10 najważniejszych problemów z bezpieczeństwem WordPressa i jak je naprawić

Pamiętaj, że nieużywane lub nieaktywne motywy i wtyczki stanowią poważne zagrożenie dla witryny WordPress. Dlatego niezwykle ważne jest, aby wszystkie wtyczki i motywy, które nie są używane, zostały natychmiast usunięte, aby upewnić się, że żadne dane nie pozostają w bazie danych WordPress. Oto odpowiedni przewodnik, jak prawidłowo odinstalować wtyczki WordPress.

W ramach ogólnych środków ostrożności zawsze pobieraj najnowszą wersję motywów i wtyczek z zaufanego zasobu, aby upewnić się, że wtyczka lub motyw nie otworzy nowej luki w zabezpieczeniach w Twojej witrynie.

Nie tak podstawowe

Teraz, gdy znasz już podstawy bezpieczeństwa WordPressa, nadszedł czas, aby zapoznać się z poniższymi zaawansowanymi wskazówkami dotyczącymi zwiększania bezpieczeństwa swoich stron internetowych.

WSKAZÓWKA #8: Zapobiegaj wstrzykiwaniu SQL i hakowaniu adresów URL

Wstrzyknięcia SQL to ataki, w których atakujący osadzają polecenia SQL w różnych obszarach stron internetowych (w szczególności w polu komentarza i polach tekstowych). Te polecenia mogą naruszyć bazę danych SQL i mogą ujawnić poufne informacje przechowywane w bazie danych.

Modyfikacja adresu URL poprzez dodanie instrukcji PHP to kolejne potencjalne zagrożenie dla bezpieczeństwa WordPressa, w którym atakujący mogą wywołać ataki na bazę danych i inne komponenty strony.

Większość witryn WordPress jest hostowanych na serwerze Apache, który ma sprytną sztuczkę, aby przeciwdziałać tym atakom. Wszystkie serwery Apache posiadają plik .htaccess definiujący reguły dostępu do serwisu WWW.

Aby zmniejszyć liczbę przypadków wstrzyknięć SQL i hakowania adresów URL, dodaj następujący kod do pliku .htaccess, aby określić silny zestaw reguł.

 <IfModule mod_rewrite.c>
RewriteEngine włączony
Przepisz bazę /
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]
Przepisz regułę ^(.*)$ - [F,L]
RewriteCond %{QUERY_STRING} \.\.\/ [NC,OR]
RewriteCond %{QUERY_STRING} boot\.ini [NC,OR]
RewriteCond tag %{QUERY_STRING}\= [NC,OR]
RewriteCond %{QUERY_STRING} ftp\: [NC,OR]
RewriteCond %{QUERY_STRING} http\: [NC,OR]
RewriteCond %{QUERY_STRING} https\: [NC,OR]
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,LUB]
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(\[|\]|\(|\)|<|>|e|"|;|\?|\*|=$).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(&#x22;|&#x27;|&#x3C;|&#x3E;|&#x5C;|&#x7B;|&#x7C;).* [NC,OR ]
RewriteCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127\.0).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare).* [NC]
PrzepiszCond %{HTTP_COOKIE} !^.*WordPress_logged_in_.*$
Przepisz regułę ^(.*)$ - [F,L]
</IfModule>

Jak widać, kod „czyści” dane, które trafiają do pól wejściowych. Ponadto wszystkie takie dane wejściowe są traktowane jako ciąg znaków, a nie zapytanie SQL.

WSKAZÓWKA #9: Odmów dostępu do wrażliwych plików w WordPress

Instalacja WordPressa zawiera kilka poufnych plików, takich jak wp-config.php , install.php i readme.html . Pliki te muszą być ukryte przed dostępem z zewnątrz.

Ponownie, .htaccess jest twoim najlepszym przyjacielem. Możesz dodać do pliku następujące wiersze, aby zapobiec uszkodzeniu ważnych plików. Poniższy fragment kodu zapobiega również dostępowi do wykazów katalogów użytkowników i ukrywa poufne pliki serwera i WordPress przed nieautoryzowanym dostępem.

 Opcje Wszystkie -Indeksy

<pliki .htaccess>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

<pliki readme.html>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

<pliki licencja.txt>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

<pliki install.php>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

<pliki wp-config.php>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

<files error_log>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

<files fantastico_fileslist.txt>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

<pliki fantversion.php>
Zamów zezwól, odrzuć
Odmowa od wszystkich
</file>

Jeśli chcesz zagłębić się w wykorzystanie pliku .htaccess do optymalizacji WordPress, oto szczegółowy opis pliku .htaccess WordPress.

WSKAZÓWKA #10: Zmień domyślny prefiks dla bazy danych

Ukryj wersję WordPress : Domyślnie WordPress automatycznie dodaje bieżący numer wersji do sekcji nagłówka motywów. Świetną wskazówką dotyczącą bezpieczeństwa jest, aby NIGDY nie wyświetlać publicznie wersji WordPressa, po prostu dlatego, że atakujący mogą przeprowadzać ataki na wszystkie znane luki w wersji wymienionej w nagłówku.

Poniższy prosty wiersz kodu powinien znajdować się w pliku functions.php motywu, aby ukryć wersje WordPress.

 remove_action( 'wp_head', 'wp_generator' );

Zmień domyślny prefiks WordPress dla bazy danych : Wszystkie tabele w bazie danych WordPress mają nazwy zaczynające się od prefiksu Chociaż wydaje się to być świetną funkcją, dla hakerów WordPressa, znacznie upraszcza to, usuwając niektóre zgadywania.

Użytkownik może ograniczyć tę przewidywalność, zmieniając domyślny prefiks WordPress tabel bazy danych użytkownika podczas instalacji WordPress. Można to również zrobić w przypadku już aktywnych witryn internetowych, manipulując bazami danych użytkowników w kilku miejscach. Polecam korzystanie z jednej z najlepszych wtyczek bezpieczeństwa WordPress, które wdrażają szereg zabezpieczeń dla witryny WordPress.

Cloudways pomaga w zabezpieczaniu witryn WordPress

Po tym szczegółowym przewodniku po zabezpieczaniu witryn WordPress warto wspomnieć, że WordPress nie może być zabezpieczony w izolacji. Użytkownicy WordPressa powinni również wybrać bezpieczne środowisko hostingowe, które oferuje bezpieczne środowisko dla witryny.

Oto jak Cloudways zapewnia bezpieczne środowisko hostingu WordPress.

• Infrastruktura chmurowa pierwszej klasy : Cloudways współpracuje z najlepszymi dostawcami infrastruktury chmurowej, dla których bezpieczeństwo jest ich głównym problemem. Hosting witryny WordPress w chmurze zapewnia wysoki poziom bezpieczeństwa.
• Zapory ogniowe : Wszystkie serwery uruchamiane za pośrednictwem Cloudways są wyposażone we wstępnie zainstalowaną zaporę ogniową, która działa jako pierwsza linia obrony witryny.
• Monitorowanie serwera : Monitorowanie serwera pomaga w identyfikowaniu nieoczekiwanych dużych skoków ruchu, które mogą spowodować awarię witryny.
• Bot Protection: Bot Protection ma na celu identyfikowanie i blokowanie złośliwego ruchu, ochronę przed atakami, takimi jak ataki słownikowe, Web Scraping i ataki Brute Force. Pomaga również zmniejszyć zużycie zasobów serwera dla aplikacji WordPress. Ataki te mają na celu uzyskanie nieautoryzowanego dostępu do Twojej witryny lub przytłoczenie jej, ale Ochrona przed botami monitoruje wszystkie te działania i proaktywnie blokuje po wykryciu.
• Dostęp SSH i SFTP : wielu dostawców hostingu nadal korzysta z FTP w celu uzyskania dostępu do plików. Jednak dzięki Cloudways SFTP (Secure File Transfer Protocol) Twoje połączenie jest szyfrowane i bezpieczne. Jeśli wiele zespołów pracuje nad projektem hostowanym na serwerze, można im przypisać dostęp do konkretnej aplikacji zamiast do całego serwera.
• Zaktualizowany system operacyjny i aplikacje : Eksperci w Cloudways śledzą najnowsze wydania i zapewniają ich dostępność po testach stabilności i kompatybilności.
• Poświadczenia generowane losowo : Wszystkie aplikacje uruchamiane za pośrednictwem Cloudways mają domyślne, losowo generowane poświadczenia, które są trudne do odgadnięcia.
• Kopia zapasowa : W przypadku awarii kopia zapasowa witryny jest najlepszym sposobem na szybsze odzyskiwanie danych po awarii. Możesz ustawić częstotliwość tworzenia kopii zapasowych na zaledwie godzinę.
• Darmowy certyfikat SSL : Cloudways zapewnia instalację certyfikatu SSL jednym kliknięciem z funkcją automatycznego odnawiania.
• Darmowe środowisko pomostowe: Cloudways oferuje bezpłatne środowisko pomostowe WordPress, aby upewnić się, że wszystko działa zgodnie z przeznaczeniem.
• Całodobowa pomoc techniczna na czacie na żywo : Nadal martwisz się o bezpieczeństwo i wydajność serwera? Wsparcie Cloudways jest dostępne przez całą dobę.
• Wsparcie telefoniczne: Jest to dodatek do wsparcia premium, jeśli potrzebujesz pomocy, z którą możesz się również skontaktować, a nasz starszy inżynier może odpowiedzieć bezpośrednio w dowolnym momencie.

Często zadawaj pytania

P: Jak naprawić niezabezpieczony WordPress?

O: Postępuj zgodnie z tym przewodnikiem i zobacz wszystkie punkty, o których wspomniałem, mam nadzieję, że bardzo ci to pomoże.

P: Czy powinienem używać certyfikatu SSL, aby zabezpieczyć moją witrynę WordPress?

O: Tak, powinieneś, większość firm hostingowych oferuje darmowy certyfikat SSL za jednym kliknięciem.

P: Czy WordPress ma problemy z bezpieczeństwem?

O: WordPress jest najpopularniejszym obecnie używanym systemem zarządzania treścią (CMS). Za pomocą licznych motywów i wtyczek można łatwo dostosować swoją stronę internetową do swoich upodobań i upodobań. Jednak WordPress Security to jeden z głównych problemów, który budzi niepokój wielu.

Konkluzja

Wskazówki dotyczące bezpieczeństwa WordPress zapewniają skuteczną i bezpieczną stronę internetową. Jednak wiele osób zapomina, że ​​obrona witryny WordPress to ciągły proces, który wymaga ciągłej uwagi w obliczu nowych narzędzi i sztuczek pojawiających się w cyberprzestrzeni.

Zdecydowanie sugeruję, aby użytkownicy WordPressa prowadzili dziennik zdarzeń na WordPressie za pomocą wtyczki audytu bezpieczeństwa i korzystali z preferowanej wtyczki zabezpieczającej WordPress, która wzmacnia środowisko WordPress przed zagrożeniami bezpieczeństwa.

Zapraszam do dodania, jeśli uważasz, że coś przegapiłem. Dodam to do listy JAK NAJSZYBCIEJ. Jeśli masz jakieś pytania, zamieść je w komentarzach poniżej.