WordPressin tietoturvan koventaminen: käytännön tarkistuslista

WordPress pyörittää valtavaa määrää sivustoja, minkä vuoksi se on jatkuvan automaattisen hyökkäyksen kohde. Useimmat hyökkäykset eivät ole nokkelia. Ne skannaavat vanhoja lisäosaversioita, arvaavat heikkoja salasanoja tai käyttävät uudelleen vuotaneita tunnuksia. Se on hyvä uutinen: muutama johdonmukainen tapa pysäyttää useimmat niistä. Tässä tarkistuslista, jonka voi käydä läpi iltapäivässä.

Päivitykset, kirjautumiset ja käyttöoikeudet

Vanhentuneet lisäosat ja teemat ovat yleisin sisäänpääsytie. Asenna WordPressin ytimen, lisäosien ja teemojen päivitykset viipymättä ja poista kaikki, mitä et enää käytä. Harkitse automaattisten päivitysten ottamista käyttöön ytimen pienille julkaisuille ja luottamillesi lisäosille, mutta testaa suuremmat muutokset ensin testikopiolla. WordPressin turvallista päivittämistä käsittelevä oppaamme selittää rutiinin.

Käytä vahvoja, yksilöllisiä tunnuksia ja kaksivaiheista tunnistautumista

Käytä salasanahallintaa ja anna jokaiselle tilille pitkä, yksilöllinen salasana. Lisää kaksivaiheinen tunnistautuminen ylläpitäjille ja toimittajille. Älä käytä käyttäjänimenä admin ja varmista, ettei julkisissa artikkeleissa näkyvä nimi ole sama kuin kirjautumisnimi.

Rajoita käyttäjien oikeuksia

Anna ihmisille alin rooli, jolla he voivat tehdä työnsä. Kirjoittaja tarvitsee roolin Author tai Contributor, ei Administrator. Poista lähteneiden ihmisten tilit. Vähemmän ylläpitäjiä tarkoittaa vähemmän vaarannettavia tilejä.

Kirjautumissivu, HTTPS ja konfiguraatio

Rajoita epäonnistuneita kirjautumisyrityksiä ja harkitse haasteen lisäämistä tai pääsyn rajoittamista sivulle /wp-login.php IP-osoitteen mukaan, kun se on käytännöllistä. Verkkosovelluspalomuuri, kuten Cloudflaren kautta saatava suoja, voi estää monta haitallista pyyntöä ennen kuin ne saavuttavat WordPressin. Katso tietoturvasivultamme, miten lähestymme asiaa hosting-tasolla.

Käytä HTTPS:ää kaikkialla

Tarjoile koko sivusto HTTPS:n kautta, ylläpitoalue mukaan lukien. Ilmaiset Let's Encrypt -varmenteet sisältyvät hostingiimme; katso SSL-sivu. Tiedostossa wp-config.php voit pakottaa suojatut ylläpitoistunnot:

define( 'FORCE_SSL_ADMIN', true );

Poista tiedostojen muokkaus käytöstä hallintapaneelissa

WordPress antaa ylläpitäjien muokata lisäosien ja teemojen tiedostoja hallintapaneelista. Jos hyökkääjä pääsee sisään, se on valmis työkalu. Kytke se pois:

define( 'DISALLOW_FILE_EDIT', true );

Aseta oikeat tiedosto-oikeudet

Tiedostojen pitäisi yleensä olla verkkopalvelimen luettavissa mutta ei kaikille kirjoitettavissa. Vältä kansioiden asettamista täysiin oikeuksiin latausongelman korjaamiseksi; etsi todellinen omistajuusongelma. Pidä wp-config.php niin lukittuna kuin ympäristösi sallii, äläkä koskaan jätä varmuuskopioita tai tietokantavedoksia verkkojuureen.

Varmuuskopiot, lähteet ja valvonta

Tietoturva on yhtä paljon palautumista kuin ennaltaehkäisyä. Säilytä automaattiset varmuuskopiot erillään verkkopalvelimesta ja testaa niiden palauttaminen. Jos jokin menee pieleen, puhdas varmuuskopio on nopein tie takaisin.

Asenna ohjelmistoja vain luotetuista lähteistä

Käytä lisäosia ja teemoja virallisesta hakemistosta tai kehittäjältä. Piraattipremium-ohjelmistot ovat yleinen piilotettujen takaovien lähde. Jos lisenssi on liian kallis, etsi kevyempi vaihtoehto.

Seuraa muutoksia

Tietoturvalisäosat tai valvontapalvelut voivat hälyttää tiedostomuutoksista, uusista ylläpitäjätileistä ja epätavallisesta kirjautumisaktiivisuudesta. Hälytyksistä on hyötyä vain, jos joku lukee ne, joten ohjaa ne sähköpostiosoitteeseen, jota tarkistat.

Vähennä näkyvää pinta-alaa

• Poista käyttämättömät teemat ja lisäosat, älä vain ota niitä pois käytöstä.
• Poista XML-RPC käytöstä, jos et käytä sitä, tai rajoita sitä.
• Piilota versionumerot, kun se on helppoa, mutta älä luota piilottamiseen.
• Käytä erillisiä tietokantakäyttäjiä erillisille sivustoille ja vahvoja salasanoja.

Pidä palvelinkerros kunnossa

WordPressin koventaminen on vain puolet työstä. Palvelin tarvitsee tuetun PHP-version, ajantasaiset käyttöjärjestelmäpäivitykset ja tilien välisen eristyksen. Jaetuissa ja hallinnoiduissa paketeissa se hoidetaan puolestasi; VPS:llä vastaat siitä itse.

Nopea koventamistaulukko

Alue	Toimenpide	Vaiva
Päivitykset	Ydin, lisäosat ja teemat ajan tasalla	Pieni
Tilit	Vahvat salasanat, 2FA, pienimmät oikeudet	Pieni
Konfiguraatio	Poista tiedostomuokkaus, pakota SSL ylläpitoon	Pieni
Varmuuskopiot	Palvelimen ulkopuolella, testatut palautukset	Keskitaso
Palomuuri	WAF ja kirjautumisrajat	Keskitaso

Mikään sivusto ei ole 100 % turvallinen

Ole rehellinen rajoista. Koventaminen vähentää riskiä mutta ei poista sitä. Tee suunnitelma siitä, mitä teet, jos sivusto vaarantuu, ja säilytä niiden ihmisten yhteystiedot, jotka auttavat.

Tee tietoturvasta tapa, ei projekti

Useimpien WordPressin tietoturvaratkaisujen suurin heikkous ei ole puuttuva ominaisuus vaan puuttuva rutiini. Laita kalenteriin kuukausittainen muistutus, jossa käyt läpi käyttäjät, tarkistat lisäosat, jotka eivät enää saa päivityksiä, luet tietoturvahälytykset ja varmistat, että tuore varmuuskopio palautuu. Kaksikymmentä minuuttia kuukaudessa on arvokkaampaa kuin kertaluonteinen koventamissessio, johon ei koskaan palata.

Kirjaa myös ylös, kenellä on pääsy mihinkin: hosting-paneeliin, verkkotunnusrekisteröijään, WordPressin ylläpitäjätileihin ja kolmannen osapuolen palveluihin. Kun toimisto tai freelancer saa projektin valmiiksi, poista hänen pääsynsä samana päivänä.

Jos sinulla on tänään aikaa vain kolmeen asiaan, tee nämä: päivitä kaikki, ota kaksivaiheinen tunnistautuminen käyttöön jokaiselle ylläpitäjälle ja varmista, että tuore palvelimen ulkopuolinen varmuuskopio on olemassa. Ne vastaavat yleisimpiin tapoihin, joilla sivustot vaarantuvat, ja tärkeimpään tapaan toipua.

Tietoturva hosting-tasolla

Hyvä hosting tukee omaa koventamistasi. WordPress-hostingiimme kuuluu ilmainen SSL, Plesk käyttöoikeuksien hallintaan ja Cloudflare CDN -saatavuus, ja tukitiimimme vastaa kysymyksiin sivustosi suojaamisesta 17 kielellä.