fr
  RewriteRule ^ - [F,L]
</IfModule>

<?php
// Dans un plugin : restreindre l'API REST aux origines autorisées
add_filter('rest_authentication_errors', function($result) {
    if (!empty($result)) {
        return $result;
    }

    $origin = $_SERVER['HTTP_ORIGIN'] ?? '';
    $referer = $_SERVER['HTTP_REFERER'] ?? '';
    $allowed = [
        'https://www.monsite.fr',
        'https://cms.monsite.fr',
    ];

    // En production, vérifie l'origine
    $is_allowed = false;
    foreach ($allowed as $domain) {
        if (str_starts_with($origin, $domain) ||
            str_starts_with($referer, $domain)) {
            $is_allowed = true;
            break;
        }
    }

    // Autorise toujours les requêtes internes (cron, CLI)
    if (defined('REST_REQUEST') && !$is_allowed && php_sapi_name() !== 'cli') {
        return new WP_Error(
            'rest_forbidden',
            'Accès non autorisé.',
            ['status' => 403]
        );
    }

    return $result;
});