Härdning av WordPress: en praktisk säkerhetschecklista

WordPress driver ett enormt antal sajter, vilket gör plattformen till ett ständigt mål för automatiserade attacker. De flesta av dessa attacker är inte särskilt listiga. De söker efter gamla tilläggsversioner, gissar svaga lösenord eller återanvänder läckta inloggningsuppgifter. Det är goda nyheter: en handfull konsekventa vanor stoppar de flesta av dem. Här är en checklista du kan arbeta igenom på en eftermiddag.

Uppdateringar, inloggningar och åtkomst

Föråldrade tillägg och teman är den vanligaste ingången. Installera uppdateringar för WordPress-kärnan, tillägg och teman utan dröjsmål och ta bort allt du inte längre använder. Överväg att aktivera automatiska uppdateringar för mindre kärnversioner och för tillägg du litar på, medan större ändringar testas på en staging-kopia först. Vår guide om hur du uppdaterar WordPress säkert går igenom rutinen.

Använd starka, unika inloggningar och tvåfaktorsautentisering

Använd en lösenordshanterare och ge varje konto ett långt, unikt lösenord. Lägg till tvåfaktorsautentisering för administratörer och redaktörer. Använd inte admin som användarnamn, och se till att visningsnamnet på offentliga inlägg inte är samma som inloggningsnamnet.

Begränsa användaråtkomsten

Ge människor den lägsta roll som gör att de kan utföra sitt jobb. En skribent behöver Författare eller Medarbetare, inte Administratör. Ta bort konton för personer som har slutat. Färre administratörer innebär färre konton att kompromettera.

Inloggningssida, HTTPS och konfiguration

Begränsa antalet misslyckade inloggningsförsök, och överväg att lägga till en utmaning eller begränsa åtkomsten till /wp-login.php via IP-adress där det är praktiskt. En webbapplikationsbrandvägg (WAF), till exempel skyddet som finns via Cloudflare, kan blockera många skadliga förfrågningar innan de når WordPress. På vår säkerhetssida ser du hur vi arbetar med detta på hostingnivå.

Använd HTTPS överallt

Leverera hela sajten via HTTPS, inklusive administrationsdelen. Kostnadsfria Let's Encrypt-certifikat ingår i vår hosting. Se SSL-sidan. I wp-config.php kan du tvinga säkra administratörssessioner:

define( 'FORCE_SSL_ADMIN', true );

Stäng av filredigering i adminpanelen

WordPress låter administratörer redigera tilläggs- och temafiler från adminpanelen. Om en angripare tar sig in är det ett färdigt verktyg. Stäng av det:

define( 'DISALLOW_FILE_EDIT', true );

Ställ in korrekta filbehörigheter

Filer bör i allmänhet vara läsbara för webbservern men inte skrivbara för alla. Undvik att ge mappar fulla behörigheter för att lösa ett uppladdningsproblem. Hitta i stället det verkliga ägarproblemet. Håll wp-config.php så låst som ditt upplägg tillåter, och lämna aldrig backuper eller databasdumpar i webbroten.

Backuper, källor och övervakning

Säkerhet handlar lika mycket om återhämtning som om förebyggande. Spara automatiska backuper utanför webbservern och testa att återställa dem. Om något går fel är en ren backup din snabbaste väg tillbaka.

Installera programvara bara från pålitliga källor

Använd tillägg och teman från den officiella katalogen eller från utvecklaren. Piratkopierad premiumprogramvara är en vanlig källa till dolda bakdörrar. Om en licens är för dyr, leta efter ett enklare alternativ i stället.

Håll utkik efter förändringar

Säkerhetstillägg eller övervakningstjänster kan varna dig för filändringar, nya administratörskonton och ovanlig inloggningsaktivitet. Larm hjälper bara om någon läser dem, så skicka dem till en e-postadress du kontrollerar.

Minska det som är exponerat

• Ta bort oanvända teman och tillägg, inaktivera dem inte bara.
• Stäng av XML-RPC om du inte använder det, eller begränsa det.
• Dölj versionsnummer där det är enkelt, men lita inte på säkerhet genom att vara okänd.
• Använd separata databasanvändare för separata sajter, med starka lösenord.

Håll serverlagret friskt

Att härda WordPress är bara halva jobbet. Servern behöver en PHP-version som stöds, aktuella uppdateringar av operativsystemet och isolering mellan konton. På delade och hanterade paket sköts det åt dig, men på en VPS är det ditt ansvar.

En snabb härdningstabell

Område	Åtgärd	Arbetsinsats
Uppdateringar	Kärna, tillägg och teman aktuella	Låg
Konton	Starka lösenord, 2FA, minsta möjliga behörighet	Låg
Konfiguration	Stäng av filredigering, tvinga SSL i admin	Låg
Backuper	Utanför servern, testade återställningar	Medel
Brandvägg	WAF och gränser för inloggning	Medel

Ingen sajt är 100 % säker

Var ärlig om begränsningarna. Härdning minskar risken men tar inte bort den. Ha en plan för vad du gör om sajten komprometteras och spara kontaktuppgifterna till den som ska hjälpa dig.

Gör säkerhet till en vana, inte ett projekt

Den största svagheten i de flesta WordPress-säkerhetsupplägg är inte en saknad funktion utan en saknad rutin. Lägg in en månatlig påminnelse i kalendern för att gå igenom användare, kontrollera tillägg som har slutat få uppdateringar, läsa dina säkerhetslarm och bekräfta att en färsk backup går att återställa. Tjugo minuter i månaden är mer värt än ett enstaka härdningspass som aldrig tas upp igen.

Skriv också ner vem som har åtkomst till vad: hostingpanelen, domänregistraren, WordPress-administratörskonton och eventuella tredjepartstjänster. När en byrå eller frilansare avslutat ett projekt, ta bort deras åtkomst samma dag.

Om du bara hinner med tre saker i dag, låt det vara dessa: uppdatera allt, slå på tvåfaktorsautentisering för varje administratör och bekräfta att det finns en färsk backup utanför servern. De adresserar de vanligaste sätten som sajter komprometteras på och det viktigaste sättet att återhämta sig.

Säkerhet på hostingnivå

Bra hosting stöder din egen härdning. Vår WordPress-hosting inkluderar kostnadsfritt SSL, Plesk för att hantera åtkomst och tillgång till Cloudflare CDN, och vårt supportteam kan svara på frågor om att säkra din sajt på 17 språk.