WordPress sa za posledné roky extrémne rozšíril, beží na ňom značná časť svetovej „populácie“ webov. To ho robí dobrým terčom pre útočníkov s rozličnými zámermi. Ak máte jeden WordPress webov, alebo viac, mali by ste zbystriť. Na bezpečnosť určite nezabúdajte. V tomto článku vás v rýchlosti prevediem základným a veľmi jednoduchým zabezpečením.
1. Nepoužívajte administračný login „admin“
Ak zakladáte novú WordPress stránku, proste zvolte iný, niečo neštandardné. Ak už stránku máte a máte login admin, vytvorte si ďalší administračný účet a následne pôvodný „admin“ zmažte (dajte pozor aby ste všetky články priradené k adminovi presunuli k novému administračnému účtu, poslúži napr. tento návod).
Ako heslo nikdy nevoľte nič bežné, vygenerujte si heslo zložené zo znakov, čísiel, veľkých a malých písmen. V dnešnej dobe si browsery ľahko poradia so „zapamätaním“ hesiel. V prípade zabudnutia hesla nie je problém s obnovou, takže sa nemusíte báť že o niečo prídete.
2. Zmente si URL adresu pre prihlasovanie do administrácie
Ak si zmeníte URL adresu, pomocou ktorej sa do administrácie prihlasujete, dáte totálne KO všetkým robotom, ktoré sa pokúšajú automaticky prihlasovať do vášho účtu (tzv. brute force). Použite plugin Better WP Security. Po jeho inštalácii sa v administračnom menu zjaví položka Security, kde zvoľte Hide Backend, zaškrtnite Enable Hide Backend a vyplňte 3 príslušné polia (myslím, že ich účel je zrejmý). Po uložení a odhlásení si môžete nový admin URL vyskúšať.
Ukážka Better WP Security
3. Ban za zlý login
V prípade, že nechete, z nejakého dôvodu, používať zmenené administračné URL, je tu možnosť zablokovať „skúšanie“ prihlasovania po určitom počte zlých prihlásení. Osobne roky používam Login LockDown (aj keď plugin dlhšiu dobu nebol aktualizovaný, funguje dobre a správne).
Login LockDown funguje okamžite po jeho aktivovaní a prakticky netreba nastavovať nič. Štandardne po 3 zlých prihláseniach počias 5tich minút zapíše IP adresu „útočníka“ do zoznamu zablokovaných a tá v tomto zozname ostáva 60 minút. Je naozaj mizivá šanca, že by cez tento systém dakto dokázal „uhádnuť“ váš login a heslo. Šancu tlačí k bodu mrazu spomínaný bod 1. tohoto článku.
Nevýhodou by mohlo byť zaťaženie databázi pri útoku z rozličných IP v danom momente, ale to je veľmi nepravdepodobný scenár (pokiaľ nevlastníte medzinárodne známy veľký web).
4. Bojujte proti spamu
Na boj proti (vo väčšine prípadov komentárového) spamu pravdepodobne všetci používate Akismet (ak nie, určite začnite). Po jeho aktivácii je nutné zadať kľúč, ktorý získate po registrácii/prihlásení na akismet.com/signup. Toto berte ako povinnosť, ak vlastníte web, na ktorom máte formuláre (komentáre, TDO Mini Forms, Gravity Forms).
Čerešnička na torte je plugin Bad Behavior. Je to ďalší security-must-have plugin. Bad Behavior analyzuje a v prípade podozrenia zastaví spam botov ešte pred vložením komentára. Kdežto Akismet posudzuje komentáre až po tom, čo sú vložené a následne ich (v prípade podozrenia) označuje ako spam, Bad Behavior to robí ešte predtým. Tým odbremeňuje vašu databázu od zbytočného obsahu. Okrem toho zachytáva a blokuje aj tzv. email harvestre, roboty, ktoré odchytávajú emailové adresy na vašom webe pre ďalšie spam použitie. Plugin toho robí viac, ale toto je najpodstatnejšie. Stačí ho len aktivovať a o ostatné sa už postará.
Bad Behavior + Akismet sa postará o 99,9% všetkého bordelu, ktorý na vašu WordPress stránku smeruje.
5. Aktualizujte
Ja viem že to všetci všade píšu, ale je to tak a nikdy na to nezabúdajte. Nové verziu WordPress ako aj pluginov vychádzaju často preto, že v starých boli objavené expolity a možnosť určitým spôsobom preníknúť do vášho webu a zničiť jeho obsah. Časté sú aj prípady, kedy na vonok nerozoznáte, že váš web bol napadnutý, ale vložený útočný script zdetekujú browsre, prípadne vyhľadávače a váš web označia ako závadný a nebezpečný. A to samozrejme nechcete – tak aktualizujte!
Máte veľa WordPress webov? Existujú riešenia – ManageWP, InfiniteWP, WP Remote a ďalšie. Ich popis je ale na samostatný článok (o InfiniteWP písal Depi). Ich funkcionalita je rôznorodá, ale čo je pre nás dôležité je to, že dokážu z jedného miesta aktualizovať všetky vaše WordPress weby.
6. Zabezpečený a overený hosting
Pokiaľ používate hosting pochybných kvalít, o ktorý nie je dostatočne administratívne postarané (neaktualizované súčasti operačného systému, staré verzie PHP, MySQL, Apache a pod.), môže to byť jednoduchá cesta k záhube vášho WordPress webu. Ako poznáte kvalitný hosting? Napr. na základe dlhodobých referencií, reakcií zákazníkov (diskusné fóra, Facebook, komentáre na blogoch a pod.), vlastného testovania (výpadky, rýchlosť reakcie a dostupnosť supportu na tel. a emaile).
Ja sám už 5 rokov používam vlastný firemný server, ale počas tejto doby som alternatívne využíval aj vysoko profesionálne služby Yegonu či PremiumHostingu, či Elbiahosting.sk. Výborné referencie má aj Webglobe.sk, ten som však osobne netestoval. (Aktualizácia: Webglobe a Yegon sa po novom spojili a nájdete ich na https://wy.sk) Všetky tieto spoločnosti promptne reagujú na rozličné problémy a security majú na vysokej úrovni.
7. Cache
Možno to priamo s bezpečnosťou nesúvisí, ale ak máte väčší web s návštevnosťou okolo 1000 UIP / deň, mali by ste začať (ak ste už nezačali) používať jeden z cache modulov. Inak hrozí spomalenie webu (v závislosti od hostingu), výpadky, prípadne varovanie zo strany samotného hostingu. Roky úspešne používam Hyper Cache (je použiteľný bez nejakých prídavných nastavení), niekde W3 Total Cache.
Dúfam, že vám článok trochu pomohol a prispel aj k slovenskej WordPress bezpečnosti :-).
Just logged into gg777login, ready to win some serious cash tonight! Their platform is super easy to use. Let’s get this bread: gg777login
Really impressed with the payout speed. No long waits or confusing steps, just straightforward service. Cheers to br777gg for the great experience.
Really impressed with the user interface. Everything is so easy to find and the loading speed is top notch. Love phaaajili7!
Really impressed with the game variety here. Everything loads quickly and the customer support is helpful. Give 59ccom a try if you enjoy winning.
Downloading the app was a game changer. Now I can play whenever I have a few minutes of free time. Total convenience with g777betappapk
Login is super quick and the dashboard is very intuitive. I can get to my favorite games in seconds. Great job on erabet88login
This app is a game changer! I love how I can play on the go and the payouts are quite fair. Try jljl99app if you want a decent experience.
Had some trouble with other sites but logging in here was a breeze. The connection is stable and the games are top notch. Try sampan303login
Finally found a platform that doesn’t lag during peak hours. The app installation was a breeze and everything works perfectly on my phone. Give 688betbaixarapp a go.
[966]betpanda login করুন এবং সেরা অনলাইন স্লট গেম খেলুন,betpanda অ্যাপ download করে বিকাশ দিয়ে ক্যাসিনো গেম খেলুন। লাইভ ক্যাসিনো খেলার নিয়ম জেনে আজই আপনার অ্যাকাউন্ট খুলুন। visit: betpanda
The VIP perks on this site are actually legit. I feel like a valued player here and the customer support is super helpful. You should give 96xbajeevip a shot!
Super smooth gameplay and the graphics are amazing. It feels very professional and safe. I am really enjoying my time on this platform. jililovelogin
[9078]betway bet লগইন ও অ্যাপ ডাউনলোড | বিকাশ ক্যাসিনো ডিপোজিট,betway bet লগইন করুন এবং অ্যাপ ডাউনলোড করে অনলাইন স্লট গেম খেলার নিয়ম জানুন। বিকাশ দিয়ে ক্যাসিনো ডিপোজিট করে লাইভ ক্যাসিনো বোনাস অফারটি লুফে নিন। visit: betway bet
I was searching for a solid app to download and play on the go. This one delivers exactly what players need with quick loading and secure transactions. The vibe is welcoming and the games run perfectly on my phone. Definitely going to stick with it. bbrbetdescargarios
Alright, so I gave ph44slot a spin the other day. The graphics are pretty slick and the games run smooth. Nothing groundbreaking, but a solid choice when you just wanna chill and maybe win a few bucks. See what all the buzz is about ph44slot
Yo, 777pnl is legit! Been hitting some nice little wins there lately. Definitely worth checking out if you’re looking for some action. Just remember to play responsibly, fam! Check it out here 777pnl
Gobetplaylogin is pretty helpful for sorting you out for the other stuff. No muss, no fuss and easy to use. Here’s the link: gobetplaylogin
Bbrbet444, four is my lucky number! Hope it brings me some good fortune here. Let’s go BBR! Check them out: bbrbet444
Had a spin on HELLO8834COM. I dig the layout, it’s pretty user-friendly. Found some games I haven’t seen before, which is always a bonus. Recommend checking it out! Explore here: hello8834com
môžte skúsiť aj platformu …
Alebo môžete skúsiť nespamovať lacným komentom 6 rocný WP post. Keby si aspoň dáte záležať na kvalitnom prínosnom komentári, plnom zaujímavých faktov… ach jaj.
Skúšal som schovať tip 2 – schovať login URL, ale nefunguje to. Vždy som sa prihlasoval do webu cez …/wp-login aleo …/wp-adming. Urobil som všetko podľa tvojho návodu, ale tie nové adresy nefungujú a tieto staré áno. Čo robím zle?
Je možné, že nemáš povolený zápis do súboru .htaccess, cez FTP client mu nastav práva 777 a skús nastavenia znova.
A nie je nastavenie 777 nebezpečné?
Nastav 777, použi môj návod a potom zmeň naspäť na 644 (myslím že 644 býva default).
Ak nepotrebujete admin funkcie pre uzivatelov, je vhodne ochranit adresar wp-admin pomocou .htaccess
Zmenit admin usera ide aj cez ten plugin Better WP Security a je to kusok jednoduchsie ako to klikat bez neho – len sa zada novy login, netreba menit email, resp zadavat novy, a zostane rovno aj zobrazovany nick „admin“ – login samozrejme bude iny, toto je len nick ktory uvidia useri na webe. Ked to clovek klika rucne tak tam beha ako trulo :)
Ešte môžem doporučit zálohovanie celého webu ako prevenciu pred hacknutím. Sám na to používam WP Backup to Dropbox (http://wordpress.org/plugins/wordpress-backup-to-dropbox/) a plus si ešte čas od času zálohujem aj súbory v Dropboxe.