Jak zabezpieczyć stronę na WordPressie?
W zabezpieczeniu strony internetowej na WordPressie może nam pomóc wiele wtyczek. Najbardziej znane z nich to iThemes Security (dawniej pod nazwą Better WP Security) oraz Wordfence Security. Co robią te wtyczki? Co możemy zrobić sami? Aby nie owijać w bawełnę i nie strzępić sobie polców (palcy?) na klawiaturze, przedstawię to w formie listy.
- WordPress i wtyczki powinny być na bieżąco aktualizowane (albo chociaż raz na parę miesięcy, jeśli aktualizacja jest pracochłonna ze względu na modyfikacje).
- Konto administratora nie powinno mieć loginu admin ani administrator.
- Należy pamiętać o odpowiednio silnym haśle.
- Nie powinno być konta o ID 1.
- Należy zadbać o cykliczny backup. Zazwyczaj robi to hosting, ale można o to zadbać samemu – albo poprzez wtyczkę od zabezpieczeń, albo poprzez wtyczkę od backupów (np. BackUpWordPress).
- Nazwa folderu wp-content może zostać zmieniona.
- Podczas instalacji WordPressa prefix bazy danych (wp) powinien zostać zmieniony na inny.
- Należy używać bezpiecznej wersji jQuery.
- Należy blokować dużą ilość nieudanych prób logowania do panelu admina.
- Nie chwalmy się, jakiej wersji WordPressa używamy – trzeba to ukryć w możliwie największej liczbie miejsc.
- Instalacja nie powinna akceptować URL dłuższych niż 255 znaków.
- Jeśli nie jest nam potrzebne XML-RPC, warto to wyłączyć.
- Pliki naszej instalacji powinny być jak najlepiej chronione od publicznego dostępu.
- Jeśli treść na naszej stronie modyfikowana jest rzadko, warto wyłączyć panel admina w przerwach. Wtyczka iThemes Security pozwala na to, aby w regularnych odstępach czasu nasz panel admina był wyłączony, np. codziennie od 22.00 do 6.00.
Nie będę po kolei objaśniać tych punktów, ponieważ jest to wpis na blogu, nie zaś publikacja książkowa 🙂
Na pewno znajdą się jeszcze jakieś dodatkowe metody zabezpieczeń, ale nie przesadzajmy. Jeśli zastosujecie choć połowę punktów z powyższej listy, możecie spać spokojnie.
Loading...