WordPress apsaugos kontrolinis sąrašas

WordPress veikia didžiulėje interneto dalyje, todėl yra mėgstamas automatinių atakų taikinys. Pati branduolio programinė įranga gerai prižiūrima — dauguma pažeidimų kyla iš pasenusių įskiepių, silpnų prisijungimų ir aplaidžios konfigūracijos. Šis kontrolinis sąrašas apima praktinius žingsnius, kurie uždaro tas spragas, pagal svarbą.

1. Atnaujinkite branduolį, temas ir įskiepius

Pasenę komponentai yra WordPress pažeidimų priežastis numeris vienas. Įjunkite automatinius branduolio atnaujinimus, o kur jais pasitikite — ir įskiepiams bei temoms. Likusius peržiūrėkite kas savaitę. Ištrinkite bet kokią temą ar įskiepį, kurio aktyviai nenaudojate — net deaktyvuotas kodas diske gali būti išnaudotas, jei jame yra žinoma spraga.

2. Užrakinkite prisijungimą

Į wp-login.php puslapį nuolat daužo botai. Sustiprinkite jį:

• Naudokite stiprius, unikalius slaptažodžius kiekvienai paskyrai.
• Įjunkite dviejų veiksnių autentifikaciją (2FA) visiems administratoriams.
• Ribokite prisijungimo bandymus, kad atbukintumėte brutalios jėgos atakas.
• Venkite numatytojo admin naudotojo vardo.
• Kur praktiška, apribokite prieigą prie administravimo srities pagal IP.

3. Naudokite mažiau įskiepių iš patikimų šaltinių

Kiekvienas įskiepis yra jūsų svetainėje veikiantis kodas, ir kiekvienas yra potencialus įėjimo taškas. Įdiekite tik tai, ko tikrai reikia, ir tik iš gerą reputaciją turinčių šaltinių — oficialaus katalogo ar įsitvirtinusių komercinių tiekėjų, žinomų dėl greitų saugumo atnaujinimų. Venkite apleistų įskiepių, kurie ilgai nebuvo atnaujinti, ir niekada nediekite piratinių ar „nulled“ mokamų įskiepių, kurie dažnai slepia kenkėjišką programą.

Sritis	Veiksmas	Prioritetas
Atnaujinimai	Automatinis branduolio; įskiepiai peržiūrimi kas savaitę	Aukštas
Prisijungimas	2FA + bandymų ribojimas + stiprūs slaptažodžiai	Aukštas
Įskiepiai	Minimalūs, patikimi, prižiūrimi	Aukštas
Failų redagavimas	Išjungti skydelio redaktorių	Vidutinis
Antraštės	Pridėti saugumo antraštes	Vidutinis
Atsarginės kopijos	Automatinės, nutolusios, patikrintos	Aukštas

4. Išjunkite integruotą failų redaktorių

Pagal numatytuosius nustatymus administratorius gali redaguoti temos ir įskiepio kodą tiesiai iš skydelio. Jei administratoriaus paskyra kada nors užgrobiama, tas redaktorius tampa lengvu būdu įterpti kenkėjišką kodą. Išjunkite jį pridėdami šią eilutę į wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Failus vis tiek redaguosite per SFTP, kai reikės, bet užpuolikai netenka patogaus įrankio.

5. Pridėkite saugumo antraštes ir priverskite HTTPS

Įsitikinkite, kad visa svetainė teikiama per HTTPS, ir pridėkite HTTP saugumo antraštes, kad apsigintumėte nuo XSS ir „clickjacking“. Apache pagrindu veikiančiuose serveriuose galite jas nustatyti .htaccess; daugelis valdomų WordPress serverių ir CDN leidžia jas nustatyti krašte (edge). Rezultatą patikrinkite mūsų nemokama antraščių patikra.

6. Darykite atsargines kopijas — ir tikrinkite atkūrimus

Laikykite automatines, nutolusias tiek failų, tiek duomenų bazės atsargines kopijas, saugokite kelias versijas ir periodiškai patikrinkite atkūrimą, kad žinotumėte, jog jis veikia. Jei WordPress kada nors pažeidžiamas, švari nesena atsarginė kopija dažnai yra greičiausias saugus kelias atgal.

Palaikykite prižiūrimą

Apsauga nėra vienkartinis darbas. Suplanuokite atnaujinimus, atsarginių kopijų patikras ir periodinę patikrą, kad nuokrypis neatšliaužtų atgal. Dėl pagrindinių silpnybių, kurias sprendžia šie žingsniai, žr. dažniausius svetainių pažeidžiamumus ir platesnius saugumo pagrindus.

Dažniausiai užduodami klausimai

Susiję vadovai