Заздравяване на сигурността на WordPress: практичен списък
Повечето хакнати WordPress сайтове падат заради остарели добавки и слаби пароли. Този списък за заздравяване обхваща стъпките с най-голям ефект.
WordPress захранва огромен брой сайтове, което го прави постоянна цел на автоматизирани атаки. Повечето от тези атаки не са хитри. Те търсят стари версии на добавки, отгатват слаби пароли или използват повторно изтекли данни за вход. Това е добра новина: шепа последователни навици спират повечето от тях. Ето списък, който можете да изпълните за един следобед.
Обновления, входове и достъп
Остарелите добавки и теми са най-честият начин за проникване. Прилагайте бързо обновленията за ядрото на WordPress, добавките и темите и премахвайте всичко, което вече не ползвате. Обмислете включване на автоматични обновления за малките версии на ядрото и за добавки, на които имате доверие, като по-големите промени тествате първо върху staging копие. Нашето ръководство за безопасно обновяване на WordPress обяснява рутината.
Ползвайте силни, уникални данни за вход и двуфакторно удостоверяване
Ползвайте мениджър на пароли и дайте на всеки акаунт дълга, уникална парола. Добавете двуфакторно удостоверяване за администраторите и редакторите. Не ползвайте admin като потребителско име и се уверете, че името, показвано в публичните публикации, не е името за вход.
Ограничете достъпа на потребителите
Давайте на хората най-ниската роля, която им позволява да вършат работата си. Авторът има нужда от роля Author или Contributor, не от Administrator. Премахвайте акаунтите на хора, които са си тръгнали. По-малко администратори означава по-малко акаунти, които могат да бъдат компрометирани.
Страница за вход, HTTPS и конфигурация
Ограничете неуспешните опити за вход и обмислете добавяне на проверка или ограничаване на достъпа до /wp-login.php по IP адрес, където е практично. Защитна стена за уеб приложения, като защитата, налична чрез Cloudflare, може да блокира много лоши заявки, преди да стигнат до WordPress. Вижте нашата страница за сигурност, за да разберете как подхождаме към това на ниво хостинг.
Ползвайте HTTPS навсякъде
Сервирайте целия сайт през HTTPS, включително администраторската зона. Безплатни сертификати на Let's Encrypt са включени в нашия хостинг; вижте страницата за SSL. В wp-config.php можете да наложите защитени администраторски сесии:
define( 'FORCE_SSL_ADMIN', true );Изключете редактирането на файлове от таблото
WordPress позволява на администраторите да редактират файловете на добавки и теми от таблото. Ако нападател влезе, това е готов инструмент. Изключете го:
define( 'DISALLOW_FILE_EDIT', true );Задайте правилни права за файловете
Файловете по принцип трябва да са четими от уеб сървъра, но не и записваеми за всички. Избягвайте да задавате пълни права на папките, за да решите проблем с качване; намерете истинския проблем със собствеността. Дръжте wp-config.php възможно най-заключен, доколкото позволява вашата настройка, и никога не оставяйте архиви или дъмпове на базата данни в уеб корена.
Архиви, източници и мониторинг
Сигурността е колкото за възстановяване, толкова и за предотвратяване. Дръжте автоматични архиви, съхранявани далеч от уеб сървъра, и тествайте възстановяването им. Ако нещо се обърка, чист архив е най-бързият ви път обратно.
Инсталирайте софтуер само от доверени източници
Използвайте добавки и теми от официалната директория или от разработчика. Пиратският премиум софтуер е честен източник на скрити задни вратички. Ако лицензът е твърде скъп, потърсете по-лека алтернатива.
Следете за промени
Добавките за сигурност или услугите за мониторинг могат да ви предупредят за промени във файловете, нови администраторски акаунти и необичайна активност при вход. Известията помагат само ако някой ги чете, затова ги насочете към имейл адрес, който проверявате.
Намалете това, което е изложено
- Изтрийте неизползваните теми и добавки, не просто ги деактивирайте.
- Изключете XML-RPC, ако не го ползвате, или го ограничете.
- Скрийте номерата на версиите, където е лесно, но не разчитайте на неяснотата.
- Ползвайте отделни потребители на базата данни за отделните сайтове, със силни пароли.
Поддържайте сървърния слой здрав
Заздравяването на WordPress е само половината от работата. Сървърът се нуждае от поддържана версия на PHP, актуални обновления на операционната система и изолация между акаунтите. При споделените и управляваните планове това се урежда вместо вас; при VPS вие сте отговорни.
Бърза таблица за заздравяване
| Област | Действие | Усилие |
|---|---|---|
| Обновления | Ядро, добавки и теми актуални | Ниско |
| Акаунти | Силни пароли, 2FA, минимални права | Ниско |
| Конфигурация | Изключване на редактирането на файлове, принудителен SSL за администрацията | Ниско |
| Архиви | Извън сървъра, тествани възстановявания | Средно |
| Защитна стена | WAF и ограничения при вход | Средно |
Никой сайт не е 100% защитен
Бъдете честни относно границите. Заздравяването намалява риска, но не го премахва. Имайте план какво ще правите, ако сайтът бъде компрометиран, и пазете контактите на този, който ще помогне.
Направете сигурността навик, а не проект
Най-голямата слабост в повечето настройки за сигурност на WordPress не е липсваща функция, а липсваща рутина. Сложете месечно напомняне в календара си, за да преглеждате потребителите, да проверявате за добавки, които са спрели да получават обновления, да четете известията за сигурност и да потвърждавате, че скорошен архив се възстановява. Двайсет минути на месец са по-ценни от еднократна сесия по заздравяване, към която никога не се връщате.
Запишете също кой до какво има достъп: хостинг панела, регистратора на домейна, администраторските акаунти на WordPress и всички външни услуги. Когато агенция или фрийлансър приключи проект, премахнете достъпа му същия ден.
Ако днес имате време само за три неща, нека бъдат тези: обновете всичко, включете двуфакторно удостоверяване за всеки администратор и се уверете, че съществува скорошен архив извън сървъра. Те обхващат най-честите начини, по които сайтовете биват компрометирани, и най-важния начин за възстановяване.
Сигурност на ниво хостинг
Добрият хостинг подкрепя вашето заздравяване. Нашият WordPress хостинг включва безплатен SSL, Plesk за управление на достъпа и наличност на Cloudflare CDN, а екипът ни за поддръжка може да отговаря на въпроси за защитата на сайта ви на 17 езика.