Os 10 principais problemas de segurança do WordPress e como corrigi-los

Como precaução geral, sempre baixe a versão mais recente dos temas e plug-ins de um recurso confiável para garantir que o plug-in ou tema não abra uma nova brecha de segurança em seu site.

O não tão básico

Agora que você conhece os fundamentos da segurança do WordPress, é hora de verificar as dicas avançadas a seguir para aumentar a segurança de seus sites.

DICA Nº 8: Evite injeções de SQL e invasão de URL

As injeções de SQL são ataques nos quais os invasores incorporam comandos SQL em várias áreas dos sites (em particular na caixa de comentários e nas áreas de texto). Esses comandos podem comprometer o banco de dados SQL e podem revelar informações confidenciais armazenadas no banco de dados.

Modificar a URL adicionando instruções PHP é outra ameaça potencial à segurança do WordPress na qual os invasores podem disparar ataques no banco de dados e outros componentes do site.

A maioria dos sites WordPress são hospedados em um servidor Apache que possui um truque inteligente para conter esses ataques. Todos os servidores Apache possuem um arquivo .htaccess que define as regras de acesso ao site.

Para reduzir a incidência de injeções de SQL e invasão de URL, adicione o seguinte código ao arquivo .htaccess para estabelecer um forte conjunto de regras.

 <IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond% {REQUEST_METHOD} ^ (HEAD | TRACE | DELETE | TRACK) [NC]
RewriteRule ^ (. *) $ - [F, L]
RewriteCond% {QUERY_STRING} \. \. \ / [NC, OR]
RewriteCond% {QUERY_STRING} boot \ .ini [NC, OR]
RewriteCond% {QUERY_STRING} tag \ = [NC, OR]
RewriteCond% {QUERY_STRING} ftp \: [NC, OR]
RewriteCond% {QUERY_STRING} http \: [NC, OR]
RewriteCond% {QUERY_STRING} https \: [NC, OR]
RewriteCond% {QUERY_STRING} (\ <|% 3C). * Script. * (\> |% 3E) [NC, OR]
RewriteCond% {QUERY_STRING} mosConfig_ [a-zA-Z _] {1,21} (= |% 3D) [NC, OR]
RewriteCond% {QUERY_STRING} base64_encode. * \ (. * \) [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (\ [| \] | \ (| \) | <|> | E | "|; | \? | \ * | = $). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (& # X22; | & # x27; | & # x3C; | & # x3E; | & # x5C; | & # x7B; | & # x7C;). * [NC, OR ]
RewriteCond% {QUERY_STRING} ^. * (% 24 & x). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (% 0 |% A |% B |% C |% D |% E |% F | 127 \ .0). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (Globals | encode | localhost | loopback). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (Solicitação | selecionar | inserir | união | declarar). * [NC]
RewriteCond% {HTTP_COOKIE}! ^. * WordPress_logged_in _. * $
RewriteRule ^ (. *) $ - [F, L]
</IfModule>

Como você pode ver, o código “limpa” os dados que vão para os campos de entrada. Além disso, todas essas entradas são tratadas como uma string em vez de uma instrução de consulta SQL.

DICA # 9: negue acesso a arquivos confidenciais no WordPress

Uma instalação do WordPress contém vários arquivos confidenciais, como os arquivos wp-config.php , install.php e readme.html . Esses arquivos devem ser mantidos ocultos de todo acesso externo.

Novamente, .htaccess é seu melhor amigo. Você pode adicionar as seguintes linhas ao arquivo para evitar que arquivos importantes sejam desfigurados. O fragmento de código a seguir também impede o acesso às listas de diretórios do usuário e oculta o servidor confidencial e arquivos do WordPress contra acesso não autorizado.

 Opções Todos - Índices

<arquivos .htaccess>
Pedido permitir, negar
Negar de todos
</files>

<arquivos readme.html>
Pedido permitir, negar
Negar de todos
</files>

<arquivos license.txt>
Pedido permitir, negar
Negar de todos
</files>

<arquivos install.php>
Pedido permitir, negar
Negar de todos
</files>

<arquivos wp-config.php>
Pedido permitir, negar
Negar de todos
</files>

<arquivos error_log>
Pedido permitir, negar
Negar de todos
</files>

<arquivos fantastico_fileslist.txt>
Pedido permitir, negar
Negar de todos
</files>

<arquivos fantversion.php>
Pedido permitir, negar
Negar de todos
</files>

Se você deseja se aprofundar no uso do arquivo .htaccess para otimizar seu WordPress, aqui está uma descrição detalhada do arquivo .htaccess do WordPress.

DICA # 10: Altere o prefixo padrão do banco de dados

Ocultar versão do WordPress : Por padrão, o WordPress adiciona automaticamente o número da versão atual à seção principal dos temas. Uma ótima dica de segurança é NUNCA exibir a versão do WordPress publicamente, simplesmente porque os invasores podem lançar ataques contra todas as vulnerabilidades conhecidas da versão mencionada no cabeçalho.

A seguinte linha de código simples deve ser incluída no arquivo functions.php do seu tema para ocultar as versões do WordPress.

 remove_action ('wp_head', 'wp_generator');

Alterar o prefixo padrão do WordPress para banco de dados : Todas as tabelas em um banco de dados do WordPress têm nomes que começam com o prefixo Embora pareça ser um ótimo recurso, para os hackers do WordPress, isso simplifica muito as coisas, removendo algumas das suposições.

Um usuário pode limitar essa previsibilidade alterando o prefixo padrão do WordPress das tabelas do banco de dados do usuário ao instalar o WordPress. Isso também pode ser feito para sites já ativos, manipulando bancos de dados de usuários em vários lugares. Eu recomendo usar um dos melhores plug-ins de segurança do WordPress que implementam uma variedade de defesas para o site do WordPress.

Cloudways ajuda a proteger sites WordPress

Após este guia detalhado para proteger sites WordPress, vale a pena mencionar que o WordPress não pode ser protegido isoladamente. Os usuários do WordPress também devem optar por um ambiente de hospedagem seguro que oferece um ambiente seguro para o site.

Aqui está como a Cloudways fornece um ambiente de hospedagem WordPress seguro.

• Infraestrutura em nuvem de primeira classe : a Cloudways fez parceria com provedores de infraestrutura em nuvem de primeira linha que têm a segurança como sua preocupação número UM. Hospedar um site WordPress na nuvem garante um alto nível de segurança.
• Firewalls : Todos os servidores lançados via Cloudways vêm com um firewall pré-instalado que atua como a primeira linha de defesa do site.
• Monitoramento de servidor : monitorar um servidor ajuda a identificar picos inesperados de alto tráfego que podem derrubar o site.
• Proteção contra bots: A proteção contra bots tem como objetivo identificar e bloquear tráfego malicioso, proteger contra ataques como ataques de dicionário, Web Scraping e ataques de força bruta. Também ajuda a reduzir o uso de recursos do servidor para aplicativos WordPress. Esses ataques têm como objetivo obter acesso não autorizado ao seu site ou oprimi-lo, mas a proteção contra bots monitora todas essas atividades e bloqueia proativamente após a detecção.
• Acesso SSH e SFTP : Muitos provedores de hospedagem ainda usam FTP para acessar arquivos. No entanto, com Cloudways SFTP (Secure File Transfer Protocol), sua conexão é criptografada e segura. Se várias equipes estiverem trabalhando em um projeto hospedado em um servidor, elas podem receber acesso a um aplicativo específico em vez de ao servidor inteiro.
• SO e aplicativos atualizados : os especialistas da Cloudways ficam de olho nos lançamentos mais recentes e garantem sua disponibilidade após testes de estabilidade e compatibilidade.
• Credenciais geradas aleatoriamente : todos os aplicativos iniciados via Cloudways têm credenciais geradas aleatoriamente padrão que são difíceis de adivinhar.
• Backup : em caso de desastre, o backup do site é sua melhor aposta para uma recuperação de desastre mais rápida. Você pode definir a frequência de backup para até uma hora.
• Certificado SSL grátis : Cloudways fornece uma instalação de certificado SSL de um clique com um recurso de renovação automática.
• Ambiente de teste gratuito: Cloudways oferece um ambiente de teste gratuito do WordPress para garantir que tudo continue funcionando conforme o esperado.
• Suporte de chat ao vivo 24 horas por dia, 7 dias por semana : Ainda está preocupado com a segurança e o desempenho do servidor? O Suporte Cloudways está sempre disponível o tempo todo.
• Suporte por telefone: este é o complemento de suporte premium, se você precisar de qualquer assistência, você também pode entrar em contato e nosso engenheiro sênior responderá diretamente a qualquer momento.

Faça perguntas frequentes

P: Como faço para corrigir o WordPress não seguro?

R: Siga este guia e veja todos os pontos que mencionei, espero que te ajude muito.

P: Devo usar um certificado SSL para proteger meu site WordPress?

R: Sim, você deve, a maioria das empresas de hospedagem oferece certificado SSL gratuito de um clique.

P: O WordPress tem problemas de segurança?

R: WordPress é o Sistema de gerenciamento de conteúdo (CMS) mais utilizado atualmente. Com a ajuda de vários temas e plug-ins, é possível personalizar facilmente seu site de acordo com seus gostos e preferências. No entanto, a segurança do WordPress é um dos principais problemas que preocupam muitos.

Bottomline

As dicas de segurança do WordPress garantem um site eficaz e seguro. No entanto, muitas pessoas esquecem que defender um site WordPress é um processo contínuo que precisa de atenção contínua diante de novas ferramentas e truques que surgem no ciberespaço.

Eu sugiro fortemente que os usuários do WordPress mantenham um registro do que aconteceu no WordPress usando um plug-in de auditoria de segurança e usem o plug-in de segurança WordPress preferido que fortalece o ambiente WordPress contra ameaças de segurança.

Sinta-se à vontade para acrescentar se achar que perdi algo. Vou adicioná-lo à lista o mais rápido possível. Se você tiver alguma dúvida, poste nos comentários abaixo.