Зајакнување на безбедноста на WordPress: практичен список

WordPress напојува огромен број сајтови, што го прави постојана цел на автоматизирани напади. Повеќето од тие напади не се паметни. Скенираат за стари верзии на додатоци, погодуваат слаби лозинки или повторно ги користат протечените податоци за најава. Тоа е добра вест: неколку доследни навики ќе запрат повеќето од нив. Еве список што можете да го завршите за едно попладне.

Ажурирања, најави и пристап

Застарените додатоци и теми се најчестиот пат за упад. Применувајте ажурирања за јадрото на WordPress, додатоците и темите навреме и отстранете сè што повеќе не го користите. Размислете за вклучување автоматски ажурирања за помали изданија на јадрото и за додатоци на кои им верувате, додека поголемите промени најпрво ги тестирате на staging копија. Нашиот водич за безбедно ажурирање на WordPress ја објаснува рутината.

Користете силни, единствени најави и двофакторска автентикација

Користете менаџер на лозинки и дајте му на секоја сметка долга, единствена лозинка. Додадете двофакторска автентикација за администраторите и уредниците. Не користете admin како корисничко име и погрижете се прикажаното име на јавните објави да не е името за најава.

Ограничете го пристапот на корисниците

Дајте им на луѓето најниска улога со која можат да ја завршат работата. На писателот му треба Author или Contributor, а не Administrator. Отстранете ги сметките на луѓе што си заминале. Помалку администратори значи помалку сметки што можат да се компромитираат.

Страница за најава, HTTPS и конфигурација

Ограничете ги неуспешните обиди за најава и размислете за додавање предизвик или ограничување на пристапот до /wp-login.php по IP адреса каде е практично. Web application firewall, како заштитата достапна преку Cloudflare, може да блокира многу лоши барања пред да стигнат до WordPress. Видете ја нашата безбедносна страница како го пристапуваме ова на ниво на хостинг.

Користете HTTPS насекаде

Служете го целиот сајт преку HTTPS, вклучително и администраторскиот дел. Бесплатни Let's Encrypt сертификати се вклучени во нашиот хостинг; видете ја SSL страницата. Во wp-config.php можете да наметнете безбедни администраторски сесии:

define( 'FORCE_SSL_ADMIN', true );

Оневозможете уредување датотеки во контролната табла

WordPress им дозволува на администраторите да уредуваат датотеки на додатоци и теми од контролната табла. Ако напаѓачот влезе, тоа е готова алатка. Исклучете го:

define( 'DISALLOW_FILE_EDIT', true );

Поставете правилни дозволи за датотеки

Датотеките генерално треба да се читливи за веб-серверот, но не и запишливи за сите. Избегнувајте поставување папки на целосни дозволи за да решите проблем со качување; пронајдете го вистинскиот проблем со сопственоста. Одржувајте го wp-config.php што е можно позаклучен според вашето поставување и никогаш не оставајте бекапи или дампови на базата во веб-коренот.

Бекапи, извори и мониторинг

Безбедноста е за закрепнување исто колку и за превенција. Чувајте автоматски бекапи подалеку од веб-серверот и тестирајте го нивното враќање. Ако нешто тргне наопаку, чистиот бекап е вашиот најбрз пат назад.

Инсталирајте софтвер само од доверливи извори

Користете додатоци и теми од официјалниот директориум или од програмерот. Пиратскиот премиум софтвер е честа причина за скриени backdoor-и. Ако лиценцата е прескапа, побарајте полесна алтернатива.

Следете ги промените

Безбедносните додатоци или услугите за мониторинг можат да ве известат за промени на датотеки, нови администраторски сметки и невообичаена активност при најава. Известувањата помагаат само ако некој ги чита, затоа насочете ги кон е-пошта што ја проверувате.

Намалете што е изложено

• Избришете ги неискористените теми и додатоци, не само да ги деактивирате.
• Оневозможете XML-RPC ако не го користите или ограничете го.
• Скријте ги броевите на верзии каде е лесно, но не потпирајте се на прикриеност.
• Користете одделни корисници на базата за одделни сајтови, со силни лозинки.

Одржувајте го серверскиот слој здрав

Зајакнувањето на WordPress е само половина од работата. На серверот му треба поддржана верзија на PHP, актуелни ажурирања на оперативниот систем и изолација меѓу сметките. На споделените и управуваните планови тоа е решено за вас; на VPS вие сте одговорни за тоа.

Брза табела за зајакнување

Област	Дејство	Напор
Ажурирања	Јадро, додатоци, теми актуелни	Низок
Сметки	Силни лозинки, 2FA, минимални привилегии	Низок
Конфигурација	Оневозможено уредување датотеки, наметнат SSL за админ	Низок
Бекапи	Надвор од серверот, тестирано враќање	Среден
Firewall	WAF и ограничувања на најава	Среден

Ниту еден сајт не е 100% безбеден

Бидете искрени за границите. Зајакнувањето го намалува ризикот; не го отстранува. Имајте план што ќе направите ако сајтот биде компромитиран и чувајте ги контактите на оној што ќе помогне.

Направете безбедноста навика, а не проект

Најголемата слабост кај повеќето поставувања за безбедност на WordPress не е недостасувачка можност, туку недостасувачка рутина. Ставете месечен потсетник во календарот за да ги прегледате корисниците, да проверите за додатоци што престанале да добиваат ажурирања, да ги прочитате безбедносните известувања и да потврдите дека скорешен бекап се враќа. Дваесет минути месечно вредат повеќе од еднократна сесија на зајакнување што никогаш не се повторува.

Запишете и кој до што има пристап: хостинг панел, регистратор на домен, администраторски сметки на WordPress и сите услуги од трети страни. Кога агенција или фриленсер ќе заврши проект, отстранете му го пристапот истиот ден.

Ако имате време само за три работи денес, нека бидат овие: ажурирајте сè, вклучете двофакторска автентикација за секој администратор и потврдете дека постои скорешен бекап надвор од серверот. Тие ги решаваат најчестите начини на компромитирање на сајтови и најважниот начин на закрепнување.

Безбедност на ниво на хостинг

Добриот хостинг го поддржува вашето зајакнување. Нашиот WordPress хостинг вклучува бесплатен SSL, Plesk за управување со пристапот и достапност на Cloudflare CDN, а нашиот тим за поддршка може да одговори на прашања за обезбедување на вашиот сајт на 17 јазици.