Zabezpečení WordPressu

Napadené WordPressy mají většinou společné tři věci: zastaralé pluginy, slabé heslo a žádnou zálohu. Tenhle seznam projdi hned po instalaci WordPressu.

Aktualizace

• WordPress, pluginy i šablony aktualizuj v Nástěnka → Aktualizace.
• U důvěryhodných pluginů zapni v seznamu pluginů automatické aktualizace.
• Nepoužívané pluginy a šablony smaž. I vypnutý plugin zůstává na serveru a jeho zranitelnost jde zneužít.

Přihlášení

• Nepoužívej uživatelské jméno admin a administrátorům dej dlouhá, jinde nepoužitá hesla.
• Zapni dvoufázové ověření, např. pluginem Two Factor nebo Wordfence Login Security.
• Omez počet pokusů o přihlášení, např. pluginem Limit Login Attempts Reloaded.
• Každému dej jen roli, kterou potřebuje – kdo píše články, nepotřebuje být administrátor.

Pluginy jen z ověřených zdrojů

Stahuj z wordpress.org/plugins nebo přímo od autora. „Nulled“ verze placených pluginů zdarma skoro vždy obsahují zadní vrátka.

wp-config.php

Nad řádek /* That's all, stop editing! přidej:

define('DISALLOW_FILE_EDIT', true);

Vypne editor souborů v administraci – kdo ukradne heslo, nemůže přes něj rovnou upravit PHP kód. Zkontroluj i to, že WP_DEBUG je na webu nastavené na false (jen změň hodnotu, druhý define nepřidávej).

XML-RPC

Soubor xmlrpc.php boti zneužívají k hádání hesel. Když ho nepotřebuješ (vyžaduje ho např. Jetpack), zablokuj ho v konfiguraci nginx uvnitř bloku server – kde konfiguraci najdeš, popisuje .htaccess nefunguje – přepisování adres v nginx:

location = /xmlrpc.php {
    deny all;
}

Po úpravě server restartuj.

Zálohy

Zapni automatické zálohy a databázi zálohuj i zvlášť (Import a export databáze). Když web napadne útočník, obnovíš ho ze zálohy a pak hned změníš všechna hesla.

Bezpečnostní plugin aktualizace nenahradí, je to jen další vrstva ochrany.