WordPress je najbolj razširjen sistem za upravljanje vsebin na spletu, zato je hkrati tudi najpogosteje napadan. Ne zato, ker ne bi bil varen, temveč ker napadalci vedo, da je ranljivost WordPressa mogoče izkoristiti na več milijonih spletnih strani. Takoj ko stran WordPress postane dosegljiva, jo samodejni roboti začnejo pregledovati v iskanju šibkih točk.

Varnostno utrjevanje (hardening) je bilo nekoč dolg, ročni postopek, z WP Toolkit pa ga opraviš v nekaj klikih. Videoposnetek in spodnji koraki prikazujejo najpomembnejše nastavitve po namestitvi.

Video: Uporaba varnostnih ukrepov v WP Toolkit (posnetek zaslona brez zvoka, z madžarskimi podnapisi)

Odpiranje WP Toolkit

1. Prijavi se v cPanel in v levem meniju klikni točko WordPress Management (najdeš jo tudi v skupini Domene začetne strani).
2. Na seznamu upraviteljskega vmesnika WP Toolkit s puščico na začetku vrstice razpri podatke svojega spletnega mesta. Na podatkih vidiš različico WordPressa, posodobitve ter varnostne nastavitve in nastavitve zmogljivosti.

Varnostno stanje

V razdelku Varnost podatkov klikni povezavo Zmanjšanje tveganja ranljivosti (ali oznako Security Risk v vrstici spletnega mesta). Na vrhu okna Varnostno stanje štiri polja povzamejo stanje spletnega mesta:

• Security Risk: ocena tveganja med 0 in 10 na podlagi znanih ranljivosti spletnega mesta; 0,0 pomeni, da ni resne znane ranljivosti.
• Protection Disabled (Omogoči zaščito): navidezni popravki WP Guardian, ki s pomočjo vtičnika s pravili požarnega zidu ščitijo ranljive vtičnike, dokler ne izide popravek. To je ločeno plačljiva licenca, ni del paketa gostovanja; ocena tveganja in seznam ranljivosti delujeta tudi brez nje.
• Ažurno: posodobitve WordPressa, vtičnikov in tem; z gumbom Ponovno preveri lahko nove posodobitve iščeš takoj.
• Varnostni ukrepi: koliko ukrepov je še mogoče uporabiti; gumb Apply All uporabi vse hkrati.

Zavihek Vulnerable Components navaja znane ranljivosti, najdene v jedru WordPressa, vtičnikih in temah, po resnosti; korake opisuje članek o ranljivih vtičnikih.

Varnostni ukrepi

Kritične ukrepe WP Toolkit ob namestitvi uporabi samodejno (na podatkih to označuje vrstica Kritični varnostni ukrepi so bili uporabljeni.). Druge moraš izbrati sam:

1. V oknu Varnostno stanje odpri zavihek Varnostni ukrepi. Na koncu seznama so z zeleno kljukico navedeni že uporabljeni ukrepi, zgoraj pa z oranžno oznako tisti, ki še manjkajo.
2. Označi ukrepe, ki jih želiš uporabiti.
3. Klikni gumb Zavaruj.

Imena ukrepov plošča prikazuje v angleščini. Najpomembnejši:

• Forbid execution of PHP scripts in the wp-content/uploads directory in … in the wp-includes directory: prepove izvajanje PHP v teh mapah, zato naložene škodljive datoteke ni mogoče zagnati.
• Disable file editing in WordPress Dashboard: izklopi urejevalnik tem in vtičnikov v skrbniškem vmesniku, zato tudi z vdrtim skrbniškim računom ni mogoče vpisati kode.
• Block access to potentially sensitive files in Block access to wp-config.php: prepove dostop do občutljivih datotek (na primer dnevnikov, wp-config.php in njegovih kopij).
• Block author scans: robotom prepreči branje uporabniških imen s strani avtorjev.
• Block directory browsing: obiskovalcem prepreči izpis vsebine map.
• Change default administrator’s username: zamenja uporabniško ime „admin”, s katerim napadalci poskušajo najprej.
• Block access to xmlrpc.php in Turn off pingbacks: zapreta pogosto napadani vmesnik XML-RPC.

Nekateri ukrepi lahko vplivajo na delovanje določenih vtičnikov: prepoved xmlrpc.php na primer prepreči povezavo Jetpack in mobilne aplikacije WordPress. Če po nastavitvi kaj ne deluje, označi ukrep in ga razveljavi z gumbom Povrni. Ukrepov brez opombe „(povratni)” (na primer zamenjave uporabniškega imena skrbnika ali predpone tabel) ni mogoče razveljaviti. Preden hkrati uporabiš več ukrepov, naredi varnostno kopijo; o tem govori članek o varnostnem kopiranju in obnovitvi WordPressa.

Druge nastavitve na podatkih spletnega mesta

• Indeksiranje v iskalnikih: med razvojem ga izklopi, da napol dokončana stran ne pride v iskalnike. Izklopljeno WordPress na strani postavi oznako „noindex, nofollow”, tudi robots.txt pa prepove pregledovanje, zato ga ob uvedbi vsekakor vklopi nazaj.
• Način vzdrževanja: za čas dela obiskovalcem pokaže obvestilno stran. Z ikono nastavitev ob njem lahko določiš tudi njeno besedilo, odštevalnik in povezave na družbena omrežja.
• Zaščita z geslom: celotno stran skrije za uporabniško ime in geslo, kar je uporabno pri testnih straneh.
• Odpravljanje težav: nastavitve za odpravljanje napak WordPress, privzeto izklopljene. Vklopi jih le za preizkušanje, na živi strani jih imej izklopljene, ker lahko sporočila o napakah izdajo občutljive podatke.
• Zaščita pred neposrednimi povezavami: drugim spletnim mestom prepreči, da bi vdelala tvoje slike in s tem uporabljala promet tvojega gostovanja.
• Prevzem datoteke wp-cron.php: časovna opravila WordPress namesto obiskov izvaja redno načrtovano opravilo; o tem govori članek o zamenjavi WP-Cron.
• Nastavitve samodejnih posodobitev in funkcija pametne posodobitve: samodejno posodabljanje WordPressa, vtičnikov in tem oziroma predhodni preizkus posodobitve na kopiji strani; podrobnosti v članku o nastavitvi samodejnih posodobitev.
• Preverjanje celovitosti WordPressa: osnovne datoteke WordPress primerja s kontrolnimi vsotami wordpress.org, in če najde odstopanje, jih lahko z gumbom Ponovno namesti jedro WordPress znova namestiš brez izgube vsebine. Uporabno je pri sumu okužbe; o korakih piše članek o odstranjevanju škodljive programske opreme z ImunifyAV.

Če je v vrstici spletnega mesta vidna oranžna oznaka SSL/TLS, WP Toolkit sporoča, da trajna (301) preusmeritev s HTTP na HTTPS ni vklopljena; o njeni nastavitvi govori članek o preusmeritvi na HTTPS.

K našim paketom gostovanja cPanel in gostovanja WordPress dajemo različico WP Toolkit Deluxe, ki pomaga tudi pri prepoznavanju ranljivih vtičnikov, kloniranju in pametnih posodobitvah. Poleg nastavitev WP Toolkit sta pomembna tudi močno geslo in dvostopenjsko preverjanje; o nadaljnjih korakih govori članek o varnostnih nastavitvah WordPressa proti vdorom.