Безопасность сайта — 7 рекомендаций + 7 плагинов и еще несколько советов для защиты блога
Tweet
Статья написана при поддержке — iMacin.ru — интересного проекта об Apple.
Привет читателям SeoVast.ru, Сегодня, как и обещал — подробный мануал по безопасности сайта на WordPress. Большинство из приведенных вещей настолько просты, что иной раз о них просто забываешь. Часть информации разбросана по интернету, как отдельные статьи и именно по этому я сделал подробный обзор по безопасности сайта на WordPress (но сильно не расслабляйтесь — это только первая статья).
Безопасность сайта — первые шаги после установки WordPress
Итак, давайте с вами представим, что мы только сегодня зарегистрировали хостинг и установили WordPress, на многих сайтах ничего не меняется и через год, как будто они только сегодня поставили ВордПресс.
- Первое, что нужно сделать — это удалить все ненужные файлы из корневой папки вашего сайта. Я приведу пример на хостинге TimeWeb — папка _public.html. Переходим в нее и удаляем следующие файлы: readme.html, license.txt, hello.php. Такие файлы не имеют никакой роли для сайта и лишнюю информацию необходимо удалять.
- Создаем пустой файл Index.php (просто создайте пустой текстовый документ и переименуйте на index.php) и добавляем его в следующие папки: wp-includes/, wp-content/, /plugins/, что бы убедиться, что все правильно сделали перейдите по по адресу — ваш сайт/plugins (так же для других) и убедитесь, что отображается пустая страница. В противном случае не имея пустой индексной страницы на сайте вы даете возможность злоумышленникам увидеть различные данные о вашей системе, как к примеру версия плагинов.
- Редактируем файл wp-config.php Меняем секретный ключ с дефолтного:
Используйте этот сервис. Ключи безопасности используются при хэшировании паролей, чтобы усилить их. - Перемещаем файл wp-config.php на уровень выше, то есть если раньше он находился в папке _public.html, то теперь мы перемещаем его на тот же уровень, что бы получилось два файла — _public.html и wp-config. WordPress по умолчанию перейдет на уровень выше, если не обнаружит данный файл в нужной директории, так что дополнительных настроек вам не потребуется.
- Устанавливаем правильные права на файлы и папки
Основное правило: Для файлов — 644? Для папок — 755 - Теперь заходим в административную панель нашего сайта и первым делом меняем пароль на сложный. Для этого переходим по вкладке «пользователи»- «ваш профиль». Так же желательно поменять имя администратора на более сложное (как это сделать в следующей статье).
- Удаляем данные о версии WordPress из шаблона. переходим в редактор тем, далее header.php. Здесь нам нужно найти и удалить строчку: <meta name=»generator» content=»WordPress <?php bloginfo(‘version’); ?>» />. Этот код отображает текущую версию вашего движка и делиться такой ценной информацией просто опасно. Для проверки нажмите в своем браузере «Ctrl+U» и если в коде есть версия WordPress, то ищем код в шаблоне. Весь код не нужно просматривать, версия отображается обычно до тега </head>.
Основные плагины для безопасности сайта на WordPress
- Переходим к плагинам и первый плагин WordPress? который рекомендую установить — Login LockDown. Данный плагин позволяет изменить количество попыток входа в WP. К примеру настраиваем 3 попытки входа и при неправильном наборе логина в течении 10 минут или пароля возможность следующего входа равна 60 минутам. По умолчанию плагин блокирует на 1 час блок IP адресов после 3 неудачных попыток входа в течении 5 минут.
Только не увлекитесь и не поставьте все на максимум, а то сами не попадете к себе на сайт при ошибке))). - плагин Secure WordPress — выполняет довольно много функций, но в больше степени предназначен для блогов, где есть зарегистрированные пользователи с различными правами. Плагин удаляет все информационные сообщения для пользователей об обновлениях WordPress, плагинов, тем (для всех кроме администратора). Скрывает номер версии WordPress. Блокирует различные запросы, которые могут нанести вред вашему сайту.
- Плагин Anti-XSS attack — защищает вас (вернее ваш блог) от XSS-атак, плагин достаточно активировать и больше никакие настройки не требуются.
- Еще один плагин — WP Security Scan. Он сканирует и показывает все уязвимости на вашем сайте. После установки просто перейдите по всем разделам новой вкладки WSD-secuirity. Не обязательно даже знать английский, что бы понять выводимые проблемы на сайте.
- Следующий Плагин Hide Login. По умолчанию вход в админ-панель вашего сайта имеет вид www.ваш сайт/wp-login.php плагин же позволяет задать новый адрес для входа.
- WordPress File Monitor сообщает обо всех изменениях в файлах вашего сайта. Сообщения выводятся, как в админке, так и дублируются на почту. Такой плагин достаточно иногда включать и проверять, что все впорядке (никто не шарился по вашим файлам конфигурации).
- Плагин WP Secure Scan — позволяет заменить префикс WP на другой для работающего сайта. Тоесть вы можете изменить все пути начинающиеся с WP не боясь запутаться в настройках и всех файлах содержащих данные пути.
Еще несколько советов по безопасности вашего сайта на WordPress
- После выбора подходящей темы WordPress — удаляем неиспользуемые шаблоны.
- Удаляем все неиспользуемые плагины.
- Следим за обновлениями WordPress.
- Следим за обновлениями плагинов.
- Следите за обновлениями безопасности http://secunia.com/advisories/search/?search=WordPress.
- Проверяйте все скрипты, темы и плагины на безопасность и содержание вредоносного кода.
- Не используйте слабые пароли и логины.
- Регулярно делайте резервные копии данных.
- Ждите обновлений на моем блоге по этой теме (скоро будут).
Ах, да! Чуть не забыл)) Я уже рассказывал о том, что сейчас жаркая пора для конкурсов и поэтому без такого блока просто не обойтись: Статья «Безопасность сайта на WordPress«участвует в конкурсе: 7 советов на блоге Vovka.su (ну о нем то думаб не нужно рассказывать).
Статья написана при поддержке — iMacin.ru — интересного проекта об Apple.
|
Создать свой сайт с SeoVast |
Так же читайте:
Также вы можете просмотреть Все записи блога
28 комментариев
Написать комментарий
Ну, вот и ещё одна возможность устроить перекличку благодаря очередному Вовкиному конкурсу. К слову, тема опять весьма удачная подобрана. В прошлый раз были рецепты, в этот раз советы… всё реальный контент… Желаю удачи!
[Ответить]
Иванов Сергей Reply:
ноября 24, 2012 at 21:00
Да конкурсы у него действительно отличные.
[Ответить]
Обязательно нужно упомянуть о руссифицированных темах, и внешних ссылках, заложенных в них. В Роисси целый бизнес построили на этом.
[Ответить]
Иванов Сергей Reply:
ноября 24, 2012 at 21:04
Это да… Даже прогоны через шаблоны можно купить.
[Ответить]
Отличная статья. Нашла несколько плагинов о которых раньше не знала.
[Ответить]
Слушай, у меня такая же проблема, у меня очень много редиректов. Как с этим справиться?
[Ответить]
Иванов Сергей Reply:
ноября 29, 2012 at 11:05
О редиректах я писал подробно здесь http://seovast.tmweb.ru/kak-skryt-partnerskuyu-ssylku-pryachem-referalnye-ssylki/ создается отдельная папка, закрываем ее в robots.txt и скидываем туда все ссылки.
[Ответить]
Хорошая тема. Не хотелось бы, чтобы взломали блог. Некоторые плагины я уже применяю, но только что узнал о новых. Спасибо за статью.
[Ответить]
Однако! У меня даже половины нет из этого арсенала. Кстати, плагин WordPress File Monitor почему-то не сработал. Может, неправильно настроила, а может, просто не приживаются некоторые. Темы лишние пойду удалю. Спасибо за полезную статью. К ней бы еще 7 с инструкциями по каждому пункту. Кто в теме, они и сами знают, как обеспечить безопасность. А вот кто не совсем — нам разжевать все желательно. 🙂
Успехов в конкурсе!
[Ответить]
Иванов Сергей Reply:
ноября 27, 2012 at 15:29
Обязательно напишем подробный обзор всех пунктов… Эх еще бы времени побольше было в сутках))))
[Ответить]
А как определить лишние файла на другом хостинге? Там столько разных файлов и папок, что к теме на пятый уровень добираешься.
[Ответить]
Иванов Сергей Reply:
ноября 29, 2012 at 11:02
Файлы о которых я писал находятся в корневой папке вашего сайта, ну и еще можно просмотреть файлы темы: wp-content-themes-имя вашей темы.
[Ответить]
А после обновления версии движка файл wp-config.php опять надо будет на следующий уровень переносить или он автоматически обновится?
[Ответить]
Иванов Сергей Reply:
ноября 28, 2012 at 22:46
Ой, точно не помню… Но по моему, когда я обновлял, то автоматом все прописалось (пробуйте).
[Ответить]
Регулярно делайте резервные копии данных.
А еще лучше настроить ежедневные автоматические бекапы. вручную их делать не круто
И убейте вашу капчу, я ее на тачпаде 2 минуты не мог собрать!
[Ответить]
Иванов Сергей Reply:
ноября 28, 2012 at 22:45
Раньше стоял бекап раз в неделю, но теперь немного поменял (то есть на раз в день) и делаются копии автоматически, как раз по этой теме и будет ближайшая статья.
[Ответить]
Надежда Хачатурова Reply:
ноября 28, 2012 at 22:56
И у меня стоит раз в неделю, а хостинг бэкапы не делает автоматически. Поменять на ежедневные, наверное, лучше? Случись что, как минимум 7 статей заливать по-новой придется, а то и больше. А если еще со ссылками?
[Ответить]
Иванов Сергей Reply:
ноября 28, 2012 at 23:52
Да после последнего своего происшествия я просто уверен в необходимости ежедневных беков ( если разберетесь, то используйте dropbox) раньше, как то думал «да ладно и так нормально»… Все меняется)))
[Ответить]
Надежда Хачатурова Reply:
ноября 28, 2012 at 23:58
Так у меня на Dropbox и скидывается все. Только не пойму логики: а зачем открывать папку, которая на компьютере? В смысле, держать ее открытой. Это же компьютера не касается?
[Ответить]
Иванов Сергей Reply:
ноября 29, 2012 at 10:11
Я что то не совсем понял — у вас открыт доступ на эту папку или просто она синхронизируется с компьютером?
На сайте автора плагина Anti-XSS attack комментарий, не внушающий доверия
«ПЛАГИН НЕ АКТУАЛЕН ДЛЯ WP версии 2.5 и выше (новее)»?!!
[Ответить]
Надежда Ковальская Reply:
декабря 10, 2012 at 03:28
У меня стоит Anti-Xss, WordPress самая новая версия, все работает..
[Ответить]
После очередного обновления WordPress ваши плагины и сайт могут не работать, это факт.
Делайте полную копию сайта перед обновлением — ВСЕГДА!
[Ответить]
Иванов Сергей Reply:
ноября 29, 2012 at 10:07
Конечно могут не работать, именно поэтому я практически в каждой статье упоминаю об обязательном резервном копировании. Сайт может полететь и при установке нового плагина и при обновление и при небольшой правке кода, так что лучше всегда иметь запасной вариант.
[Ответить]
Спасибо, за совету, пошел применять.
[Ответить]
Спасибо! У Вас получилась действительно полезная статья с реальными рекомендациями по самому, наверное, популярному у блоггеров движку:)
Буду рада, если Вы и мой конкурсный текст оцените. Он посвящен советам по работе с заказчиками. http://slanet.ru/blog/poleznye-sovety-kopirajtershi
[Ответить]
Удачи в конкурсе, статья получилась очень-преочень полезная. У меня больше половины действий по защите блога, описанных здесь, не выполнено.. Надо бы заняться этим делом..
[Ответить]
Иванов Сергей Reply:
декабря 10, 2012 at 12:16
Я раньше тоже думал надо… и все… а тут повод случился))) И защиту настроил и несколько статей за пару дней написал. Сплошная польза)))
[Ответить]