WordPress papildu drošība: tiesības, wp-config un .htaccess

Atjauninājumi, spēcīga parole un divpakāpju verifikācija ir drošas WordPress vietnes pamats. Nostiprināšana (hardening) nāk papildus: Jūs iestatāt vietni tā, lai ievainojamība vai pārņemts konts varētu nodarīt mazāk kaitējuma. Šeit varat izlasīt, kuri ir šie iestatījumi un kā tos ieviest Jūsu hostinga plānā.

Kas jau notiek serverī

Daļa jau ir nokārtota mūsu serveros. xmlrpc.php pēc noklusējuma ir slēgts (WordPress: nevar piekļūt xmlrpc.php), bīstamās PHP funkcijas ir atspējotas (PHP drošība: atspējotās funkcijas), un darbojas tīmekļa trafika ugunsmūris un ļaunprogrammatūras skeneris. Skatiet Tīmekļa lietojumprogrammu ugunsmūris un Imunify360: Jūsu vietnes skenēšana, meklējot ļaunprogrammatūru. Tālāk aprakstītās darbības Jums jāveic savā vietnē.

Visus failus rediģējiet DirectAdmin sadaļā Failu pārvaldnieks. Faili, kuru nosaukums sākas ar punktu, piemēram, .htaccess, ir redzami tikai tad, ja parādāt slēptos failus: skatiet Slēpto failu, piemēram, .htaccess, parādīšana un rediģēšana. Vispirms izveidojiet katra faila kopiju un novietojiet šo kopiju ārpus public_html.

1. Nekādas koda rediģēšanas no administrēšanas paneļa

Atveriet wp-config.php mapē domains/example.com/public_html un ievietojiet šo rindu virs rindas ar "pārtrauciet rediģēt" (That's all, stop editing!):

define( 'DISALLOW_FILE_EDIT', true );

Tad tēmu un spraudņu failu redaktori pazūd no administrēšanas paneļa. Tas, kurš pārņem administratora kontu, tur vairs nevarēs ar dažiem klikšķiem ievietot ļaunprātīgu kodu Jūsu tēmā. Spraudņu instalēšana un atjaunināšana turpina darboties kā parasti. Tajā pašā failā iestatiet WP_DEBUG uz false, lai kļūdu ziņojumi nekad neparādītos apmeklētāju ekrānā.

2. Nekāda PHP mapē uploads

Mapē wp-content/uploads jāatrodas attēliem un dokumentiem, nevis PHP. Ielauzējs, kurš caur ievainojamību var augšupielādēt failu, mēģina tieši tur ievietot PHP failu un to izsaukt. Izveidojiet mapē wp-content/uploads failu .htaccess ar šādu saturu:

<Files *.php>
Require all denied
</Files>

Pēc tam pārbaudiet, vai Jūsu vietne, veidlapas un multivides bibliotēka joprojām darbojas.

3. Bez mapju saraksta

Ja mapē nav index.php vai index.html, tīmekļa serveris var parādīt visu failu sarakstu. Ievietojiet faila .htaccess sākumā mapē public_html:

Options -Indexes

Lai to pārbaudītu, atveriet mapi bez indeksa faila, piemēram, https://example.com/wp-content/uploads/. Jums jāredz kļūdas lapa (403 vai 404), nevis saraksts.

4. Failu un mapju tiesības

Nekad neizmantojiet 777: tad ikviens serverī drīkst rakstīt šajā mapē. Ja kāda pamācība apgalvo, ka tas ir nepieciešams, lai augšupielāde darbotos, cēlonis ir citur. Tiesību maiņa: skatiet Failu un mapju tiesības (chmod).

5. Nekādu atlikumu tīmekļa mapē

Visu, kas atrodas public_html, var pieprasīt tīmeklī. Tāpēc iztīriet:

• wp-config.php kopijas, piemēram, wp-config.php.bak vai wp-config.old. Tajās ir Jūsu datubāzes parole, un tās tiek nosūtītas kā parasts teksts;
• dublējumkopijas, piemēram, backup.zip vai database.sql;
• izstrādātāja mapi .git;
• wp-content/debug.log;
• testa failus, piemēram, info.php ar phpinfo().

Ja vēlaties padarīt nepieejamu vienu atsevišķu failu, skatiet Failu bloķēšana ar .htaccess.

6. Galvenes un pieteikšanās

• Drošības galvenes norāda pārlūkprogrammai, kā rīkoties ar Jūsu vietni. Skatiet HSTS un drošības galvenes Jūsu vietnei.
• Pieteikšanās lapu ierobežojiet līdz savai IP adresei ar WordPress wp-login.php aizsardzība.
• Divpakāpju verifikācija administratoriem: skatiet Divpakāpju verifikācijas iestatīšana WordPress.

WordPress versijas slēpšana ir kārtības uzturēšana, nevis drošība: uzbrukuma programmas ievainojamību vienkārši izmēģina. Ievainojamību novērš tikai atjaunināšana.

Un drošības spraudnis?

Drošības spraudnis bieži apvieno ugunsmūri, skeneri un pieteikšanās aizsardzību. Spraudņa ugunsmūris sāk darboties tikai tad, kad WordPress jau ir palaists; servera ugunsmūris aptur pieprasījumus agrāk. Tāpēc spraudnis ir papildinājums, īpaši divpakāpju verifikācijai un pieteikšanās mēģinājumu ierobežošanai. Izmantojiet ne vairāk kā vienu: divi drošības spraudņi vienlaikus bieži konfliktē.

Lasīt vairāk

• Hardening WordPress (developer.wordpress.org, angļu valodā)

Vēlaties uzzināt vairāk? Apgūstiet bezmaksas WordPress kursu, nodarbība 7.4 Vietnes nostiprināšana: tiesības, galvenes un drošības spraudņi.