ปัญหาด้านความปลอดภัย 10 อันดับแรกของ WordPress และวิธีแก้ไข

เพื่อเป็นการป้องกันไว้ก่อนโดยทั่วไป ให้ดาวน์โหลดธีมและปลั๊กอินเวอร์ชันล่าสุดจากแหล่งข้อมูลที่เชื่อถือได้เสมอ เพื่อให้แน่ใจว่าปลั๊กอินหรือธีมจะไม่เปิดช่องโหว่ด้านความปลอดภัยใหม่ในไซต์ของคุณ

พื้นฐานที่ไม่ธรรมดา

เมื่อคุณมีความเข้าใจพื้นฐานของความปลอดภัยของ WordPress แล้ว ก็ถึงเวลาตรวจสอบเคล็ดลับขั้นสูงต่อไปนี้เพื่อเพิ่มความปลอดภัยให้กับเว็บไซต์ของคุณ

เคล็ดลับ #8: ป้องกันการแทรก SQL และการแฮ็ก URL

การฉีด SQL เป็นการโจมตีที่ผู้โจมตีฝังคำสั่ง SQL ในส่วนต่างๆ ของเว็บไซต์ (โดยเฉพาะช่องแสดงความคิดเห็นและพื้นที่ข้อความ) คำสั่งเหล่านี้สามารถประนีประนอมฐานข้อมูล SQL และอาจเปิดเผยข้อมูลที่ละเอียดอ่อนที่จัดเก็บไว้ในฐานข้อมูล

การปรับเปลี่ยน URL โดยการเพิ่มคำสั่ง PHP เป็นภัยคุกคามต่อความปลอดภัยของ WordPress อีกประการหนึ่ง ซึ่งผู้โจมตีสามารถเรียกการโจมตีฐานข้อมูลและส่วนประกอบอื่นๆ ของเว็บไซต์ได้

เว็บไซต์ WordPress ส่วนใหญ่โฮสต์บนเซิร์ฟเวอร์ Apache ที่มีเคล็ดลับอันชาญฉลาดในการตอบโต้การโจมตีเหล่านี้ เซิร์ฟเวอร์ Apache ทั้งหมดมีไฟล์ .htaccess ที่กำหนดกฎการเข้าถึงสำหรับเว็บไซต์

เพื่อลดอุบัติการณ์ของการฉีด SQL และการแฮ็ก URL ให้เพิ่มโค้ดต่อไปนี้ในไฟล์ .htaccess เพื่อวางกฎเกณฑ์ที่เข้มงวด

 <IfModule mod_rewrite.c>
RewriteEngine บน
รีไรท์เบส /
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]
RewriteRule ^(.*)$ - [F,L]
RewriteCond %{QUERY_STRING} \.\.\/ [NC,OR]
RewriteCond %{QUERY_STRING} boot\.ini [NC,OR]
แท็ก RewriteCond %{QUERY_STRING}\= [NC,OR]
RewriteCond %{QUERY_STRING} ftp\: [NC,OR]
RewriteCond %{QUERY_STRING} http\: [NC,OR]
RewriteCond %{QUERY_STRING} https\: [NC,OR]
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,OR]
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(\[|\]|\(|\)|<|>|e|"|;|\?|\*|=$).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(&#x22;|&#x27;|&#x3C;|&#x3E;|&#x5C;|&#x7B;|&#x7C;).* [NC,OR] ]
RewriteCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127\.0).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|เข้ารหัส|localhost|loopback).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(คำขอ|เลือก|แทรก|สหภาพ|ประกาศ).* [NC]
RewriteCond %{HTTP_COOKIE} !^.*WordPress_logged_in_.*$
RewriteRule ^(.*)$ - [F,L]
</IfModule>

อย่างที่คุณเห็น รหัส "ฆ่าเชื้อ" ข้อมูลที่เข้าสู่ช่องป้อนข้อมูล นอกจากนี้ อินพุตดังกล่าวทั้งหมดจะถือเป็นสตริงแทนคำสั่งเคียวรี SQL

เคล็ดลับ #9: ปฏิเสธการเข้าถึงไฟล์ที่ละเอียดอ่อนใน WordPress

การติดตั้ง WordPress ประกอบด้วยไฟล์ที่มีความละเอียดอ่อนหลายไฟล์ เช่น ไฟล์ wp-config.php , install.php และ readme.html ไฟล์เหล่านี้ต้องถูกซ่อนจากการเข้าถึงภายนอกทั้งหมด

อีกครั้ง .htaccess เป็นเพื่อนที่ดีที่สุดของคุณ คุณสามารถเพิ่มบรรทัดต่อไปนี้ในไฟล์เพื่อป้องกันไม่ให้ไฟล์สำคัญเสียหาย ข้อมูลโค้ดต่อไปนี้ยังป้องกันการเข้าถึงรายการไดเร็กทอรีของผู้ใช้และซ่อนเซิร์ฟเวอร์ที่ละเอียดอ่อนและไฟล์ WordPress จากการเข้าถึงโดยไม่ได้รับอนุญาต

 ตัวเลือก ทั้งหมด -ดัชนี

<ไฟล์ .htaccess>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

<ไฟล์ readme.html>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

<ไฟล์ license.txt>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

<ไฟล์ install.php>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

<ไฟล์ wp-config.php>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

<files error_log>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

<files fantastico_fileslist.txt>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

<ไฟล์ fantversion.php>
อนุญาติให้ปฏิเสธ
ปฏิเสธทั้งหมด
</files>

หากคุณต้องการเจาะลึกเกี่ยวกับการใช้ไฟล์ .htaccess เพื่อเพิ่มประสิทธิภาพ WordPress ของคุณ นี่คือคำอธิบายโดยละเอียดของไฟล์ WordPress .htaccess

เคล็ดลับ #10: เปลี่ยนคำนำหน้าเริ่มต้นสำหรับฐานข้อมูล

ซ่อนเวอร์ชันของ WordPress : ตามค่าเริ่มต้น WordPress จะเพิ่มหมายเลขเวอร์ชันปัจจุบันไปที่ส่วนหัวของธีมโดยอัตโนมัติ เคล็ดลับด้านความปลอดภัยที่ยอดเยี่ยมคืออย่าแสดงเวอร์ชัน WordPress ต่อสาธารณะ เพียงเพราะว่าผู้โจมตีสามารถเปิดการโจมตีต่อช่องโหว่ที่รู้จักทั้งหมดของเวอร์ชันที่กล่าวถึงในส่วนหัว

ควรรวมบรรทัดโค้ดง่ายๆ ต่อไปนี้ไว้ในไฟล์ functions.php ของธีมของคุณเพื่อซ่อนเวอร์ชัน WordPress

 remove_action( 'wp_head', 'wp_generator' );

เปลี่ยนคำนำหน้า WordPress เริ่มต้นสำหรับฐานข้อมูล : ตารางทั้งหมดในฐานข้อมูล WordPress มีชื่อที่ขึ้นต้นด้วยคำนำหน้า แม้ว่าสิ่งนี้ดูเหมือนจะเป็นคุณสมบัติที่ยอดเยี่ยม แต่สำหรับแฮกเกอร์ WordPress สิ่งนี้ทำให้สิ่งต่าง ๆ ง่ายขึ้นอย่างมากโดยการลบการคาดเดาบางอย่าง

ผู้ใช้สามารถจำกัดการคาดการณ์นี้ได้โดยเปลี่ยนคำนำหน้า WordPress เริ่มต้นของตารางฐานข้อมูลผู้ใช้ขณะติดตั้ง WordPress สิ่งนี้สามารถทำได้สำหรับเว็บไซต์ที่เปิดใช้งานอยู่แล้วโดยจัดการฐานข้อมูลผู้ใช้ในหลาย ๆ ที่ ฉันแนะนำให้ใช้ปลั๊กอินความปลอดภัย WordPress ที่ดีที่สุดตัวใดตัวหนึ่งที่ใช้การป้องกันที่หลากหลายสำหรับเว็บไซต์ WordPress

Cloudways ช่วยในการรักษาความปลอดภัยไซต์ WordPress

หลังจากคำแนะนำโดยละเอียดเกี่ยวกับการรักษาความปลอดภัยของเว็บไซต์ WordPress แล้ว คุณควรพูดถึงว่า WordPress ไม่สามารถแยกส่วนได้อย่างปลอดภัย ผู้ใช้ WordPress ควรเลือกใช้สภาพแวดล้อมการโฮสต์ที่ปลอดภัยซึ่งมีสภาพแวดล้อมที่ปลอดภัยสำหรับเว็บไซต์

นี่คือวิธีที่ Cloudways มอบสภาพแวดล้อมการโฮสต์ WordPress ที่ปลอดภัย

• โครงสร้างพื้นฐานคลาวด์ระดับเฟิร์สคลาส : Cloudways ได้ร่วมมือกับผู้ให้บริการโครงสร้างพื้นฐานคลาวด์ระดับแนวหน้าที่มีความปลอดภัยเป็นข้อกังวลอันดับหนึ่งของพวกเขา การโฮสต์ไซต์ WordPress บนคลาวด์ช่วยให้มั่นใจได้ถึงความปลอดภัยในระดับสูง
• ไฟร์วอลล์ : เซิร์ฟเวอร์ทั้งหมดที่เปิดตัวผ่าน Cloudways มาพร้อมกับไฟร์วอลล์ที่ติดตั้งไว้ล่วงหน้าซึ่งทำหน้าที่เป็นแนวป้องกันด่านแรกของเว็บไซต์
• การตรวจสอบเซิร์ฟเวอร์ : การตรวจสอบเซิร์ฟเวอร์ช่วยในการระบุการเข้าชมสูงที่ไม่คาดคิดซึ่งอาจทำให้เว็บไซต์ล่มได้
• การป้องกันบ็อต: การป้องกัน บอทมีจุดมุ่งหมายเพื่อระบุและบล็อกทราฟฟิกที่เป็นอันตราย ปกป้องจากการโจมตี เช่น การโจมตีด้วยพจนานุกรม, Web Scraping และการโจมตีแบบ Brute Force นอกจากนี้ยังช่วยลดการใช้ทรัพยากรเซิร์ฟเวอร์สำหรับแอปพลิเคชัน WordPress การโจมตีเหล่านี้มีเป้าหมายเพื่อเข้าถึงเว็บไซต์ของคุณโดยไม่ได้รับอนุญาตหรือครอบงำเว็บไซต์ แต่ Bot Protection จะตรวจสอบกิจกรรมทั้งหมดเหล่านี้และบล็อกในเชิงรุกเมื่อตรวจพบ
• การเข้าถึง SSH & SFTP : ผู้ให้บริการโฮสต์หลายรายยังคงใช้ FTP เพื่อเข้าถึงไฟล์ อย่างไรก็ตาม ด้วย Cloudways SFTP (Secure File Transfer Protocol) การเชื่อมต่อของคุณจะถูกเข้ารหัสและปลอดภัย ถ้าหลายทีมกำลังทำงานในโครงการที่โฮสต์บนเซิร์ฟเวอร์ พวกเขาจะได้รับมอบหมายให้เข้าถึงแอปพลิเคชันเฉพาะแทนทั้งเซิร์ฟเวอร์
• ระบบปฏิบัติการและแอปพลิเคชันที่อัปเดต : ผู้เชี่ยวชาญที่ Cloudways คอยจับตาดูรุ่นล่าสุดและรับรองความพร้อมใช้งานหลังจากการทดสอบความเสถียรและความเข้ากันได้
• ข้อมูลรับรองที่สร้างแบบสุ่ม : แอปพลิเคชันทั้งหมดที่เปิดใช้ผ่าน Cloudways มีข้อมูลรับรองที่สร้างแบบสุ่มโดยค่าเริ่มต้นซึ่งยากต่อการคาดเดา
• การสำรองข้อมูล : ในกรณีที่เกิดภัยพิบัติ การสำรองข้อมูลไซต์เป็นทางเลือกที่ดีที่สุดสำหรับการกู้คืนจากความเสียหายที่รวดเร็วยิ่งขึ้น คุณสามารถตั้งค่าความถี่ในการสำรองข้อมูลได้ต่ำถึงหนึ่งชั่วโมง
• ใบรับรอง SSL ฟรี : Cloudways ให้การติดตั้งใบรับรอง SSL แบบคลิกเดียวพร้อมคุณสมบัติการต่ออายุอัตโนมัติ
• สภาพแวดล้อมการจัดเตรียมฟรี: Cloudways เสนอสภาพแวดล้อมการจัดเตรียม WordPress ฟรีเพื่อให้แน่ใจว่าทุกอย่างยังคงทำงานตามที่ตั้งใจไว้
• 24/7 Live Chat Support : ยังกังวลเกี่ยวกับความปลอดภัยและประสิทธิภาพของเซิร์ฟเวอร์ใช่หรือไม่ การสนับสนุน Cloudways พร้อมให้บริการตลอดเวลา
• การสนับสนุนทางโทรศัพท์: นี่คือส่วนเสริมการสนับสนุนระดับพรีเมียมหากคุณต้องการความช่วยเหลือใด ๆ คุณสามารถติดต่อและวิศวกรอาวุโสของเราพร้อมตอบกลับโดยตรงได้ตลอดเวลา

คำถามที่พบบ่อย

ถาม: ฉันจะแก้ไข WordPress ไม่ปลอดภัยได้อย่างไร

ตอบ: ทำตามคำแนะนำนี้และดูทุกประเด็นที่ฉันได้กล่าวถึง ฉันหวังว่ามันจะช่วยคุณได้มาก

ถาม: ฉันควรใช้ใบรับรอง SSL เพื่อรักษาความปลอดภัยเว็บไซต์ WordPress ของฉันหรือไม่

ตอบ: ใช่ คุณควรจะมี บริษัทโฮสติ้งส่วนใหญ่เสนอใบรับรอง SSL แบบคลิกเดียวฟรี

ถาม: WordPress มีปัญหาด้านความปลอดภัยหรือไม่?

ตอบ: WordPress เป็นระบบจัดการเนื้อหา (CMS) ที่ได้รับความนิยมมากที่สุดในปัจจุบัน ด้วยความช่วยเหลือของธีมและปลั๊กอินมากมาย เราสามารถปรับแต่งเว็บไซต์ตามรสนิยมและความชอบได้อย่างง่ายดาย อย่างไรก็ตาม WordPress Security เป็นหนึ่งในประเด็นสำคัญที่หลายคนกังวล

ด้านล่าง

เคล็ดลับความปลอดภัยของ WordPress ช่วยให้มั่นใจได้ถึงเว็บไซต์ที่มีประสิทธิภาพและปลอดภัย อย่างไรก็ตาม หลายคนลืมไปว่าการปกป้องเว็บไซต์ WordPress เป็นกระบวนการต่อเนื่องที่ต้องการความสนใจอย่างต่อเนื่องเมื่อเผชิญกับเครื่องมือและลูกเล่นใหม่ๆ ที่เกิดขึ้นในโลกไซเบอร์

ฉันขอแนะนำอย่างยิ่งให้ผู้ใช้ WordPress เก็บบันทึกสิ่งที่เกิดขึ้นบน WordPress โดยใช้ปลั๊กอินตรวจสอบความปลอดภัย และใช้ปลั๊กอินความปลอดภัย WordPress ที่ต้องการ ซึ่งช่วยเสริมความแข็งแกร่งให้กับสภาพแวดล้อมของ WordPress จากภัยคุกคามด้านความปลอดภัย

รู้สึกอิสระที่จะเพิ่มถ้าคุณคิดว่าฉันพลาดบางสิ่งบางอย่างไป ฉันจะเพิ่มลงในรายการโดยเร็วที่สุด หากคุณมีคำถามใด ๆ โปรดโพสต์ในความคิดเห็นด้านล่าง