Como proteger o WordPress contra invasões: sua lista de verificação obrigatória

Propaganda

As redes de bots em todo o mundo voltaram sua atenção do envio de e-mails com spam para a invasão sistemática das instalações do WordPress; é um negócio lucrativo, uma vez que o WordPress alimenta 40% de todos os blogs. Especialmente considerando que até fomos vítimas disso, já era hora de publicarmos uma postagem abrangente sobre exatamente como proteger sua instalação auto-hospedada do WordPress.

Nota: este conselho se aplica apenas a instalações auto-hospedadas do WordPress. Se você usa o WordPress.com, geralmente não precisa se preocupar com segurança, porque eles lidam com tudo isso para você.Qual é a diferença entre WordPress.com e WordPress.org? Qual é a diferença entre executar o seu blog no Wordpress.com & Wordpress.org?Agora, com o Wordpress acionando 1 em cada 6 sites, eles devem estar fazendo algo certo. Tanto para desenvolvedores experientes quanto para iniciantes, o Wordpress tem algo a lhe oferecer. Mas assim que você começa ... consulte Mais informação

Instale o autenticador em duas etapas do Google

Se você já tem a autenticação em duas etapas ativada para sua conta do Gmail ou outros serviços, poderá usar o mesmo aplicativo autenticador com este plugin para WordPress.

Felizmente, você pode restringir a autenticação em duas etapas a ser usada apenas em contas de nível superior, para não incomodar todos os usuários.

Bloqueio de Login

Um plugin antigo, mas ainda funcionando conforme o esperado; Bloqueio de Login verifica o IP das tentativas de login e bloqueia um intervalo de IP por uma hora se falhar 3 vezes em 5 minutos. Simples, eficaz.

Fazer backups regulares

Os hackers não alteram apenas um arquivo, mas colocam seu próprio painel de controle oculto em algum lugar backdoors ocultos - para que, mesmo que você corrija o hack original, eles voltem e façam tudo novamente. Faça backups diários ou semanais para que você possa restaurar facilmente de volta a um ponto em que não haja traços do hacker - e certifique-se de corrigir o que eles fizeram para entrar. Pessoalmente, acabei de investir em US $ 150 Backup Buddy licença de desenvolvedor - é a solução de backup mais fácil e abrangente que eu já encontrei.

Impedir indexação de pastas

Verifique a raiz da sua instalação do WordPress para o arquivo .htaccess (observe o período no início - talvez seja necessário mostrar arquivos invisíveis para visualizá-lo) e verifique se ele possui a seguinte linha. Caso contrário, adicione-o - mas faça um backup primeiro, pois esse arquivo é bastante crucial.

Opções Todos -Indexes

Ficar atualizado

Não cometa o mesmo erro que fizemos: sempre atualize o WordPress assim que uma atualização estiver disponível. Às vezes, as atualizações contêm pequenas correções de bugs e não de segurança, mas adquira o hábito e você não terá problemas. Se você tem mais de uma instalação do WordPress e não consegue acompanhar todas elas, confira ManageWp.com, um painel premium para todos os seus blogs que inclui verificação de segurança.

Não apenas os arquivos principais do WordPress, mas também os plug-ins: um dos maiores hacks do WordPress no passado envolvia uma vulnerabilidade em um script gerador de miniaturas comum chamado timthumb.php, e ainda existem temas por aí que usam a versão antiga. Embora os plug-ins tenham sido atualizados rapidamente, manter os temas atualizados é mais difícil, é claro - o WordPress não informa você se o seu tema for vulnerável e, para isso, você for algum tipo de plug-in de verificação de segurança - role para baixo até a Plugins de segurança seção abaixo para algumas sugestões.

Nunca baixar temas aleatórios

A menos que você saiba o que está fazendo com o código PHP, é muito fácil cair na armadilha de baixar um adorável tema aleatório de em algum lugar, apenas para descobrir que há algum código desagradável - os backlinks mais comuns que você não pode remover, mas pode ser pior encontrado. Atenha-se a designers de temas premium e conhecidos (tal como Smashing Magazine ou WPShower), ou para temas gratuitos, use apenas o diretório de temas do WordPress.

Excluir plugins e temas não utilizados

Quanto menos código executável você tiver no servidor, melhor - remova a chance de ter um código antigo e vulnerável, excluindo temas e plugins que você não está mais usando. Desativá-los simplesmente interromperá o carregamento de suas funcionalidades com o WordPress, mas o próprio código ainda pode ser executável por um hacker.

Remover Meta Tell-tale no seu cabeçalho

Por padrão, o WordPress transmitiu sua versão para o mundo no código do seu arquivo de cabeçalho - uma maneira fácil para os hackers identificarem instalações mais antigas. Adicione as seguintes linhas às linhas do seu tema functions.php para remover a versão do WordPress, as informações do Windows Live Writer e uma linha que ajuda os clientes remotos a encontrar o arquivo XML-RPC.

remove_action ('wp_head', 'wp_generator'); remove_action ('wp_head', 'wlwmanifest_link'); remove_action ('wp_head', 'rsd_link');

Remover a conta "admin"

A maioria dos ataques de força bruta no WordPress envolve repetidamente tentar o admin conta - o padrão para todas as instalações do WordPress - e um dicionário de senhas comuns. Se você fizer login com o administrador ou tiver a conta de administrador listada na sua tabela de usuários, estará vulnerável a isso.

Duas maneiras de corrigi-lo: use plugin wp-optimize - um ótimo plugin que, entre outras coisas, permite que você desabilite as revisões posteriores e realize a otimização do banco de dados - para renomear a conta de administrador. Ou simplesmente crie outra conta com privilégios de administrador, faça o login como novo usuário e exclua a conta “admin”. Atribua todas as postagens ao seu novo usuário.

Senhas seguras

Mesmo que você tenha desativado a conta de administrador, talvez seja possível identificar o nome de usuário da sua conta de administrador. Nesse momento, você estará vulnerável a um ataque de força bruta novamente. Imponha uma política de senha forte de 16 ou mais caracteres aleatórios, que consiste em maiúsculas e minúsculas, pontuação e números.

Ou apenas use o reallyLongSentenceThatsEasyToRememberMethod.

Desativar edição de arquivos no WordPress

Para aqueles que não gostam de fazer login pelo FTP, o WordPress inclui um editor fácil no painel de administração para arquivos PHP de tema e plug-in - mas isso torna sua instalação vulnerável se alguém obtiver acesso. De fato, foi assim que alguém conseguiu injetar um redirecionamento de malware em nosso cabeçalho. Adicione a seguinte linha na parte inferior do seu wp-config.php (na pasta raiz) para desativar todos os recursos de edição de arquivos - e use SFTP O que é SSH e como é diferente do FTP [Tecnologia explicada] consulte Mais informação para fazer login no seu servidor.

define ('DISALLOW_FILE_EDIT', verdadeiro);

Ocultar erros de login

Uma senha incorreta ou nome de usuário incorreto podem ser identificados pelos erros fornecidos ao efetuar o login, que podem ser usados ​​para identificar contas de força bruta. Obviamente, isso não é bom, então mate os erros com essa adição ao tema functions.php Arquivo

função no_errors_please () {return 'Nope'; } add_filter ('login_errors', 'no_errors_please');

Ativar Cloudflare

Além de acelerar o seu site, o CloudFlare atenua muitos botnets e scanners conhecidos, mesmo chegando ao seu blog. Ler tudo sobre CloudFlare Proteja e acelere seu site gratuitamente com CloudFlareCloudFlare é uma start-up intrigante dos criadores do Projeto Honey Pot que afirma proteger seu site contra spammers, bots e outros monstros malignos da web - além de acelerar seu site um pouco... consulte Mais informação aqui. A instalação é um clique se você estiver hospedado em MediaTemple, caso contrário, você precisará acessar o painel de controle do domínio para alterar os servidores de nomes.

Plugins de segurança

• Melhor segurança do WP implementa muitas dessas correções para você e é a solução gratuita mais abrangente que existe.
• WordFence é um pacote premium que verifica ativamente seus arquivos em busca de links de malware, redirecionamentos, vulnerabilidades conhecidas etc. - e os corrige. O preço começa em US $ 18 / ano para 1 site.
• Solução de segurança de login ambos limitam as tentativas de login e impõem senhas seguras.
• Segurança BulletProof é um plugin abrangente, mas complexo, que lida com alguns dos aspectos mais técnicos, como problemas de injeção de XSS e .htaccess. Também está disponível uma versão Pro do plugin, que automatiza grande parte do processo.

Acho que você concorda que esta é uma lista bastante abrangente de etapas para fortalecer o WordPress, mas não estou sugerindo que você implemente todos deles. Se eu tivesse que fazer tudo isso em todos os sites que já criei, ainda os estaria configurando agora. A execução de qualquer tipo de sistema apresenta um risco e, em última análise, cabe a você encontrar o equilíbrio entre o nível de segurança que você deseja e o esforço que você deseja fazer para protegê-lo - nada é 100% seguro. As frutas baixas aqui são:

• Mantendo o WordPress atualizado
• Desativando a conta de administrador
• Adicionando autenticação em duas etapas
• Instalando um Plug-in de Segurança

Fazer isso sozinho deve colocá-lo acima de 99% de todos os outros blogs existentes, o que é suficiente para fazer com que hackers em potencial passem para alvos mais fáceis.

Você acha que eu perdi alguma coisa? Diga-me nos comentários.