WordPress je najbolj razširjen sistem za upravljanje vsebin na svetu, zato je glavna tarča samodejnih napadov. Večina vdorov ni ciljanih: roboti iščejo šibka gesla in znane, a nezakrpane varnostne luknje. Spodnji koraki ščitijo pred tem.

1. Posodobitve

Večina vdorov poteka prek znane napake zastarelega vtičnika ali predloge. Jedro WordPressa, predlogo in vse vtičnike posodabljaj; za varnostne posodobitve vklopi samodejno posodabljanje, o tem govori članek o samodejnem posodabljanju vtičnikov. Neuporabljenih vtičnikov in predlog ne le izklopi, temveč jih tudi izbriši, ker tudi izklopljeni ostanejo na gostovanju in je njihove napake mogoče izkoristiti.

2. Močna gesla, edinstvena uporabniška imena

Ne uporabljaj uporabniškega imena „admin” in vsakemu računu daj dolgo, edinstveno geslo, ki ga hraniš v upravitelju gesel. O varnih geslih podrobneje piše naš ločen članek.

3. Dvostopenjsko preverjanje

Z vtičnikom za dvostopenjsko preverjanje (na primer Two Factor ali Wordfence Login Security) samo geslo za prijavo ni dovolj. Vklopi ga vsaj za skrbniške račune.

4. Omejitev poskusov prijave

Z vtičnikom omeji število neuspešnih prijav, da ugibanje gesel (brute force) ne pripelje do uspeha. Zaščita, ki teče na strežniku gostovanja, prav tako blokira preveč napačnih prijav; takrat pomaga članek o blokadi IP v požarnem zidu.

5. Pravice

Vsak naj dobi le toliko pravic, kolikor jih potrebuje: pisec člankov naj bo „Avtor” ali „Urednik”, ne „Skrbnik”. Občasno preglej seznam uporabnikov in izbriši račune, ki se ne uporabljajo več.

6. Nastavitve wp-config.php

• Prepoved urejanja datotek: vrstica define('DISALLOW_FILE_EDIT', true); prepove urejanje datotek predlog in vtičnikov iz skrbniškega vmesnika, zato z ukradenim skrbniškim geslom ni mogoče neposredno vpisati škodljive kode.
• Dovoljenja datotek: mape naj imajo običajno dovoljenje 755, datoteke 644, wp-config.php pa strožje, na primer 600 ali 640; glej članek, ki razloži dovoljenja datotek (chmod, chown).
• Varnostni ključi: ob sumu vdora zamenjaj ključe v wp-config.php (AUTH_KEY in ostale) z generatorjem ključev WordPress, kar odjavi vse prijavljene uporabnike.

7. XML-RPC

Vmesnik xmlrpc.php danes uporablja malo aplikacij, je pa pogosta tarča napadov. Če ne uporabljaš storitve, ki ga zahteva (na primer nekaterih funkcij Jetpack ali stare mobilne aplikacije), ga onemogoči z varnostnim vtičnikom ali v WP Toolkit.

8. Le iz zaupanja vrednega vira

Nikoli ne nameščaj vdrte („nulled”) predloge ali vtičnika, ker ti pogosto vsebujejo skrito škodljivo programsko opremo; glej: zakaj so vdrte (nulled) predloge in vtičniki nevarni.

9. HTTPS in varnostna kopija

Stran naj bo v celoti preusmerjena na HTTPS in naj ima svežo, obnovljivo varnostno kopijo: če gre vse drugo narobe, se lahko obnoviš iz nje.

Na gostovanju aWh

Na naših strežnikih cPanel ImunifyAV+ spremlja datoteke in javlja škodljivo programsko opremo. Točka menija Varnost v WP Toolkit z enim klikom opravi del zgornjih nastavitev (na primer prepoved urejanja datotek ali XML-RPC); o tem govori članek o osnovnih nastavitvah WP Toolkit. Podroben kontrolni seznam na našem blogu: Varnost WordPressa: praktični kontrolni seznam.