Securitate WordPress: cum vă protejați site-ul, pas cu pas

Site-urile WordPress sunt sparte rareori prin WordPress însuși. De cele mai multe ori atacatorul intră printr-un plugin sau o temă neactualizată, printr-o parolă slabă ori printr-o parolă furată de pe un computer infectat. Vestea bună este că un set mic de obiceiuri închide aproape toate aceste uși. Ghidul începe cu ce trebuie să facă orice proprietar de site, continuă cu protecțiile gata făcute din WP Toolkit și se încheie cu setări manuale pentru cei care editează fișiere fără emoții.

Ce face deja serverul și ce rămâne în grija dvs.

Pe găzduirea TopHost, Imunify360 scanează conturile după fișiere malițioase și filtrează atacurile, firewall-ul serverului blochează adresele IP care încearcă parole la nesfârșit, iar JetBackup 5 face copii automate păstrate prin rotație 30 de zile. Nimic din toate acestea nu poate face sigur un plugin vulnerabil. Conform Termenilor și condițiilor, alegerea atentă a pluginurilor și temelor și actualizarea lor regulată sunt responsabilitatea clientului. Despre partea serverului: Imunify360 pe găzduirea TopHost și de ce blochează firewall-ul o adresă IP.

Baza: faceți asta pe orice site

1. Țineți totul la zi

Roboții caută prin internet breșele cunoscute la câteva ore după ce acestea sunt făcute publice. Actualizați WordPress, pluginurile și temele din cPanel: deschideți WP Toolkit (WordPress Management), vedeți ce elemente au actualizări în așteptare și aplicați-le. WP Toolkit poate instala actualizările și automat. Panoul WordPress (Dashboard, apoi Updates) face același lucru, dacă îl preferați sau dacă WP Toolkit nu apare în cPanel-ul dvs. Înaintea unei actualizări mari faceți o copie; rutina este descrisă în actualizări WordPress fără surprize.

2. Ștergeți ce nu folosiți

Un plugin dezactivat rămâne pe server, iar fișierele lui pot fi atacate în continuare. Ștergeți pluginurile și temele nefolosite; păstrați doar o temă standard de rezervă.

3. Instalați doar din surse de încredere

Folosiți catalogul oficial de pe wordpress.org sau site-ul dezvoltatorului. Copiile „gratuite” ale temelor și pluginurilor cu plată, găsite în alte locuri, conțin des cod ascuns care dă acces unei persoane străine.

4. Autentificare solidă

• Nu folosiți „admin” ca nume de utilizator. Creați un administrator nou cu alt nume, intrați cu el, apoi ștergeți contul vechi și atribuiți conținutul acestuia noului cont.
• Folosiți parole lungi și unice (cel puțin 12-15 caractere), păstrate într-un manager de parole. Nu refolosiți niciodată parola de la e-mail sau de pe alt site.
• Activați autentificarea în doi pași pentru WordPress cu un plugin de securitate, iar pentru contul de client și cPanel conform articolului autentificarea în doi pași.
• Limitați încercările repetate de autentificare. Pluginuri populare pentru asta sunt Limit Login Attempts Reloaded, Wordfence Security și All-In-One Security (AIOS). Un singur plugin de securitate este suficient; două se încurcă deseori unul pe altul.

5. Păstrați o copie proprie

Copiile automate sunt o plasă de siguranță, nu o arhivă. Descărcați din când în când o copie completă a contului și păstrați-o în afara găzduirii: descărcarea unui backup complet al contului.

Protecții gata făcute în WP Toolkit

1. În cPanel deschideți WP Toolkit (WordPress Management) și alegeți site-ul.
2. Deschideți secțiunea Security a site-ului. WP Toolkit afișează măsurile de protecție și le marchează pe cele deja aplicate.
3. Aplicați măsurile recomandate. Exemple tipice: dezactivarea editării fișierelor din panoul WordPress, blocarea accesului la fișierele sensibile, interzicerea executării PHP în dosarele destinate doar încărcărilor și blocarea accesului la xmlrpc.php.
4. Deschideți apoi site-ul și zona de administrare. Dacă ceva nu mai funcționează (de exemplu o aplicație mobilă sau un serviciu care folosește xmlrpc.php), anulați doar măsura respectivă din același ecran.

WP Toolkit poate verifica și dacă fișierele de bază WordPress coincid cu originalele; vedeți verificarea și reinstalarea nucleului WordPress.

Setări manuale pentru utilizatori avansați

Salvați o copie a fiecărui fișier înainte de a-l modifica. Liniile de mai jos se adaugă prin File Manager din cPanel sau prin FTP.

Dezactivați editorul de cod încorporat

Adăugați această linie în wp-config.php, deasupra rândului „That's all, stop editing”. Chiar dacă cineva intră în panou, nu va putea modifica de acolo codul temelor sau al pluginurilor:

define( 'DISALLOW_FILE_EDIT', true );

Interziceți accesul direct la wp-config.php și xmlrpc.php

Adăugați în fișierul .htaccess din dosarul principal al site-ului. Nu includeți blocul pentru xmlrpc.php dacă folosiți aplicația mobilă WordPress, Jetpack sau alt serviciu care publică prin XML-RPC:

<Files "wp-config.php">
    Require all denied
</Files>
<Files "xmlrpc.php">
    Require all denied
</Files>

Pagina de autentificare doar de la adresa dvs. IP

Varianta se potrivește site-urilor cu unul sau doi administratori care lucrează de la o adresă IP fixă. Nu o folosiți dacă se autentifică de oriunde clienți, autori sau cumpărătorii unui magazin, ori dacă furnizorul de internet vă schimbă adresa IP. Înlocuiți 203.0.113.10 cu adresa dvs.; pentru fiecare adresă în plus adăugați încă un rând Require ip. În .htaccess din dosarul principal:

<Files "wp-login.php">
    Require ip 203.0.113.10
</Files>

Pentru a închide întreaga zonă de administrare, creați un fișier .htaccess în dosarul wp-admin. Al doilea bloc lasă deschis admin-ajax.php, pe care temele și pluginurile îl folosesc și pentru vizitatori, iar fără el site-ul nu funcționează corect:

Require ip 203.0.113.10
<Files "admin-ajax.php">
    Require all granted
</Files>

Dacă rămâneți fără acces (de exemplu după schimbarea adresei IP), modificați sau ștergeți aceste rânduri din File Manager în cPanel.

Permisiunile fișierelor

Dosarele trebuie să aibă 755, iar fișierele 644. Nu setați niciodată 777: astfel orice proces poate scrie în fișier. Permisiunile se schimbă în File Manager, cu Permissions.

Prefixul tabelelor

Un prefix diferit de wp_ îngreunează puțin atacurile automate. Alegeți-l la instalarea WordPress (WP Toolkit și Softaculous vă permit acest lucru). Schimbarea lui pe un site care funcționează cere atenție și aduce puțin, așa că nu o recomandăm doar pentru acest motiv.

Dacă site-ul a fost deja spart

• Primii pași, în ordinea corectă: site compromis.
• Ați primit o notificare despre fișiere infectate: ce aveți de făcut în 24 de ore.
• Un plugin sau o temă pe care o folosiți are o vulnerabilitate publicată: pașii de urmat.
• Pentru a restaura o copie curată de dinaintea atacului: restaurarea cu JetBackup 5.

Aveți nevoie de ajutor? Deschideți un tichet de suport cu adresa site-ului și ce ați observat.

Articole utile

• Ghid complet pentru WP Toolkit în cPanel
• Imunify Security în panoul WordPress: ce arată și cum îl folosiți
• Cod malițios pe site: cum îl găsiți pas cu pas în cPanel