Θωράκιση ασφαλείας WordPress: πρακτική λίστα ελέγχου

Το WordPress τροφοδοτεί τεράστιο αριθμό sites και γι' αυτό αποτελεί διαρκή στόχο αυτοματοποιημένων επιθέσεων. Οι περισσότερες από αυτές τις επιθέσεις δεν είναι έξυπνες. Ψάχνουν για παλιές εκδόσεις plugins, μαντεύουν αδύναμους κωδικούς ή επαναχρησιμοποιούν διαρρεύσαντα διαπιστευτήρια. Αυτό είναι καλό νέο: λίγες συνεπείς συνήθειες σταματούν τις περισσότερες. Ακολουθεί μια λίστα που μπορείτε να ολοκληρώσετε σε ένα απόγευμα.

Ενημερώσεις, logins και πρόσβαση

Τα παλιά plugins και θέματα είναι ο πιο συνηθισμένος δρόμος εισόδου. Εφαρμόζετε άμεσα τις ενημερώσεις για το core του WordPress, τα plugins και τα θέματα και αφαιρέστε ό,τι δεν χρησιμοποιείτε πια. Σκεφτείτε να ενεργοποιήσετε αυτόματες ενημερώσεις για τις δευτερεύουσες εκδόσεις του core και για plugins που εμπιστεύεστε, δοκιμάζοντας πρώτα μεγαλύτερες αλλαγές σε αντίγραφο staging. Ο οδηγός μας για την ασφαλή ενημέρωση του WordPress εξηγεί τη ρουτίνα.

Χρησιμοποιήστε ισχυρά, μοναδικά logins και έλεγχο ταυτότητας δύο παραγόντων

Χρησιμοποιήστε διαχειριστή κωδικών και δώστε σε κάθε λογαριασμό έναν μακρύ, μοναδικό κωδικό. Προσθέστε έλεγχο ταυτότητας δύο παραγόντων για διαχειριστές και εκδότες. Μην χρησιμοποιείτε το admin ως όνομα χρήστη και βεβαιωθείτε ότι το εμφανιζόμενο όνομα στα δημόσια άρθρα δεν είναι το όνομα σύνδεσης.

Περιορίστε την πρόσβαση χρηστών

Δώστε στους ανθρώπους τον χαμηλότερο ρόλο που τους επιτρέπει να κάνουν τη δουλειά τους. Ένας συγγραφέας χρειάζεται Author ή Contributor, όχι Administrator. Αφαιρέστε τους λογαριασμούς όσων έχουν φύγει. Λιγότεροι διαχειριστές σημαίνουν λιγότερους λογαριασμούς προς παραβίαση.

Σελίδα σύνδεσης, HTTPS και ρυθμίσεις

Περιορίστε τις αποτυχημένες προσπάθειες σύνδεσης και σκεφτείτε να προσθέσετε πρόκληση επαλήθευσης ή να περιορίσετε την πρόσβαση στο /wp-login.php με διεύθυνση IP όπου είναι πρακτικό. Ένα web application firewall, όπως η προστασία που διατίθεται μέσω Cloudflare, μπορεί να μπλοκάρει πολλά κακόβουλα αιτήματα πριν φτάσουν στο WordPress. Δείτε τη σελίδα ασφάλειάς μας για το πώς το προσεγγίζουμε σε επίπεδο hosting.

Χρησιμοποιήστε HTTPS παντού

Σερβίρετε ολόκληρο το site μέσω HTTPS, συμπεριλαμβανομένης της περιοχής διαχείρισης. Δωρεάν πιστοποιητικά Let's Encrypt περιλαμβάνονται στο hosting μας· δείτε τη σελίδα SSL. Στο wp-config.php μπορείτε να επιβάλετε ασφαλείς συνεδρίες διαχείρισης:

define( 'FORCE_SSL_ADMIN', true );

Απενεργοποιήστε την επεξεργασία αρχείων στο dashboard

Το WordPress επιτρέπει στους διαχειριστές να επεξεργάζονται αρχεία plugins και θεμάτων από το dashboard. Αν εισβάλει επιτιθέμενος, αυτό είναι έτοιμο εργαλείο. Απενεργοποιήστε το:

define( 'DISALLOW_FILE_EDIT', true );

Ορίστε σωστά δικαιώματα αρχείων

Τα αρχεία πρέπει γενικά να είναι αναγνώσιμα από τον web server αλλά όχι εγγράψιμα από όλους. Αποφύγετε να ορίζετε πλήρη δικαιώματα σε φακέλους για να λύσετε πρόβλημα μεταφόρτωσης· βρείτε το πραγματικό πρόβλημα ιδιοκτησίας. Κρατήστε το wp-config.php όσο πιο κλειδωμένο επιτρέπει η διαμόρφωσή σας και μην αφήνετε ποτέ backups ή dumps βάσεων δεδομένων μέσα στο web root.

Backups, πηγές και παρακολούθηση

Η ασφάλεια αφορά την ανάκτηση όσο και την πρόληψη. Κρατήστε αυτόματα backups αποθηκευμένα μακριά από τον web server και δοκιμάστε την επαναφορά τους. Αν κάτι πάει στραβά, ένα καθαρό backup είναι ο ταχύτερος δρόμος της επιστροφής.

Εγκαθιστάτε λογισμικό μόνο από αξιόπιστες πηγές

Χρησιμοποιήστε plugins και θέματα από τον επίσημο κατάλογο ή τον δημιουργό. Το πειρατικό premium λογισμικό είναι συχνή πηγή κρυφών backdoors. Αν μια άδεια είναι πολύ ακριβή, αναζητήστε μια ελαφρύτερη εναλλακτική.

Παρακολουθείτε τις αλλαγές

Τα plugins ασφαλείας ή οι υπηρεσίες παρακολούθησης μπορούν να σας ειδοποιούν για αλλαγές αρχείων, νέους λογαριασμούς διαχειριστή και ασυνήθιστη δραστηριότητα σύνδεσης. Οι ειδοποιήσεις βοηθούν μόνο αν κάποιος τις διαβάζει, γι' αυτό κατευθύνετέ τες σε διεύθυνση email που ελέγχετε.

Μειώστε ό,τι εκτίθεται

• Διαγράψτε τα αχρησιμοποίητα θέματα και plugins, όχι απλώς απενεργοποιήστε τα.
• Απενεργοποιήστε το XML-RPC αν δεν το χρησιμοποιείτε ή περιορίστε το.
• Κρύψτε τους αριθμούς έκδοσης όπου είναι εύκολο, αλλά μην βασίζεστε στην αφάνεια.
• Χρησιμοποιήστε ξεχωριστούς χρήστες βάσης δεδομένων για ξεχωριστά sites, με ισχυρούς κωδικούς.

Κρατήστε υγιές το επίπεδο του διακομιστή

Η θωράκιση του WordPress είναι μόνο το μισό της δουλειάς. Ο διακομιστής χρειάζεται υποστηριζόμενη έκδοση PHP, τρέχουσες ενημερώσεις λειτουργικού και απομόνωση ανάμεσα στους λογαριασμούς. Στα shared και managed πακέτα αυτό το αναλαμβάνει ο πάροχος· σε VPS είστε υπεύθυνοι εσείς.

Ένας γρήγορος πίνακας θωράκισης

Τομέας	Ενέργεια	Προσπάθεια
Ενημερώσεις	Core, plugins, θέματα ενημερωμένα	Χαμηλή
Λογαριασμοί	Ισχυροί κωδικοί, 2FA, ελάχιστα προνόμια	Χαμηλή
Ρυθμίσεις	Απενεργοποίηση επεξεργασίας αρχείων, SSL στη διαχείριση	Χαμηλή
Backups	Εκτός διακομιστή, δοκιμασμένες επαναφορές	Μέτρια
Firewall	WAF και όρια σύνδεσης	Μέτρια

Κανένα site δεν είναι 100% ασφαλές

Να είστε ειλικρινείς για τα όρια. Η θωράκιση μειώνει τον κίνδυνο· δεν τον εξαλείφει. Έχετε σχέδιο για το τι θα κάνετε αν παραβιαστεί το site και κρατήστε τα στοιχεία επικοινωνίας όποιου θα βοηθήσει.

Κάντε την ασφάλεια συνήθεια, όχι έργο

Η μεγαλύτερη αδυναμία στις περισσότερες διαμορφώσεις ασφάλειας WordPress δεν είναι ένα χαρακτηριστικό που λείπει αλλά μια ρουτίνα που λείπει. Βάλτε μια μηνιαία υπενθύμιση στο ημερολόγιό σας για να ελέγχετε τους χρήστες, να εντοπίζετε plugins που δεν λαμβάνουν πια ενημερώσεις, να διαβάζετε τις ειδοποιήσεις ασφαλείας και να επιβεβαιώνετε ότι ένα πρόσφατο backup επαναφέρεται. Είκοσι λεπτά τον μήνα αξίζουν περισσότερο από μια εφάπαξ συνεδρία θωράκισης που δεν επανεξετάζεται ποτέ.

Καταγράψτε επίσης ποιος έχει πρόσβαση σε τι: panel hosting, registrar domain, λογαριασμούς διαχειριστή WordPress και τυχόν υπηρεσίες τρίτων. Όταν ένα πρακτορείο ή ένας freelancer ολοκληρώνει ένα έργο, αφαιρέστε την πρόσβασή του την ίδια μέρα.

Αν έχετε χρόνο για τρία πράγματα σήμερα, κάντε αυτά: ενημερώστε τα πάντα, ενεργοποιήστε έλεγχο ταυτότητας δύο παραγόντων για κάθε διαχειριστή και βεβαιωθείτε ότι υπάρχει πρόσφατο backup εκτός διακομιστή. Αντιμετωπίζουν τους πιο συνηθισμένους τρόπους παραβίασης των sites και τον σημαντικότερο τρόπο ανάκαμψης.

Ασφάλεια σε επίπεδο hosting

Το καλό hosting υποστηρίζει τη δική σας θωράκιση. Το WordPress hosting μας περιλαμβάνει δωρεάν SSL, Plesk για τη διαχείριση πρόσβασης και διαθεσιμότητα Cloudflare CDN και η ομάδα υποστήριξής μας μπορεί να απαντήσει σε ερωτήσεις για την ασφάλεια του site σας σε 17 γλώσσες.