Zabezpieczenia WordPress to temat, który ma ogromne znaczenie dla każdego właściciela witryny internetowej.
Jeśli Zamierzasz poważnie traktować swoją witrynę internetową, musisz zwrócić uwagę na najlepsze praktyki dotyczące zabezpieczeń WordPress. W przeciwnym razie możesz stać się jedną z ponad 10 000 witryn internetowych, które Google codziennie umieszcza na czarnej liście z powodu złośliwego oprogramowania i phishingu.
W tym przewodniku podzielimy się naszymi najważniejszymi wskazówkami dotyczącymi zabezpieczeń WordPress, które pomogą ci zabezpieczyć twoją witrynę internetową przed hakerami i złośliwym oprogramowaniem.
Podczas gdy rdzeń oprogramowania WordPress jest bardzo bezpieczny i jest regularnie audytowany przez setki programistów, nadal pozostaje wiele do zrobienia, aby twoja witryna była bezpieczna.
W WPBeginner wierzymy, że zabezpieczenia to nie tylko eliminacja ryzyka. Zamierzasz je również ograniczyć. Jako właściciel witryny internetowej możesz wiele zrobić, aby poprawić zabezpieczenia WordPressa, nawet jeśli nie jesteś specjalistą w tej dziedzinie.
Dlatego też przygotowaliśmy listę działań, które możesz podjąć, aby zabezpieczyć swoją witrynę internetową przed lukami w zabezpieczeniach.
Aby to ułatwić, stworzyliśmy spis treści, który pomoże ci łatwo poruszać się po naszym najlepszym przewodniku po zabezpieczeniach WordPress.
Spis treści
Podstawy zabezpieczeń WordPressa
- Dlaczego zabezpieczenia WordPressa są ważne?
- Aktualizuj WordPress
- Silne hasła i uprawnienia użytkowników
- Zrozumienie roli hostingu WordPress
Zabezpieczenia WordPress w prostych krokach (bez kodowania)
- Zainstaluj rozwiązanie do tworzenia kopii zapasowych WordPress
- Zainstaluj renomowaną wtyczkę do zabezpieczeń WordPressa
- Włącz zaporę aplikacji sieci Web (WAF)
- Przenieś swoją witrynę WordPress na SSL/HTTPS
Zabezpieczenia WordPress dla majsterkowiczów
- Zmiana domyślnej nazwy użytkownika administratora
- Wyłączanie edycji plików
- Wyłączanie wykonywania plików PHP w niektórych katalogach WordPressa
- Ograniczenie prób logowania
- Dodaj uwierzytelnianie dwuskładnikowe (2FA)
- Zmiana prefiksu bazy danych WordPress
- Zabezpieczona hasłem strona administratora i logowania WordPressa
- Wyłącz indeksowanie i przeglądanie katalogów
- Wyłączanie XML-RPC w WordPress
- Automatyczne logowanie się bezczynnych użytkowników w WordPressie
- Dodawanie pytań o zabezpieczenia do logowania WordPress
- Skanowanie WordPress pod kątem złośliwego oprogramowania i luk w zabezpieczeniach
- Poprawka zhakowanej witryny WordPress
Gotowy? Zaczynajmy.
Dlaczego zabezpieczenia witryny internetowej są ważne?
Zhakowana witryna internetowa WordPress może poważnie zaszkodzić przychodom i reputacji twojej firmy. Hakerzy mogą wykraść informacje o użytkownikach i hasła, zainstalować złośliwe oprogramowanie, a nawet rozpowszechniać złośliwe oprogramowanie wśród twoich użytkowników.
W najgorszym przypadku może się okazać, że zapłacisz hakerom okup, aby odzyskać dostęp do twojej witryny internetowej.
Każdego dnia Google ostrzega 12-14 milionów użytkowników, że witryna internetowa, na którą próbują przejść, może zawierać złośliwe oprogramowanie lub wykradać informacje.
Co więcej, Google każdego dnia umieszcza na czarnej liście ponad 10 000 witryn internetowych z powodu złośliwego oprogramowania lub phishingu.
Tak jak właściciele firm z fizyczną lokalizacją są odpowiedzialni za zabezpieczenie swojej własności, tak właściciele firm internetowych muszą zwracać szczególną uwagę na zabezpieczenia swojego WordPressa.
Aktualizuj WordPress
WordPress jest oprogramowaniem typu open-source i jest regularnie utrzymywany i aktualizowany. Domyślnie WordPress automatycznie instaluje drobne aktualizacje.
W przypadku głównych wydań należy ręcznie zainicjować aktualizację.
WordPress zawiera również tysiące wtyczek i motywów, które możesz zainstalować na swojej witrynie internetowej. Te wtyczki i motywy są utrzymywane przez zewnętrznych programistów, którzy regularnie wydają aktualizacje.
Aktualizacje WordPress mają kluczowe znaczenie dla zabezpieczenia i stabilności twojej witryny WordPress. Musisz upewnić się, że twój rdzeń WordPress, wtyczki i motyw są aktualne.
Silne hasła i uprawnienia użytkowników
Najczęstsze próby włamań do WordPressa wykorzystują skradzione hasła. Możesz to utrudnić, używając silniejszych haseł, które są unikatowe dla twojej witryny internetowej.
Nie mówimy tu tylko o obszarze administracyjnym WordPress. Pamiętaj, aby utworzyć silne hasła do kont FTP, baz danych, kont hostingowych WordPress i własnych adresów e-mail, które używają nazwy domeny Twojej witryny.
Wielu początkujących nie lubi używać silnych haseł, ponieważ są one trudne do zapamiętania. Dobrą rzeczą jest to, że nie musisz już pamiętać haseł, ponieważ możesz po prostu użyć menedżera haseł.
Więcej informacji można znaleźć w naszym przewodniku na temat zarządzania hasłami WordPress.
Innym sposobem na zmniejszenie ryzyka jest nieudzielanie nikomu dostępu do twojego konta administratora WordPress, chyba że jest to absolutnie konieczne.
Jeśli masz duży zespół lub autorów gościnnych, upewnij się, że rozumiesz role i możliwości użytkowników w WordPressie, zanim utworzysz nowe konta użytkowników i autorów w swojej witrynie WordPress.
Zrozumienie roli hostingu WordPress
Twoja usługa hostingowa WordPress odgrywa najważniejszą rolę w zabezpieczeniu witryny WordPress. Dobry dostawca hostingu współdzielonego, taki jak Hostinger, Bluehost lub SiteGround, podejmuje dodatkowe środki, aby zabezpieczyć swoje serwery przed typowymi zagrożeniami.
Oto kilka sposobów, w jakie dobre firmy hostingowe pracują w tle, aby zabezpieczyć twoje witryny internetowe i dane:
- Stale monitorują swoją sieć pod kątem podejrzanego włączania.
- Wszystkie dobre firmy hostingowe posiadają narzędzia zapobiegające atakom DDoS na dużą skalę.
- Aktualizują oprogramowanie serwera, wersje PHP i sprzęt, aby uniemożliwić hakerom wykorzystanie znanej luki w zabezpieczeniach w starej wersji.
- Dysponują gotowymi do wdrożenia planami odzyskiwania danych po awarii i planami awaryjnymi, które pozwalają zabezpieczyć twoje dane w razie poważnej awarii.
W przypadku hostingu współdzielonego zasoby serwera są współdzielone z wieloma innymi klientami. Istnieje ryzyko zarażenia między witrynami, w którym haker może użyć sąsiedniej witryny internetowej do zaatakowania twojej witryny.
Natomiast korzystanie z zarządzanej usługi hostingu WordPress zapewnia bardziej bezpieczną platformę dla twojej witryny internetowej. Zarządzane firmy hostingowe WordPress oferują automatyczne kopie zapasowe, automatyczne aktualizacje WordPress i bardziej zaawansowane konfiguracje zabezpieczeń w celu ochrony twojej witryny internetowej
Polecamy WP Engine jako naszego preferowanego dostawcę zarządzanego hostingu WordPress. Jest to również najpopularniejszy dostawca w branży.
Upewnij się, że otrzymasz najlepszą ofertę, korzystając z naszego specjalnego kuponu WP Engine.
Zabezpieczenia WordPress w kilku prostych krokach (bez kodowania)
Wiemy, że poprawa zabezpieczeń WordPressa może być przerażającą myślą dla początkujących, zwłaszcza jeśli nie jesteś technikiem. Zgadnij co – nie jesteś sam.
Pomogliśmy tysiącom użytkowników WordPressa w wzmocnieniu ich zabezpieczeń.
Pokażemy Ci, jak możesz poprawić swoje zabezpieczenia WordPress za pomocą kilku kliknięć (bez konieczności kodowania).
Jeśli potrafisz wskazywać i klikać, możesz to zrobić!
1. Zainstaluj rozwiązanie do tworzenia kopii zapasowych WordPress
Kopie zapasowe są twoją pierwszą obroną przed atakami na WordPressa. Pamiętaj, że nic nie jest w 100% zabezpieczone. Jeśli rządowe witryny internetowe mogą zostać zhakowane, to twoja również.
Kopie zapasowe pozwalają szybko przywrócić twoją witrynę WordPress na wypadek, gdyby wydarzyło się coś złego.
Istnieje wiele darmowych i płatnych wtyczek do tworzenia kopii zapasowych WordPress. Najważniejszą rzeczą, którą musisz wiedzieć, jeśli chodzi o kopie zapasowe, jest to, że musisz regularnie zapisywać kopie zapasowe całej witryny w zdalnej lokalizacji (nie na twoim koncie hostingowym).
Zalecamy przechowywanie ich w chmurze, takiej jak Amazon, Dropbox lub w chmurze prywatnej, takiej jak Stash.
W zależności od tego, jak często aktualizujesz swoją witrynę internetową, idealnym ustawieniem może być tworzenie kopii zapasowych raz dziennie lub w czasie rzeczywistym.
Na szczęście można to łatwo zrobić za pomocą wtyczek takich jak Duplicator, UpdraftPlus lub BlogVault. Są one niezawodne i co najważniejsze łatwe w użyciu (nie wymagają kodowania).
Aby uzyskać więcej informacji, zapoznaj się z naszym przewodnikiem na temat tworzenia kopii zapasowych twojej witryny internetowej WordPress.
Zainstaluj renomowaną wtyczkę do zabezpieczeń WordPressa
Po utworzeniu kopii zapasowych, następną rzeczą, którą musimy zrobić, jest skonfigurowanie systemu audytu i monitorowania, który śledzi wszystko, co dzieje się na twojej witrynie internetowej.
Obejmuje to monitorowanie integralności plików, nieudane próby logowania, skanowanie złośliwego oprogramowania i inne.
Na szczęście można łatwo o to zadbać, instalując jedną z najlepszych wtyczek zabezpieczeń WordPress, takich jak Sucuri.
Musisz zainstalować i włączać darmową wtyczkę Sucuri Security. Aby uzyskać więcej informacji, zapoznaj się z naszym przewodnikiem krok po kroku, jak zainstalować wtyczkę WordPress.
Teraz możesz przejść do kokpitu Sucuri Security „, aby sprawdzić, czy wtyczka znalazła jakieś bezpośrednie problemy z twoim kodem WordPress.
Następną rzeczą, którą musisz zrobić, jest przejście do strony Sucuri Security ” Ustawienia i kliknięcie karty „Utwardzanie”.
Domyślne ustawienia działają dobrze dla większości witryn internetowych, więc można je włączać, klikając przycisk „Zastosuj utwardzanie” dla każdej opcji.
Pomaga to zablokować kluczowe obszary, które hakerzy często wykorzystują w swoich atakach.
Wskazówka: W dalszej części tego artykułu omówimy dalsze sposoby zabezpieczenia twojej witryny internetowej, takie jak zmiana prefiksu bazy danych i nazwy użytkownika administratora. Są one jednak bardziej techniczne i mogą wymagać wiedzy z zakresu kodowania.
Po części hartowania, inne domyślne ustawienia wtyczki są wystarczająco dobre dla większości witryn internetowych i nie wymagają żadnych zmian.
Jedyną rzeczą, którą zalecamy dostosować, są powiadomienia e-mail, które można znaleźć na karcie „Alerty” na stronie ustawień.
Domyślnie będziesz otrzymywać wiele powiadomień e-mail, które mogą zaśmiecać twoją skrzynkę odbiorczą.
Zalecamy włączanie alertów tylko dla kluczowych działań, o których chcesz być powiadamiany, takich jak zmiany wtyczek i rejestracje nowych użytkowników.
Ta wtyczka zabezpieczająca WordPress jest bardzo potężna, więc przejrzyj wszystkie karty i ustawienia, aby zobaczyć wszystko, co robi, takie jak skanowanie złośliwego oprogramowania, dzienniki audytu, śledzenie nieudanych prób logowania i wiele innych.
Więcej informacji można znaleźć w naszej szczegółowej recenzji Sucuri.
Włączenie zapory aplikacji sieci Web (WAF)
Najprostszym sposobem na zabezpieczenie witryny i uzyskanie pewności co do bezpieczeństwa WordPressa jest użycie zapory aplikacji internetowej (WAF).
Zapora witryny internetowej blokuje cały złośliwy ruch, zanim jeszcze dotrze on do twojej witryny.
- Zapora sieciowa na poziomie DNS kieruje ruch Twojej witryny internetowej przez serwery proxy w chmurze. Pozwala to na wysyłanie tylko prawdziwego ruchu do twojego serwera WWW.
- Zapora na poziomie aplikacji sprawdza ruch po dotarciu do twojego serwera, ale przed wczytywaniem większości skryptów WordPress. Ta metoda nie jest tak skuteczna jak zapora na poziomie DNS w zmniejszaniu wczytywania ruchu na serwerze.
Aby dowiedzieć się więcej, zapoznaj się z naszą listą najlepszych wtyczek WordPress do zapory sieciowej.
Używaliśmy Sucuri na WPBeginner przez wiele lat i nadal polecamy go jako jedną z najlepszych zapór aplikacji internetowych dla WordPress. Niedawno przeszliśmy z Sucuri na Cloudflare, ponieważ potrzebowaliśmy większej sieci CDN z funkcjami, które koncentrowały się bardziej na klientach korporacyjnych.
Możesz przeczytać o tym, jak Sucuri pomogło nam zablokować 450 000 ataków WordPress w ciągu miesiąca.
Najlepszą częścią zapory Sucuri jest to, że jest ona również objęta gwarancją usuwania złośliwego oprogramowania i czarnych list. Oznacza to, że jeśli zostaniesz zhakowany pod ich nadzorem, gwarantują poprawkę twojej witryny internetowej, bez względu na to, ile masz stron.
Jest to dość mocna gwarancja, ponieważ naprawa zhakowanych witryn internetowych jest kosztowna. Eksperci ds. zabezpieczeń zwykle pobierają ponad 250 USD za godzinę, podczas gdy cały stos zabezpieczeń Sucuri można uzyskać za 199 USD za cały rok.
Biorąc to pod uwagę, Sucuri nie jest jedynym dostawcą zapór na poziomie DNS. Innym popularnym konkurentem jest Cloudflare. Zobacz nasze porównanie Sucuri vs. Cloudflare (Plusy i minusy).
Przenieś swoją witrynę WordPress na SSL/HTTPS
SSL (Secure Sockets Layer) to protokół, który szyfruje transfer danych między twoją witryną internetową a przeglądarką użytkownika. To szyfrowanie utrudnia komuś podsłuchiwanie i kradzież informacji.
Po włączeniu protokołu SSL adres Twojej witryny internetowej będzie korzystał z protokołu HTTPS zamiast HTTP. Zobaczysz również kłódkę lub podobną ikonkę obok adresu twojej witryny internetowej w przeglądarce.
Certyfikaty SSL są zazwyczaj wydawane przez urzędy certyfikacji, a ich ceny zaczynają się od 80 do setek dolarów rocznie. Ze względu na dodatkowe koszty, większość właścicieli witryn internetowych w przeszłości decydowała się na dalsze korzystanie z niezabezpieczonego protokołu.
Aby to poprawić, organizacja non-profit o nazwie Let’s Encrypt postanowiła zaoferować właścicielom witryn internetowych bezpłatne certyfikaty SSL. Ich projekt jest wspierany przez Google Chrome, Facebooka, Mozillę i wiele innych firm.
Rozpoczęcie korzystania z SSL dla wszystkich twoich witryn internetowych WordPress jest łatwiejsze niż kiedykolwiek. Wiele firm hostingowych oferuje obecnie bezpłatny certyfikat SSL dla twojej witryny internetowej WordPress.
Jeśli twoja firma hostingowa nie oferuje takiego certyfikatu, możesz kupić certyfikat SSL od Domain.com. Mają najlepsze i najbardziej niezawodne oferty SSL na rynku. Certyfikat jest objęty gwarancją bezpieczeństwa w wysokości 10 000 USD i pieczęcią TrustLogo.
Zabezpieczenia WordPress dla majsterkowiczów
Jeśli robisz wszystko, o czym wspomnieliśmy do tej pory, to jesteś w całkiem dobrej formie.
Ale jak zawsze, jest więcej rzeczy, które możesz zrobić, aby wzmocnić swoje zabezpieczenia WordPress.
Należy pamiętać, że niektóre z tych kroków mogą wymagać znajomości kodowania.
Zmiana domyślnej nazwy użytkownika administratora
W dawnych czasach domyślną nazwą użytkownika administratora WordPress był „admin”. Ponieważ nazwy użytkowników stanowią połowę danych uwierzytelniających logowanie, ułatwiało to hakerom przeprowadzanie ataków typu brute-force.
Na szczęście WordPress zmienił to i teraz wymaga wybrania własnej nazwy użytkownika podczas instalacji WordPressa.
Jednak niektóre instalatory WordPress 1-click nadal ustawiają domyślną nazwę użytkownika administratora na „admin”. Jeśli powiadomienie o tym ma miejsce, to prawdopodobnie dobrym pomysłem jest zmiana twojego hostingu.
Ponieważ WordPress domyślnie nie pozwala na zmianę nazwy użytkownika, istnieją trzy metody zmiany nazwy użytkownika.
- Utwórz nową nazwę administratora i usuń starą.
- Użyj wtyczki Username Changer
- Aktualizacja nazwy użytkownika z phpMyAdmin
Wszystkie trzy omówiliśmy w naszym szczegółowym przewodniku na temat tego, jak prawidłowo zmienić twoją nazwę użytkownika WordPress.
Uwaga: Dla jasności, mówimy o zmianie nazwy użytkownika o nazwie „admin”, a nie roli użytkownika administratora, która jest również czasami nazywana „admin”.
Wyłączanie edycji plików
WordPress posiada wbudowany edytor kodu, który umożliwia edycję twojego motywu i plików wtyczek bezpośrednio z obszaru administracyjnego WordPress.
W niepowołanych rękach funkcja ta może stanowić zagrożenie dla zabezpieczeń, dlatego zalecamy jej wyłączenie.
Możesz to łatwo zrobić, dodając poniższy kod do twojego pliku wp-config.php lub za pomocą wtyczki fragmentu kodu, takiej jak WPCode (zalecane):
// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );
Jak to zrobić krok po kroku pokazujemy w naszym przewodniku na temat wyłączania edytorów motywów i wtyczek z panelu administracyjnego WordPress.
Alternatywnie można to zrobić jednym kliknięciem, korzystając z funkcji Hardening we wspomnianej wyżej darmowej wtyczce Sucuri.
Wyłączanie wykonywania plików PHP w niektórych katalogach WordPressa
Innym sposobem na zabezpieczenie twojego WordPressa jest wyłączenie wykonywania plików PHP w katalogach, w których nie jest to potrzebne, takich jak /wp-content/uploads/
.
Możesz to zrobić, otwierając edytor tekstu, taki jak Notatnik i wklejając ten kod:
<Files *.php>
deny from all
</Files>
Następnie musisz zapisać ten plik jako .htaccess i przesłać go do katalogu /wp-content/uploads/
na twojej witrynie internetowej za pomocą klienta FTP.
Aby uzyskać bardziej szczegółowe wyjaśnienie, zapoznaj się z naszym przewodnikiem na temat wyłączania wykonywania PHP w niektórych katalogach WordPress.
Alternatywnie można to zrobić jednym kliknięciem, korzystając z funkcji Hardening w darmowej wtyczce Sucuri, o której wspomnieliśmy powyżej.
Ograniczenie prób logowania
Domyślnie WordPress pozwala użytkownikom próbować logować się dowolną liczbę razy. To sprawia, że twoja witryna WordPress jest podatna na ataki typu brute-force. Polegają one na tym, że hakerzy próbują złamać hasła, próbując logować się przy użyciu różnych kombinacji.
Poprawkę można łatwo naprawić, ograniczając liczbę nieudanych prób logowania użytkownika. Jeśli korzystasz ze wspomnianej wcześniej zapory sieciowej, jest to automatycznie rozwiązywane.
Jeśli jednak nie masz skonfigurowanej zapory, możesz wykonać poniższe czynności.
Najpierw należy zainstalować i włączyć darmową wtyczkę Limit Login Attempts Reloaded. Aby uzyskać więcej informacji, zobacz nasz przewodnik krok po kroku, jak zainstalować wtyczkę WordPress.
Po włączaniu wtyczka zacznie ograniczać liczbę prób logowania podejmowanych przez użytkowników.
Domyślne ustawienia będą działać dla większości witryn internetowych, jednak można je dostosować, przechodząc na stronę Ustawienia ” Ogranicz próby logowania i klikając kartę „Ustawienia” u góry. Na przykład, aby zachować zgodność z przepisami RODO, możesz kliknąć pole wyboru „Zgodność z RODO”.
Aby uzyskać szczegółowe instrukcje, zapoznaj się z naszym przewodnikiem na temat tego, jak i dlaczego powinieneś ograniczyć próby logowania w WordPress.
Dodaj uwierzytelnianie dwuskładnikowe (2FA)
Metoda uwierzytelniania dwuskładnikowego wymaga 2 różnych kroków, aby użytkownicy mogli się logować:
- Pierwszym krokiem jest podanie nazwy użytkownika i hasła.
- Drugi krok wymaga użycia kodu z twojego urządzenia lub aplikacji, do której hakerzy nie mają dostępu, np. smartfona.
Większość czołowych witryn internetowych, takich jak Google, Facebook i Twitter, umożliwia włączenie tej funkcji dla twojego konta. Możesz również dodać tę samą funkcjonalność do twojej witryny WordPress.
Najpierw należy zainstalować i włączyć wtyczkę WP 2FA – Two-factor Authentication. Aby uzyskać więcej informacji, zobacz nasz przewodnik krok po kroku, jak zainstalować wtyczkę WordPress.
Przyjazny dla użytkownika kreator pomoże skonfigurować wtyczkę, a następnie otrzymasz kod QR.
Będziesz musiał zeskanować kod QR za pomocą aplikacji uwierzytelniającej na twoim telefonie, takiej jak Google Authenticator, Authy i LastPass Authenticator.
Zalecamy korzystanie z LastPass Authenticator lub Authy, ponieważ umożliwiają one tworzenie kopii zapasowych twoich kont w chmurze. Jest to bardzo przydatne w przypadku zgubienia, zresetowania lub zakupu nowego telefonu. Wszystkie twoje loginy do kont zostaną łatwo przywrócone.
Większość z tych aplikacji działa w podobny sposób, a jeśli korzystasz z Authy, po prostu kliknij przycisk „+” lub „Dodaj konto” w aplikacji uwierzytelniającej.
Umożliwi to zeskanowanie kodu QR na twoim komputerze za pomocą aparatu w telefonie. Konieczne może być najpierw zezwolenie aplikacji na dostęp do aparatu.
Po nadaniu nazwy konta można je zapisać.
Następnym razem, gdy będziesz logować się do swojej witryny internetowej, po wpiszeniu hasła zostaniesz poproszony o podanie kodu uwierzytelniania dwuskładnikowego.
Po prostu otwórz aplikację uwierzytelniającą na twoim telefonie, a zobaczysz jednorazowy kod.
Następnie możesz wpisz kod na swojej witrynie internetowej, aby dokończyć logowanie się.
Zmiana prefiksu bazy danych WordPress
Domyślnie WordPress używa wp_
jako przedrostka dla wszystkich tabel w twojej bazie danych WordPress.
Jeśli twoja witryna WordPress używa domyślnego prefiksu bazy danych, hakerom łatwiej jest odgadnąć nazwę twojej tabeli. Dlatego zalecamy jego zmianę.
Możesz zmienić swój prefiks bazy danych, postępując zgodnie z naszym poradnikiem krok po kroku, jak zmienić prefiks bazy danych WordPress w celu poprawy zabezpieczeń.
Uwaga: Zmiana prefiksu bazy danych może zepsuć twoją witrynę, jeśli nie zostanie wykonana prawidłowo. Zrób to tylko wtedy, gdy czujesz się komfortowo z twoimi umiejętnościami kodowania.
Zabezpieczona hasłem strona administratora i logowania WordPressa
Zwykle hakerzy mogą zażądać twojego katalogu wp-admin i strony logowania bez żadnych ograniczeń. Pozwala im to wypróbować swoje sztuczki hakerskie lub przeprowadzić ataki DDoS.
Można dodać dodatkowe zabezpieczenie hasłem po stronie serwera, co skutecznie zablokuje te żądania.
Wystarczy postępować zgodnie z naszymi instrukcjami krok po kroku, jak zabezpieczyć hasłem twój katalog administracyjny WordPress (wp-admin).
Wyłącz indeksowanie i przeglądanie katalogów
Po wpisaniu adresu jednego z katalogów twojej witryny internetowej w przeglądarce internetowej, zostanie wyświetlona strona internetowa o nazwie index.html
, jeśli istnieje. Jeśli nie istnieje, zamiast tego zostanie wyświetlona lista plików w tym katalogu. Jest to znane jako przeglądanie katalogów.
Przeglądanie katalogów może być wykorzystywane przez hakerów, aby dowiedzieć się, czy masz jakieś pliki ze znanymi lukami w zabezpieczeniach, aby mogli wykorzystać te pliki w celu uzyskania dostępu.
Przeglądanie katalogów może być również wykorzystywane przez inne osoby do przeglądania twoich plików, kopiowania obrazków, poznawania struktury katalogów i innych informacji. Dlatego zaleca się wyłączenie indeksowania i przeglądania katalogów.
Musisz połączyć się ze swoją witryną internetową za pomocą FTP lub menedżera plików dostawcy hostingu. Następnie zlokalizuj plik .
htaccess w katalogu głównym twojej witryny internetowej. Jeśli go tam nie widzisz, zapoznaj się z naszym przewodnikiem na temat tego, dlaczego nie widzisz pliku .htaccess w WordPress.
Następnie należy dodać następującą linię na końcu pliku .htaccess:
Opcje -Indeksy
Nie zapomnij zapisać i przesłać pliku .htaccess z powrotem na twoją witrynę.
Więcej informacji na ten temat można znaleźć w naszym artykule na temat wyłączania przeglądania katalogów w WordPress.
Wyłączanie XML-RPC w WordPress
XML-RPC to rdzeń API WordPressa, który pomaga połączyć twoją witrynę WordPress z aplikacjami internetowymi i mobilnymi. Jest domyślnie włączony od wersji WordPress 3.5.
Jednak ze względu na swój potężny charakter, XML-RPC może znacznie wzmocnić ataki typu brute-force.
Na przykład, jeśli haker tradycyjnie chciałby wypróbować 500 różnych haseł na twojej witrynie internetowej, musiałby wykonać 500 oddzielnych prób logowania. Może to zostać wychwycone i zablokowane przez wtyczkę Limit Login Attempts Reloaded.
Ale w przypadku XML-RPC haker może użyć funkcji system.multicall
, aby wypróbować tysiące haseł za pomocą powiedzmy 20 lub 50 żądań.
Dlatego jeśli nie korzystasz z XML-RPC, zalecamy jego wyłączenie.
Istnieją 3 sposoby na wyłączenie XML-RPC w WordPress i omówiliśmy je wszystkie w naszym poradniku krok po kroku, jak wyłączyć XML-RPC w WordPress.
Wskazówka: Metoda .htaccess jest najlepsza, ponieważ wymaga najmniej zasobów. Pozostałe metody są łatwiejsze dla początkujących.
Alternatywnie, jest to załatwiane automatycznie, jeśli korzystasz z zapory aplikacji internetowej (WAF), jak wspomnieliśmy wcześniej.
Automatyczne logowanie się bezczynnych użytkowników w WordPressie
Logujący się użytkownicy mogą czasem odejść od ekranu, co stanowi zagrożenie dla zabezpieczeń. Ktoś może przejąć ich sesję, zmienić hasła lub wprowadzić zmiany na ich koncie.
Dlatego też wiele witryn bankowych i finansowych automatycznie loguje się nieaktywnego użytkownika. Podobną funkcjonalność możesz skonfigurować również na twojej witrynie WordPress.
Należy zainstalować i włączyć wtyczkę Inactive Logout. Po włączaniu przejdź na stronę Ustawienia „ Nieaktywne wylogowanie, aby dostosować ustawienia wylogowania.
Wystarczy ustawić czas trwania i dodać komunikat wylogowania. Następnie nie zapomnij kliknąć przycisku „Zapisz zmiany” u dołu strony, aby zapisać twoje ustawienia.
Aby uzyskać instrukcje krok po kroku, zapoznaj się z naszym przewodnikiem na temat automatycznego logowania się bezczynnych użytkowników w WordPress.
Dodawanie pytań dotyczących zabezpieczeń do ekranu logowania WordPressa
Dodanie pytania zabezpieczającego do twojego ekranu logowania do WordPressa jeszcze bardziej utrudnia komuś uzyskanie nieautoryzowanego dostępu.
Pytania dotyczące zabezpieczeń można dodać instalując wtyczkę Two Factor Authentication. Po włączaniu należy przejść na stronę Multi-factor Authentication ” Two Fact or, aby skonfigurować ustawienia wtyczki.
Umożliwi to dodanie różnego rodzaju uwierzytelniania dwuskładnikowego do twojej witryny, w tym pytań dotyczących zabezpieczeń.
Aby uzyskać bardziej szczegółowe instrukcje, zapoznaj się z naszym poradnikiem na temat dodawania pytań dotyczących zabezpieczeń do ekranu logowania WordPress.
Skanowanie WordPress pod kątem złośliwego oprogramowania i luk w zabezpieczeniach
Jeśli masz zainstalowaną wtyczkę bezpieczeństwa WordPress, będzie ona rutynowo sprawdzać złośliwe oprogramowanie i oznaki naruszenia zabezpieczeń.
Jeśli jednak zauważysz nagły spadek ruchu na witrynie internetowej lub w rankingach wyszukiwania, możesz chcieć ręcznie przeskanować witrynę w poszukiwaniu złośliwego oprogramowania. Możesz to zrobić za pomocą twojej wtyczki bezpieczeństwa WordPress lub jednego z najlepszych skanerów złośliwego oprogramowania i zabezpieczeń.
Skanowanie online jest dość proste. Po prostu wpisz adres URL swojej witryny internetowej, a ich roboty indeksujące przejdą przez witrynę w poszukiwaniu znanego złośliwego oprogramowania i złośliwego kodu.
Należy pamiętać, że większość skanerów zabezpieczeń WordPress może jedynie ostrzegać, jeśli twoja witryna zawiera złośliwe oprogramowanie. Nie mogą usuwać złośliwego oprogramowania ani czyścić zhakowanej witryny WordPress.
To prowadzi nas do następnej sekcji, czyszczenia złośliwego oprogramowania i zhakowanych witryn WordPress.
Poprawka zhakowanej witryny WordPress
Wielu importerów WordPressa nie zdaje sobie sprawy ze znaczenia kopii zapasowych i zabezpieczeń witryny internetowej, dopóki ich witryna nie zostanie zhakowana.
Hakerzy instalują backdoory na witrynach, które mają na to wpływ, a jeśli te backdoory nie zostaną poprawnie naprawione, twoja witryna internetowa prawdopodobnie zostanie ponownie zhakowana.
Dla odważnych i majsterkowiczów przygotowaliśmy przewodnik krok po kroku, jak poprawić zhakowaną witrynę WordPress.
Jednak czyszczenie witryny WordPress może być bardzo trudne i czasochłonne. Nasza rada jest taka, by zlecić to profesjonalistom.
Jeśli płacisz za korzystanie z wtyczki zabezpieczeń Sucuri, o której wspomnieliśmy powyżej, naprawa witryny po włamaniu jest wliczona w cenę.
Można również skorzystać z usługi naprawy zhakowanej witryny WPBeginner Pro Services. Wymaga to jednorazowej płatności w wysokości 249 USD i obejmuje ustalanie plików premium, usuwanie złośliwego kodu, aktualizacje oprogramowania i zabezpieczeń oraz wyczyszczoną kopię zapasową witryny.
Gwarantujemy poprawkę Twojej witryny lub zwrot pieniędzy. Obejmujemy również Twoją witrynę internetową przez 30 dni po naprawie, więc jeśli zostaniesz ponownie zhakowany w tym czasie, będziemy tam, aby to poprawić.
Zajmujemy się czyszczeniem i zabezpieczaniem witryn internetowych WordPress od ponad 10 lat, więc korzystając z naszej usługi naprawy zhakowanych witryn, będziesz mieć spokój ducha.
Dodatkowa wskazówka: Zatrudnij usługę konserwacji WordPressa
Jako zapracowany właściciel małej firmy możesz nie mieć czasu na monitorowanie bezpieczeństwa twojej witryny internetowej i zabezpieczenie jej przed lukami w zabezpieczeniach. Tak więc, aby uspokoić twój umysł i zmniejszyć obciążenie pracą, możesz wynająć usługę konserwacji WordPress do całodobowego monitorowania zabezpieczeń.
WPBeginner Pro Services oferuje kompleksową obsługę witryny internetowej WordPress w przystępnej cenie. Obejmuje ona monitorowanie zabezpieczeń, rutynowe tworzenie kopii zapasowych w chmurze, aktualizacje WordPress, monitorowanie czasu pracy i wiele więcej.
Po prostu wybierz miesięczny pakiet usług serwisowych, który odpowiada Twoim potrzebom, a otrzymasz bardziej zabezpieczoną witrynę WordPress i dodatkowy wolny czas na pracę nad innymi aspektami Twojej firmy.
Jeśli chcesz poznać inne rekomendacje, zapoznaj się z naszymi typami najlepszych usług utrzymania witryn internetowych dla WordPress.
Mamy nadzieję, że ten artykuł pomógł ci poznać najlepsze praktyki w zakresie zabezpieczeń WordPress i odkryć najlepsze wtyczki WordPress dla twojej witryny internetowej. Zachęcamy również do zapoznania się z naszym przewodnikiem WordPress SEO, który pomoże Ci poprawić rankingi SEO, a także z poradami ekspertów dotyczącymi przyspieszania WordPressa.
If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.
Syed Balkhi says
Hey WPBeginner readers,
Did you know you can win exciting prizes by commenting on WPBeginner?
Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
You can get more details about the contest from here.
Start sharing your thoughts below to stand a chance to win!
Mrteesurez says
No serious business will underestimate the power of security concerning websites specifically WordPress. It’s popularity make it a center of focus for hackers.
I advise newly installed WordPress sites to firstly implement most of these security measures before launching or begin operation.
Kushal Phalak says
Great article! Last year my website was hacked(redirecting to another suspicious website), so I think it is a must to use security measure. In my case, I had to delete my website and was lucky that my hosting provider had backup feature. From then I used Wordfence to secure my websites, but moved to Sucuri as it provided the services like DDoS protection, and CDN as well.
Moinuddin Waheed says
I have been in the similar sitution where I was working for a reputed institue website.
After making everything final, the director asked me date so that he can schedule a press release.
I confidently suggested him a particualr date and before the schedule date,
my website got corrupted and unfortunately I didn’t have any backup plan ready.
I was completely screwed up and worked the whole day trying to restore to the previous working
like condition.
I think it is necessary that we give heed to each detail related to security.
Ayanda Temitayo says
Please I want to ask that is it security wise to change the url of the default login page to another custom url. Like from yourwebsite.com/wp-login to yourwebsite.com/anotherName-login
I once use a plugin to change my login url to another url where nobody can easily route to my login page. So one of my SEO guy said it will be easy for hackers to hack my site if the plugin is vulnerable and I will lose everything on my website if I keep using a custom route to login page.
What’s your opinion about changing the default login route?
WPBeginner Support says
Changing your login URL is personal preference and not specifically for security.
Administrator
al amin Sheikh says
Two important things in a website – Performance and Security.
Nicely explained how we can protect our site from hackers. Thanks, WPB.
WPBeginner Support says
You’re welcome
Administrator
Moinuddin Waheed says
Rightly said about the two most important thing of any website.
security and performance.
I think in case of wordpress, these two to a great extent can be achieved through good hosting provider and with the use of good themes and plugins.
Most of the time, a wrong plugin can cause security loophole without you even noticing it.
of course, other aspects are equally important to consider.
mohadese esmaeeli says
Hello, thank you for this excellent article.I also want to add a few more items to this list, such as using the Google reCAPTCHA plugin, employing security hardware related to the server, examining security tools within the hosting environment, such as Imunify360, and regularly changing passwords at short intervals.
WPBeginner Support says
Thank you for your recommendations, hosts do have different tools so it would be best to check with the hosting provider for any security tools they offer
Administrator
Fajri says
Whoa, the method to Disable XML-RPC in WordPress is totally new for me.
I am gonna try to applicate it to add more security for my websites. Thanks for this information team!
WPBeginner Support says
Glad you found our article helpful
Administrator
Murad Prodhan says
WPbeginner is one the best websites for our community. This article is very helpful for me. Thanks WPbeginner.
WPBeginner Support says
You’re welcome, glad the guide was helpful
Administrator
Jiří Vaněk says
This is a great article. There are many things here that never occurred to me, even though I tried to secure with WordPress as much as possible. I just copied a snippet to hide error messages when logging into WordPress and I’m going to apply it to my website. It probably won’t stop at just this thing. This article is really a fantastic list of great tips. Thank you for advancing awareness about security. Great job.
WPBeginner Support says
You’re welcome, glad our guide was helpful
Administrator
Etop Udoekene says
Thanks very much. This information has come to me at just the right time, as I am in the process of setting up my website again after losing my former laptop and Android phone to thieves.
I am really grateful.
WPBeginner Support says
You’re welcome, hopefully things get better and we hope our guide helps you with keeping your site secure after that.
Administrator
Mark Ellsworth says
Thank you – very well organized and comprehensive! This will definitely help with what is an ongoing and challenging issue with WordPress installs.
WPBeginner Support says
Glad you found our security guide helpful
Administrator
Ifakayode Femi says
I loved this article and am bookmarking this page for future cause I might not remember the names of most plugins listed here, but sincerely this article helps a long way
Thanks for taking your time to compose this
Thanks a million times
WPBeginner Support says
Glad you found our guide and recommendations helpful!
Administrator
Nikhil says
thankyou sir it’s information is to important thankyou so much sir
WPBeginner Support says
You’re welcome, glad to hear our article was helpful!
Administrator
Yasin says
I am very grateful for this article, all thanks to wpbeginner.com.
WPBeginner Support says
You’re welcome glad you found our guide helpful!
Administrator
Belinda Viret says
Thank you for the great advice!
WPBeginner Support says
You’re welcome!
Administrator
Marko Kozlica says
Wow! Extensive and thorough article for beginners and experienced wordpressers alike. Keep up the good work!
WPBeginner Support says
Glad you found our article helpful!
Administrator
Federico says
Really good guide, very useful!
WPBeginner Support says
Glad you think so!
Administrator
Claudio Lopes says
Following the tips and feeling that my site is more secure.
WPBeginner Support says
Glad to hear our guide could help you!
Administrator
Bob De Maria says
Hi,
I am brand new to this and this was my first email and I am ever glad I am signed up. You hit on one of my concerns that is right at the top of my list.
I can’t thank you enough for a very well written and much appreciated tutorial.
Best Regards,
Bob De Maria
WPBeginner Support says
Glad to hear our guide was helpful!
Administrator
Kimberly says
FYI: Security issue on the WP Security Questions plugin. It’s been removed from wordpress.org.
WPBeginner Support says
Thank you for letting us know, we will be sure to look for an alternative we would recommend
Administrator
MS says
Hi guys! Txs a lot for this usefull resouces. 1 question, will any of this affect the loading time of my website/pages???
WPBeginner Support says
These should not cause a major change to your site’s speed.
Administrator
john says
nice Article ,
Do use reCAPTCHA in forms is helpful in securing?
WPBeginner Support says
reCAPTCHA is for preventing spam more than security.
Administrator
tim jackz says
Hello team,
If i install two security plugin in my wordpress website, is there any disadvantages for my website?
WPBeginner Support says
You would want to check with the support for the plugins you are looking to use, some work together but others try to do the same tasks which can cause conflicts.
Administrator
Diego says
My WordPress site is running WordPress 5.1.8 which part of the 5.1 branch, last updated on November 2020. The current WordPress version is 5.6.2.
I don’t quite understands all these different branches of WP.
Should I still need to upgrade?
WPBeginner Support says
Rather than upgrade, you need to update your site, you can take a look at our guide below for how to safely update your site:
https://www.wpbeginner.com/beginners-guide/ultimate-guide-to-upgrade-wordpress-for-beginners-infograph/
Administrator
Julia says
So I pay premium and the free plugins are only for business, is there a way around that. They don’t let us pay for plugins. Premium and lower are not allowed to use them at all.
WPBeginner Support says
That would be a WordPress.com limitation, for the difference between WordPress.com and WordPress.org we would recommend taking a look at our article below:
https://www.wpbeginner.com/beginners-guide/self-hosted-wordpress-org-vs-free-wordpress-com-infograph/
Administrator
Trisha says
Great tutorial, thank you! In going thru my 404 error logs, I see a lot of bots hitting non-existent plugins in my /plugins folder….I’m not overly concerned since the plugins they’re looking for don’t exist (hence the 404) BUT is there a way to protect my /plugins folder that won’t interfere with normal plugin operations? Is this advisable? Should I even be concerned?
WPBeginner Support says
That normally shouldn’t be something you should be concerned with unless the plugin is on your site then you may want to ensure you have that plugin up to date in case the bot was looking for a plugin with a security vulnerability.
Administrator
Ish says
I took over a word press site how would i know if my site has a cloud backup account prior before me?
WPBeginner Support says
You would need to check your active plugins and reach out to your hosting provider to see what is active for your site.
Administrator
Lu says
How can you find out if your site uses XML-RPC? Really useful as always. Thank you.
WPBeginner Support says
If your version of WordPress is up to date it should be active on your site normally.
Administrator
Julie Taylor says
Very helpful information. I would like to know your thoughts on the following, if i were to implement all of those security situations, particuarly those that were involving code etc does it effect Google to be able to pull up the site and for SEO to work effectively?
WPBeginner Support says
The security recommendations should not affect your site’s SEO
Administrator
MooN Minhas says
Thanks for sharing nice information.
WPBeginner Support says
Glad you found it helpful
Administrator
Samuel says
is this guide also applies to WordPress.com users?
WPBeginner Support says
No, our guides are for WordPress.org sites, you would want to reach out to WordPress.com for the hardening steps they allow
Administrator