Bezpieczeństwo w systemie WordPress

Niestety, ale tak długo jak nasza strona internetowa jest online, tak długo jesteśmy narażeni na atak wymierzony właśnie w nią. Nie istnieją systemy CMS, bazy danych ani skrypty w 100% odporne na nie. Nie stworzono również żadnych systemów, które pozwalają w pełni zabezpieczyć naszą witrynę. Mimo tego możemy postarać się zmniejszyć ryzyko i zwiększyć jej bezpieczeństwo. Poniższy wpis dotyczy bezpieczeństwa na systemie CMS WordPress, który jest obecnie (prawdopodobnie) najpopularniejszym CMS-em w sieci.

Backup

Najlepsza forma zabezpieczenia swojej strony to jej kopia bezpieczeństwa. Wielu z nas jej nie realizuje, pomimo tego, że posiada taką możliwość. Jeżeli jesteśmy leniwi, a danych naszego bloga nie liczy się w dziesiątkach gigabajtów danych, polecam zastosować plugin WordPress Backup to Dropbox. Pozwala on na automatyczne wykonywanie kopii bezpieczeństwa wszystkich plików oraz oczywiście bazy danych wprost do naszego konta na DropBox. Konfiguracja jest prosta, a dalej plugin robi kopie sam, w regularnych, ustalonych przez nas odstępach czasu.

Trochę oklepanych podstaw

Aktualizacje

Niestety na aktualizacje jesteśmy niejako skazani. Przy małych blogach nie ma to zbyt dużego znaczenia i aktualizacje przebiegają spokojnie. Wiem, że dla administratorów większych stron, gdzie ilość zainstalowanych wtyczek sięga dużo ponad 20, stają się męczące. Niestety developerzy „addonów” nie oszczędzają administratorów. Dlaczego aktualizacje są konieczne? Podobno zwiększają bezpieczeństwo, ale niestety większa część developerów chwali się przy okazji nowego wydania, gdzie dotąd znajdowała się luka. Wszyscy, którzy do tej pory o niej nie wiedzą, mają ją podaną i to dodatkowo informacja jest opublikowana na stronie autora wtyczki. Niewykonanie aktualizacji wiąże się z utrzymaniem oczywistej luki w systemie naszego CMS.

Rozważne stosowanie wtyczek

Wtyczki warto pobierać z repozytorium. Te pochodzące z for ze zmianami i innymi dodatkami bardzo często tworzą lukę pozwalającą na dostęp do naszego serwera.

Hasła

Warto zmienić nazwę użytkownika z klasycznego admina na inną. Dobrze jest również zmienić prefiks tabel podczas instalacji na inny oraz stosować 8 znakowe hasło z jednym albo dwoma znakami specjalnymi oraz małą i dużą literą. W sieci znajdziemy dziesiątki porad, jak dokonać powyższych zmian również po instalacji wordpress-a.

Użytkownicy

Jeżeli nie musimy rejestrować nowych użytkowników, nie róbmy tego. Wręcz wyłączmy tę opcję. Nie da się ukryć, że najlepiej jest to uniemożliwić poprzez wykasowanie plików odpowiedzialnych za proces rejestracji, dopiero wtedy jest ona naprawdę wyłączona.

Bezpieczeństwo serwera

Hasło do serwa powinno być dość długie tak samo jak do baz danych i wszelkich innych usług związanych z stroną. Minimum to 12 znaków ze znakami specjalnymi, dużymi oraz małymi literami.

Wtyczki, czyli największe dobro

W dużej mierze potęga CMS WP to właśnie wtyczki. Pośród tych, które pomogą zwiększyć bezpieczeństwo naszego CMS-a warto zainstalować (darmowe):

• Limit Login Attempts (wtyczka wymieniona poniżej ma podobną funkcję, jednak lepiej używać ich razem)
• Wordfence Security (prawdziwe dobro, którego nie może zabraknąć na naszym WordPressie, jednak wymaga konfiguracji)
• Secure WordPress (tylko od WebsiteDefender po instalacji, czasem widoczna jako „Zabezpiecz WordPress”, wymaga konfiguracji)
• W3 Total Cache (to również bezpieczeństwo, ale o tym dalej; wymaga konfiguracji)

W3 Total Cache to wtyczka, która nie tylko pomoże nam zmniejszyć obciążenie baz danych oraz serwera poprzez cachowanie strony, ale również dzięki darmowej (dla jednej witryny) usłudze cloudflare. Podłączenie jej za pomocą wtyczki nie zajmie nam zbyt wiele czasu, a pozwala znacznie przefiltrować ruch, który kierujemy na naszą witrynę.

WP htaccess Control – wtyczka, która również wymaga konfiguracji. Pozwoli nam na dodatkową kontrolę pliku htaccess, dzięki niej możemy chronić dodatkowo takie pliki jak wp-config.php, comments.php oraz oczywiście  htaccess.

Prawdziwa zabawa

Niestety tak właściwie sami również musimy zajrzeć do naszego WordPress-a i poświęcić klika chwil na wprowadzenie chociaż kilku zmian. Poniżej najważniejsze z nich, z którymi mimo wszystko każdy powinien dać sobie radę.

Dodajmy do naszego pliku motywu functions.php następujące linijki:

Wyłączamy możliwość edycji plików naszego motywu z poziomu WordPress-a:

define(’DISALLOW_FILE_EDIT’, true);

Przestańmy zwracać wersję WordPress-a, którą posiadamy

function remove_version()

{return ”;}

add_filter(’the_generator’, 'remove_version’);

Nastomiast do wp-config:

Wyłączamy powiadomienie o errorach PHP:

@ini_set(’display_errors’,’Off’);

@ini_set(’error_reporting’,0);

Wyłaczmy debug mode zamieniając tę linijkę:

define(’WP_DEBUG’, true);

na taką:

define(’WP_DEBUG’, false);

Po tym zabiegu (jak i każdym innym) sprawdźmy, czy nasz wordpress i przede wszystkim wtyczki działają poprawnie. Czasem wymagane jest ich ponowne uruchomienie.

To samo możemy zrobić dla JavaScript:

define(’SCRIPT_DEBUG’, false);

Wyłaczmy powiadomienia o błędach PHP:

error_reporting(0);

@ini_set(‘display_errors’, 0);

Pamiętaj tylko, że je wyłączyłeś.

Projekt w skali Enterprises

Masz gigantyczny projekt? Nie zapomnij, że możesz być najsłabszym ogniwem w jego bezpieczeństwie. Uważaj komu wysyłasz hasła dostępu, zabezpiecz pocztę oraz swój komputer. Zapisz hasła nie na komputerze, a na kartce i trzymaj je głęboko w szufladzie. Uważaj na programy uruchamiane w tle oraz na swoich współpracowników. Twórz kopie bezpieczeństwa za pomocą zewnętrznych serwisów, sprawdź dobrze parametry hostingu.

Wszelkie powyższe uwagi zostały przetestowane razem wielokrotnie i działają. Na pewno jest wiele szkół, jeżeli chodzi o dbałość o bezpieczeństwo witryny. Pozwalają one zmniejszyć ryzyko uszkodzenia naszej witryny i jej zawartości, a jeżeli coś się nie udało zawsze pozostaje backup.

Szukaj autora na Google+.