10 основных проблем безопасности WordPress и способы их решения

Обратите внимание, что неиспользуемые или неактивные темы и плагины представляют серьезную угрозу для веб-сайта WordPress. Следовательно, крайне важно, чтобы все плагины и темы, которые не используются, были немедленно удалены, чтобы убедиться, что в базе данных WordPress не осталось данных. Вот правильное руководство о том, как правильно удалить плагины WordPress.

В качестве общей меры предосторожности всегда загружайте самую последнюю версию тем и подключаемых модулей с надежного ресурса, чтобы убедиться, что подключаемый модуль или тема не открывают новую лазейку в безопасности на вашем сайте.

Не очень основы

Теперь, когда вы понимаете основы безопасности WordPress, пришло время ознакомиться со следующими расширенными советами по повышению безопасности ваших веб-сайтов.

СОВЕТ № 8: предотвращение SQL-инъекций и взлома URL-адресов

SQL-инъекции - это атаки, при которых злоумышленники встраивают SQL-команды в различные области веб-сайтов (в частности, в поле для комментариев и текстовые области). Эти команды могут поставить под угрозу базу данных SQL и раскрыть конфиденциальную информацию, хранящуюся в базе данных.

Изменение URL-адреса путем добавления операторов PHP - еще одна потенциальная угроза безопасности WordPress, при которой злоумышленники могут инициировать атаки на базу данных и другие компоненты веб-сайта.

Большинство веб-сайтов WordPress размещены на сервере Apache, у которого есть хитроумный трюк для противодействия этим атакам. На всех серверах Apache есть файл .htaccess, который определяет правила доступа к веб-сайту.

Чтобы уменьшить количество SQL-инъекций и взлома URL-адресов, добавьте следующий код в файл .htaccess, чтобы установить строгий набор правил.

 <IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond% {REQUEST_METHOD} ^ (HEAD | TRACE | DELETE | TRACK) [NC]
RewriteRule ^ (. *) $ - [F, L]
RewriteCond% {QUERY_STRING} \. \. \ / [NC, OR]
RewriteCond% {QUERY_STRING} boot \ .ini [NC, OR]
Тег RewriteCond% {QUERY_STRING} \ = [NC, OR]
RewriteCond% {QUERY_STRING} ftp \: [NC, OR]
RewriteCond% {QUERY_STRING} http \: [NC, OR]
RewriteCond% {QUERY_STRING} https \: [NC, OR]
RewriteCond% {QUERY_STRING} (\ <|% 3C). * Скрипт. * (\> |% 3E) [NC, OR]
RewriteCond% {QUERY_STRING} mosConfig_ [a-zA-Z _] {1,21} (= |% 3D) [NC, OR]
RewriteCond% {QUERY_STRING} base64_encode. * \ (. * \) [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (\ [| \] | \ (| \) | <|> | E | "|; | \? | \ * | = $). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (& # X22; | & # x27; | & # x3C; | & # x3E; | & # x5C; | & # x7B; | & # x7C;). * [NC, OR ]
RewriteCond% {QUERY_STRING} ^. * (% 24 & x). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (% 0 |% A |% B |% C |% D |% E |% F | 127 \ .0). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (Globals | encode | localhost | loopback). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (Запрос | выбор | вставить | объединение | объявление). * [NC]
RewriteCond% {HTTP_COOKIE}! ^. * WordPress_logged_in _. * $
RewriteRule ^ (. *) $ - [F, L]
</IfModule>

Как видите, код «дезинфицирует» данные, которые попадают в поля ввода. Кроме того, весь такой ввод обрабатывается как строка, а не как запрос SQL.

СОВЕТ № 9: запретите доступ к конфиденциальным файлам в WordPress

Установка WordPress содержит несколько конфиденциальных файлов, таких как файлы wp-config.php , install.php и readme.html . Эти файлы должны быть скрыты от постороннего доступа.

Опять же, .htaccess - ваш лучший друг. Вы можете добавить в файл следующие строки, чтобы предотвратить повреждение важных файлов. Следующий фрагмент кода также предотвращает доступ к спискам каталогов пользователей и скрывает важные файлы сервера и WordPress от несанкционированного доступа.

 Параметры Все -Индексы

<файлы .htaccess>
Заказать разрешить, запретить
Запретить всем
</files>

<файлы readme.html>
Заказать разрешить, запретить
Запретить всем
</files>

<файлы license.txt>
Заказать разрешить, запретить
Запретить всем
</files>

<файлы install.php>
Заказать разрешить, запретить
Запретить всем
</files>

<файлы wp-config.php>
Заказать разрешить, запретить
Запретить всем
</files>

<файл error_log>
Заказать разрешить, запретить
Запретить всем
</files>

<файлыantastico_fileslist.txt>
Заказать разрешить, запретить
Запретить всем
</files>

<файлы fantversion.php>
Заказать разрешить, запретить
Запретить всем
</files>

Если вы хотите глубже изучить использование файла .htaccess для оптимизации вашего WordPress, вот подробное описание файла .htaccess WordPress.

СОВЕТ № 10: измените префикс по умолчанию для базы данных

Скрыть версию WordPress : по умолчанию WordPress автоматически добавляет номер текущей версии в раздел заголовка тем. Отличный совет по безопасности - НИКОГДА не показывать версию WordPress публично просто потому, что злоумышленники могут запускать атаки против всех известных уязвимостей версии, упомянутой в заголовке.

Следующая простая строка кода должна быть включена в файл functions.php вашей темы, чтобы скрыть версии WordPress.

 remove_action ('wp_head', 'wp_generator');

Изменить префикс WordPress по умолчанию для базы данных : все таблицы в базе данных WordPress имеют имена, начинающиеся с префикса Хотя это кажется отличной функцией, для хакеров WordPress это значительно упрощает работу, устраняя некоторые догадки.

Пользователь может ограничить эту предсказуемость, изменив префикс WordPress по умолчанию для таблиц пользовательской базы данных при установке WordPress. Это также можно сделать для уже активных веб-сайтов, манипулируя пользовательскими базами данных в нескольких местах. Я рекомендую использовать один из лучших плагинов безопасности WordPress, который реализует ряд средств защиты для веб-сайта WordPress.

Cloudways помогает защитить сайты WordPress

После этого подробного руководства по защите веб-сайтов WordPress стоит упомянуть, что WordPress нельзя защитить изолированно. Пользователи WordPress также должны выбрать безопасную среду хостинга, которая предлагает безопасную среду для веб-сайта.

Вот как Cloudways обеспечивает безопасную среду хостинга WordPress.

• Первоклассные облачная инфраструктура: Cloudways имеет партнерские отношения с первоклассными поставщиками облачных инфраструктуры , которые имеют безопасность как их номер один. Размещение сайта WordPress в облаке обеспечивает высокий уровень безопасности.
• Брандмауэры : все серверы, запускаемые через Cloudways, поставляются с предустановленным брандмауэром, который действует как первая линия защиты веб-сайта.
• Мониторинг сервера . Мониторинг сервера помогает выявлять неожиданные всплески трафика, которые могут вывести веб-сайт из строя.
• Защита от ботов: Защита ботов направлена ​​на выявление и блокирование вредоносного трафика, защиту от атак, таких как атаки по словарю, веб-парсинг и атаки грубой силы. Это также помогает снизить использование ресурсов сервера для приложений WordPress. Эти атаки нацелены на получение несанкционированного доступа к вашему веб-сайту или его подавление, но Bot Protection отслеживает все эти действия и упреждающе блокирует их при обнаружении.
• Доступ по SSH и SFTP : многие хостинг-провайдеры по-прежнему используют FTP для доступа к файлам. Однако с Cloudways SFTP (протокол безопасной передачи файлов) ваше соединение зашифровано и безопасно. Если несколько команд работают над проектом, размещенным на сервере, им может быть назначен доступ к определенному приложению, а не ко всему серверу.
• Обновленная ОС и приложения : эксперты Cloudways следят за последними выпусками и обеспечивают их доступность после тестов стабильности и совместимости.
• Случайно сгенерированные учетные данные: все приложения, запускаемые через Cloudways, имеют случайно сгенерированные учетные данные по умолчанию, которые трудно угадать.
• Резервное копирование : в случае аварии резервное копирование сайта - лучший выбор для более быстрого аварийного восстановления. Вы можете установить частоту резервного копирования не более часа.
• Бесплатный сертификат SSL : Cloudways обеспечивает установку сертификата SSL одним щелчком мыши с функцией автоматического продления.
• Бесплатная промежуточная среда: Cloudways предлагает бесплатную промежуточную среду WordPress, чтобы все работало должным образом.
• Круглосуточная поддержка в чате без выходных : все еще беспокоитесь о безопасности и производительности сервера? Служба поддержки Cloudways работает круглосуточно.
• Поддержка по телефону: это дополнительный модуль поддержки премиум-класса, если вам нужна помощь, вы также можете связаться с нашим старшим инженером и напрямую ответить в любое время.

Часто задаваемые вопросы

В: Как исправить небезопасный WordPress?

О: Следуйте этому руководству и просмотрите все моменты, которые я упомянул, я надеюсь, что это вам очень поможет.

В: Должен ли я использовать сертификат SSL для защиты моего веб-сайта WordPress?

О: Да, стоит, большинство хостинговых компаний предлагают бесплатный SSL-сертификат в один клик.

В: Есть ли у WordPress проблемы с безопасностью?

О: WordPress - самая популярная система управления контентом (CMS), используемая сегодня. С помощью множества тем и плагинов можно легко настроить свой веб-сайт в соответствии со своими вкусами и предпочтениями. Однако безопасность WordPress - одна из основных проблем, которая беспокоит многих.

Нижняя линия

Советы по безопасности WordPress обеспечивают эффективный и безопасный веб-сайт. Однако многие люди забывают, что защита веб-сайта WordPress - это непрерывный процесс, который требует постоянного внимания перед лицом новых инструментов и уловок, появляющихся в киберпространстве.

Я настоятельно рекомендую пользователям WordPress вести журнал того, что произошло на WordPress, с помощью плагина аудита безопасности и использовать предпочтительный плагин безопасности WordPress, который укрепляет среду WordPress от угроз безопасности.

Не стесняйтесь добавлять, если думаете, что я что-то упустил. Я добавлю его в список как можно скорее. Если у вас есть вопросы, пишите в комментариях ниже.