Zabezpečení WordPressu: praktický kontrolní seznam

WordPress pohání obrovské množství webů, a proto je stálým cílem automatizovaných útoků. Většina z nich není nijak důmyslná. Prohledávají staré verze pluginů, hádají slabá hesla nebo využívají uniklé přihlašovací údaje. To je dobrá zpráva: pár důsledných návyků zastaví většinu z nich. Zde je kontrolní seznam, který zvládnete za odpoledne.

Aktualizace, přihlašování a přístup

Zastaralé pluginy a šablony jsou nejčastější cestou dovnitř. Jádro WordPressu, pluginy i šablony aktualizujte neprodleně a odstraňte vše, co už nepoužíváte. Zvažte zapnutí automatických aktualizací pro drobná vydání jádra a pro pluginy, kterým důvěřujete, zatímco větší změny nejdřív vyzkoušejte na testovací kopii. Rutinu vysvětluje náš průvodce bezpečnou aktualizací WordPressu.

Používejte silná jedinečná hesla a dvoufázové ověření

Používejte správce hesel a každému účtu dejte dlouhé, jedinečné heslo. Přidejte dvoufázové ověření pro administrátory a editory. Nepoužívejte admin jako uživatelské jméno a zajistěte, aby zobrazované jméno u veřejných příspěvků nebylo shodné s přihlašovacím jménem.

Omezte přístup uživatelů

Dávejte lidem nejnižší roli, která jim umožní jejich práci. Pisatel potřebuje roli Autor nebo Přispěvatel, ne Administrátor. Odstraňte účty lidí, kteří odešli. Méně administrátorů znamená méně účtů, které lze napadnout.

Přihlašovací stránka, HTTPS a konfigurace

Omezte počet neúspěšných pokusů o přihlášení a zvažte přidání ověřovací výzvy nebo omezení přístupu na /wp-login.php podle IP adresy, kde je to praktické. Firewall webových aplikací (WAF), například ochrana dostupná přes Cloudflare, dokáže zablokovat mnoho škodlivých požadavků dřív, než dorazí do WordPressu. Jak k tomu přistupujeme na úrovni hostingu, popisuje naše stránka o zabezpečení.

Používejte všude HTTPS

Poskytujte celý web přes HTTPS, včetně administrace. Bezplatné certifikáty Let's Encrypt jsou součástí našeho hostingu; viz stránka o SSL. V wp-config.php můžete vynutit zabezpečené relace administrace:

define( 'FORCE_SSL_ADMIN', true );

Vypněte úpravy souborů v administraci

WordPress umožňuje administrátorům upravovat soubory pluginů a šablon přímo z administrace. Pokud se útočník dostane dovnitř, je to hotový nástroj. Vypněte to:

define( 'DISALLOW_FILE_EDIT', true );

Nastavte správná oprávnění souborů

Soubory by obecně měly být čitelné pro webový server, ale ne zapisovatelné pro všechny. Nenastavujte složkám plná oprávnění, abyste vyřešili problém s nahráváním; najděte skutečný problém s vlastnictvím. Soubor wp-config.php držte tak zamčený, jak vaše nastavení dovolí, a nikdy nenechávejte zálohy ani výpisy databáze v kořenovém adresáři webu.

Zálohy, zdroje a monitoring

Bezpečnost je stejně tak o obnově jako o prevenci. Mějte automatické zálohy uložené mimo webový server a vyzkoušejte jejich obnovu. Když se něco pokazí, čistá záloha je nejrychlejší cesta zpět.

Instalujte software jen z důvěryhodných zdrojů

Používejte pluginy a šablony z oficiálního adresáře nebo od vývojáře. Pirátský prémiový software je častým zdrojem skrytých zadních vrátek. Pokud je licence příliš drahá, hledejte raději lehčí alternativu.

Sledujte změny

Bezpečnostní pluginy nebo monitorovací služby vás mohou upozornit na změny souborů, nové účty administrátorů a neobvyklou aktivitu přihlašování. Upozornění pomáhají, jen když je někdo čte, proto je směrujte na e-mailovou adresu, kterou kontrolujete.

Omezte, co je vystaveno

• Nepoužívané šablony a pluginy mažte, ne jen deaktivujte.
• Vypněte XML-RPC, pokud ho nepoužíváte, nebo ho omezte.
• Skryjte čísla verzí tam, kde je to snadné, ale nespoléhejte na utajení.
• Používejte pro různé weby samostatné databázové uživatele se silnými hesly.

Udržujte v pořádku serverovou vrstvu

Zabezpečení WordPressu je jen polovina práce. Server potřebuje podporovanou verzi PHP, aktuální aktualizace operačního systému a izolaci mezi účty. U sdílených a spravovaných tarifů se o to staráme my; na VPS to máte na starosti vy.

Rychlá tabulka zabezpečení

Oblast	Akce	Náročnost
Aktualizace	Jádro, pluginy a šablony aktuální	Nízká
Účty	Silná hesla, 2FA, nejnižší oprávnění	Nízká
Konfigurace	Vypnout úpravy souborů, vynutit SSL v administraci	Nízká
Zálohy	Mimo server, otestovaná obnova	Střední
Firewall	WAF a limity přihlášení	Střední

Žádný web není stoprocentně bezpečný

Buďte upřímní ohledně limitů. Zabezpečení snižuje riziko, neodstraňuje ho. Mějte plán, co uděláte, pokud bude web napaden, a uschovejte kontakt na toho, kdo vám pomůže.

Udělejte z bezpečnosti návyk, ne projekt

Největší slabinou většiny nastavení zabezpečení WordPressu není chybějící funkce, ale chybějící rutina. Vložte si do kalendáře měsíční připomínku: zkontrolovat uživatele, najít pluginy, které přestaly dostávat aktualizace, přečíst bezpečnostní upozornění a ověřit, že se nedávná záloha dá obnovit. Dvacet minut měsíčně má větší hodnotu než jednorázové zabezpečení, ke kterému se už nikdo nevrátí.

Zapište si také, kdo má přístup k čemu: k hostingovému panelu, registrátorovi domény, účtům administrátorů WordPressu a k jakýmkoli službám třetích stran. Když agentura nebo freelancer dokončí projekt, odeberte jim přístup ještě týž den.

Pokud máte dnes čas jen na tři věci, ať jsou tyto: aktualizujte všechno, zapněte dvoufázové ověření pro každého administrátora a ověřte, že existuje nedávná záloha uložená mimo server. Řeší nejčastější způsoby napadení webů i nejdůležitější způsob obnovy.

Zabezpečení na úrovni hostingu

Dobrý hosting podporuje vaše vlastní zabezpečení. Náš hosting pro WordPress zahrnuje SSL zdarma, Plesk pro správu přístupů a dostupnost CDN Cloudflare a náš tým podpory odpoví na dotazy k zabezpečení vašeho webu v 17 jazycích.