Czy wiesz, że WordPress posiada wbudowany edytor motywów i wtyczek? Ten prosty edytor kodu umożliwia edycję twojego motywu i plików wtyczek bezpośrednio z kokpitu WordPress.
Może się to wydawać bardzo pomocne, ale może również prowadzić do problemów, takich jak uszkodzenie twojej witryny i potencjalne zabezpieczenia w połączeniu z innymi lukami.
W tym artykule wyjaśnimy, dlaczego i jak wyłączyć edytory motywów i wtyczek z obszaru administracyjnego WordPress.
Dlaczego warto wyłączyć edytory motywów i wtyczek w WordPressie?
WordPress posiada wbudowany edytor kodu, który pozwala edytować pliki motywów i wtyczek WordPress bezpośrednio z obszaru administracyjnego.
Edytor motywów znajduje się na stronie Wygląd ” Edytor plików motywu. Domyślnie wyświetla on pliki twojego aktualnie włączonego motywu.
Podobnie edytor wtyczek można zobaczyć na stronie Wtyczki ” Edytor plików wtyczek. Domyślnie pokaże on jedną z zainstalowanych wtyczek z twojej witryny, która pojawi się jako pierwsza w kolejności alfabetycznej.
Jeśli przejdziesz na stronę edytora motywu lub wtyczki po raz pierwszy, WordPress ostrzeże cię, że korzystanie z edytora może zepsuć twoją witrynę internetową.
W WordPress 4.9 edytory motywów i wtyczek zostały ulepszone, aby zabezpieczyć użytkowników przed przypadkowym zepsuciem ich witryny internetowej. W większości przypadków edytor wychwyci błąd krytyczny i przywróci zmiany.
Nie jest to jednak gwarantowane i niektóre kody mogą się prześlizgnąć, co spowoduje utratę dostępu do obszaru administracyjnego WordPress.
Największym problemem wbudowanego edytora plików jest to, że daje on pełny dostęp do dodawania dowolnego kodu do twojej witryny internetowej.
Jeśli haker włamał się do twojego obszaru administracyjnego WordPress, może użyć wbudowanego edytora, aby uzyskać dostęp do wszystkich danych WordPress.
Hakerzy mogą również wykorzystywać go do dystrybucji złośliwego oprogramowania lub przeprowadzania ataków DDOS z twojej witryny internetowej WordPress.
Aby poprawić zabezpieczenia WordPressa, zalecamy całkowite usuwanie wbudowanych edytorów plików.
W związku z tym zobaczmy, jak łatwo wyłączyć edytory motywów i wtyczek w WordPress.
Jak wyłączyć edytory motywów i wtyczek w WordPressie?
Wyłączenie edytorów motywów i wtyczek w WordPressie jest dość proste. Wymaga to jednak dodania kodu w WordPress. Jeśli nie robiłeś tego wcześniej, zapoznaj się z naszym przewodnikiem na temat wklejania fragmentów kodu z sieci do WordPressa.
Będziesz musiał dodać tę linię kodu do pliku functions. php twojego motywu, wtyczki specyficznej dla witryny lub za pomocą wtyczki fragmentów kodu.
define( 'DISALLOW_FILE_EDIT', true );
Zalecamy korzystanie z wtyczki WPCode, ponieważ jest ona bezpłatna, łatwa w użyciu i nie zepsuje twojej witryny internetowej, jeśli coś pójdzie nie tak.
Uwaga: Istnieje również wersja premium WPCode, która zawiera zaawansowane funkcje, takie jak poprawki kodu, automatyczne piksele konwersji, zaplanowane fragmenty kodu i wiele innych.
Najpierw należy zainstalować i włączyć darmową wtyczkę WPCode. Szczegółowe instrukcje można znaleźć w naszym przewodniku na temat instalacji wtyczki WordPress.
Po włączaniu wtyczki, przejdź do Code Snippets „ Add Snippet z twojego kokpitu WordPress. Następnie najedź kursorem myszy na opcję „Add Your Custom Code (New Snippet)” i kliknij przycisk „Use snippet”.
Następnie dodaj tytuł dla twojego fragmentu kodu i wklej powyższy kod w polu „Podgląd kodu”. Musisz również wybrać „Fragment kodu PHP” jako rodzaj kodu z rozwijanego menu po prawej stronie.
Następnie wystarczy przełączyć przełącznik z „Nieaktywny” na „Aktywny” i kliknąć przycisk „Zapisz fragment kodu”.
To wszystko, edytory wtyczek i motywów znikną teraz z menu motywów i wtyczek w obszarze administracyjnym WordPress.
Alternatywnie, możesz również edytować twój plik wp-config.php i wkleić powyższy kod tuż przed linią z napisem „To wszystko, przestań edytować! Szczęśliwego publikowania”:
Następnie zapisz wprowadzone zmiany i prześlij plik z powrotem na swoją witrynę internetową.
Jeśli nie chcesz bezpośrednio edytować plików, możesz zainstalować wtyczkę Sucuri WordPress, która oferuje funkcję hartowania 1 kliknięciem.
Prawidłowy sposób edycji plików motywów i wtyczek WordPressa
Wielu użytkowników faktycznie korzysta z edytorów motywów i wtyczek WordPress, aby wyszukać kod, dodać własny CSS lub edytować kod w swoich motywach potomnych.
Jeśli chcesz tylko dodać własny CSS do twojego motywu, możesz to zrobić za pomocą konfiguratora motywu znajdującego się w sekcji Wygląd ” Dostosuj.
Aby uzyskać więcej informacji, zapoznaj się z naszym przewodnikiem na temat dodawania własnego CSS w WordPressie bez niszczenia twojej witryny.
Jeśli chcesz wyszukać kod we wtyczce, możesz to zrobić za pomocą klienta FTP.
Aby lepiej zarządzać plikami i podświetlać składnię, możesz użyć jednego z tych edytorów kodu do edycji plików WordPress na twoim komputerze.
Wreszcie, można również utworzyć własny motyw WordPress bez pisania jakiegokolwiek kodu.
Mamy nadzieję, że ten artykuł pomógł ci dowiedzieć się, jak łatwo wyłączyć edytory motywów i wtyczek w panelu administracyjnym WordPress. Zachęcamy również do zapoznania się z naszym przewodnikiem na temat poprawy wydajności i szybkości działania WordPressa lub z naszą listą najlepszych programów do projektowania stron internetowych.
If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.
Syed Balkhi says
Hey WPBeginner readers,
Did you know you can win exciting prizes by commenting on WPBeginner?
Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
You can get more details about the contest from here.
Start sharing your thoughts below to stand a chance to win!
Jiří Vaněk says
Thanks for the tutorial. I used the wp-config.php file and it works great. Especially for customer sites, this option seems very good to me, so that they don’t modify the codes of the site and also in terms of security.
In the end, I chose the wp-config file mainly so that this function could not be simply turned off from the administration, where it didn’t make any sense to me.
WPBeginner Support says
Makes sense
Administrator
Bob Putnak says
This wont accomplish anything these days.
1) Using the CODE SNIPPETS solution, if the hacker has access to the admin panel, they will simply go to the CODE SNIPPETS panel and DISABLE the snippet.
2) Likewise, if you added it to the wp-config file, I cant see any reason why someone with access to the Admin panel could not simply INSTALL the CODE SNIPPETS plugin, activate it, then set a rule for:
define( 'DISALLOW_FILE_EDIT’, true );
Seems to me that if the hacker has access to the admin panel, there is absolutely no solution to this problem.
If you disagree, please explain why. My login seems 100% sound.
WPBeginner Support says
If someone has admin level access to your site then they could look to add a plugin to bypass the issue. There are other user roles that have access to these sections of your site but not the ability to add plugins and this can help protect you from a non-admin who has this level of access from getting into your files.
Administrator
Robin Hood says
Thanks for sharing this post. Helpful and Informative.
WPBeginner Support says
You’re welcome, glad our content could be helpful
Administrator
isabella says
Hello there! I have the opposite problem I need to add a CSS code in the editor BUT the editor disappeared.
Do you have any suggestions?
thanks a lot
cheers
Mike Sawyer says
Thank you for all the tips and helpful advice. This is the go to for me in case I get stuck. Thanks.
Raj says
Unfortunately this isn’t working for me, I have updated the wp-config.php file but the editor option is still there in my wp dashboard, can you suggest me something?
Dave says
Hi Raj,
I had the same issue, but was able to fix it. Not sure if this is your same issue, but I realized that when copy/pasting from an internet post, sometimes the single/double quotation marks (’ ’) or (” „) may be a curly quote vs. a straight quote. Try deleting the single quotes, and retyping them.
Hope this helps!
-Dave
William Marques says
Is it possible disable save option for all? I want show control panel for my clients, but I do not want that they save the changes.
Bella says
A trillion thank you’s!!
This tiny piece of code has rocked my world!
How have I not come across you in the past??
Keep smiling – Bella
Jimit Shah says
hi
I want to disable paste command ( through mouse and ctr+v)in my php file in theme editor. So that i can write code not copy any code from outside.I want to give access manual code writing . please help me
Raja Dileep Kumar says
define(’DISALLOW_FILE_EDIT’, true); this function will work on themes/functions.php if i paste the code in wordpress
Pramod Kumar says
It works, Thanks.
John McNamara says
Hi there just wondering if anyone found a way to get around this without access as we have paid $1800 for some to set up a Website that is just a theme with out any changes made to it and wants to be paid more to unlock the editor for us
Please help!!
WPBeginner Support says
If you have FTP access, or access to the hosting control panel, then you can easily edit the wp-config.php file and remove the code:
1-click Use in WordPress
Administrator
Graham Peckham says
Hi, well I was hacked yesterday by someone who installed MonsterInsights plugin to my web site, BUT, the line of code you suggest was already installed on wp-config.
So any suggestions for stopping these
Cheers
WPBeginner Support says
Hi Graham,
If you suspect that your website may be hacked, then please see our guide on recovering a hacked WordPress site. You may also want to follow our complete WordPress security guide to protect your website in the future.
Prasath says
define( 'DISALLOW_FILE_EDIT’, true );
This one disable the editor for complete pages. I need to disable only for home page and for particular user(for Ex: Editor) . Coz I used page builder. My clients are not intrested to look over that..
Can any one help me ….
Mark Corder says
I can also confirm that this works when the line is added to a Site-Specific Plugin – which you’ll also find the recipe for here on WPBeginner…
… so Thanks to you folks for all of it!
Melissa says
Hey there! My cheeky developer has done this to me and I need access… is there a way to „undo” this clever trick without having FTP access?
I am also a developer and able to edit the files without any issues, but my contracted developer wants to charge me to access the code… so I am hoping I can jump in somehow!
Mel
Al Klein says
Did you contract for 'all deliverables’? If so, have him deliver the FTP password – it’s a deliverable. (It’s a contract, so it can be enforced by a court. You may not be able to sue for specific action, but you can sue for whatever it will cost to have another developer create a new site that’s exactly like the old one [which will probably bankrupt your existing developer – so it will make him prone to turn everything over to you].)
If you didn’t have 'all deliverables’ included in the contract, or don’t have a signed contract, consider it a cheap legal lesson. (Law school costs a lot more.)
Bill says
Great tip.
Is there a way to disable a specific editor (for example Elementor) for a specific post (page) type while still allowing access to the classic editor?
I hope this can be done in the child functions file.
Suresh Khanal says
while reading this post I was wondering why would anyone need to hide the editor link in the WordPress Admin because it is only the administrators who gain access to those links and if they do not get permission to do the things the required, what’s the use? anywhere realize that is good with it helpful when you are setting up blogs for you clients. Thanks for the good tips.
Mark Corder says
This is an excellent tip – and it worked fine for me adding the line to the functions.php file in my twentytwelve-child-theme’s folder. I still see options for customizing the theme (header, background, etc.) – but the „editor” links are now gone. (I had to press CTRL-R to force a page reload to make them disappear.)
I always try to remove everything from the backend that a client really shouldn’t be messing with, and those plugin & theme editors are just inviting disaster! It’s wonderful to be able to remove them with a single line of code…
I really appreciate these tips that edit child-theme functions and files to accomplish something rather than just recommending another plugin – though I realize this departs a bit from the „beginner” stuff.
And if you haven’t had this request a thousand times already, I’d love to see you folks open a „WPAdvanced” site for us hard-core folks!
Editorial Staff says
Thanks for the feedback Mark. Yes, we have gotten the request for WPAdvanced in the past. For now our focus is to continue to improve WPBeginner (we’re still not there yet).
-Syed
Administrator
Gray Ayer says
A problem encountered with this technique is that it also prevents anyone from upgrading the outdated plugins. Any ideas on that, besides disabling the addition to the wp-config file, upgrading, then restoring the hardened security?
Editorial Staff says
That’s interesting. We have this code running on our site, and we can do 1-click upgrades.
Administrator
joanpique says
Hi, thanks for the tip, yes, it works on functions.php file.
But this code turn me off my theme options page :(…, is there any other code that only hide editors or something to put in the options page for avoid hidding?
Renan Santos says
All you have to do is open your wp-config.php file and paste the code!
Devin Walker says
99% of my clients are non-technical