Jak zwiększyć bezpieczeństwo WordPress

Aktualizacje – WordPressa, wtyczek i motywów

Bardzo ważnym jest by aktualizować wtyczki, motywy i samego WordPressa.

Aktualizacje zazwyczaj naprawiają wcześniejsze błędy w zabezpieczeniach, błędy z kompatybilnością oraz wprowadzają nowe poprawki, funkcje.

Niezaktualizowany WP, wtyczka lub motyw mogą posiadać sporą lukę w zabezpieczeniach, co bardzo ułatwi sprawę atakującym naszą stronę.

Należy pamiętać, żeby zawsze przed aktualizacjami zrobić „back-up” strony łącznie z bazą danych, a jeśli mamy taką możliwość to aktualizacje zrobić najpierw na kopii naszej strony na serwerze testowym.

Zmiana loginu

Zmiana id administratora

Zmiana hasła na silne

Limit nieudanych logowań

Dobrym sposobem na zabezpieczenie naszej witryny przed atakami typu brute force (próby odgadnięcia loginu i hasła przez boty) jest ustawienie limitu nieudanych logowań z konkretnego adresu IP. Po kilku nieudanych próbach, możemy trwale lub na jakiś czas zablokować możliwość logowania z danego adresu IP.
Możemy w tym celu skorzystać z wtyczki Wordfence lub Limit Login Attempts Reloaded.

Usunięcie zbędnych wtyczek i motywów

Zmiana prefiksu tabeli w bazie danych

Ukrycie katalogu wp-admin (zmiana url’a do logowania)

Wyłączamy możliwość rejestracji użytkowników

Komentarze tylko od zalogowanych użytkowników

Wyłączenie edytora plików

define(‚DISALLOW_FILE_EDIT’, true);

Ukrywamy wersję WordPressa

// remove version from head
remove_action('wp_head', 'wp_generator');
// remove version from rss
add_filter('the_generator', '__return_empty_string');
// remove version from scripts and styles
function shapeSpace_remove_version_scripts_styles($src) {
if (strpos($src, 'ver=')) {
$src = remove_query_arg('ver', $src);
}
return $src;
}
add_filter('style_loader_src', 'shapeSpace_remove_version_scripts_styles', 9999);
add_filter('script_loader_src', 'shapeSpace_remove_version_scripts_styles', 9999);

<FilesMatch "readme\.html">
  Order allow,deny
  Deny from all
</FilesMatch>

Przenosimy informacje o bazie danych

define('DB_NAME', 'database');
define('DB_USER', 'user');
define('DB_PASSWORD', 'password');
define('DB_HOST', 'localhost');
define('DB_CHARSET', 'utf8');
define('DB_COLLATE', '');

require_once "wp-database-info.php";

Blokujemy dostęp do pliku xmlrpc.php

<files xmlrpc.php>
  order deny,allow
  deny from all
</files>

Blokujemy dostęp do plików .htaccess i wp-config

<files wp-config.php>
  order allow,deny
  deny from all
</files>
<files .htaccess>
  order allow,deny
  deny from all
</files>

Zmiana soli i kluczy WordPressa na własne

Zapobiegnięcie wyświetlania listy plików

Options -Indexes

Uprawnienia plików i folderów

Bezpieczeństwo naszej witryny internetowej możemy również poprawić poprzez nadanie odpowiednich uprawnień poszczególnym plikom i całym folderom z naszą stroną, znajdującym się na serwerze.

Jak sprawdzić jakie obecnie są przypisane uprawnienia ?

Możemy to zrobić sami np. przez klienta ftp lub wtyczkę iThemes Security. W ustawieniach tej wtyczki, w „File Permissions” mamy pokazane obecnie przypisane uprawnienia najważniejszych folderów i plików naszej strony, oraz sugestie jakie te uprawnienia powinny być.

Darmowe wtyczki poprawiające bezpieczeństwo

Robienie kopii zapasowych

Certyfikat SSL

Certyfikat SSL (Secure Socket Layer) zapewnia  bezpieczeństwo transmisji danych pomiędzy serwerem na którym mamy stronę, a przeglądarką internetową użytkownika.
Posiadanie SSL zapewnia również lepszą wiarygodność naszej stronie oraz wpływa na lepsze pozycjonowanie przez roboty indeksujące Google.