Zabezpečení instalace blogu WordPress

Řešení 1:

Ujistěte se, že jste nenastavili oprávnění k souboru na 'chmod 777', jak vám to říkají někteří průvodci. Projděte a prohlédněte si vše, do čeho může váš účet webového serveru nebo skupina zapisovat, a ujistěte se, že to jsou pouze oblasti, u kterých očekáváte, že budou dynamicky aktualizovány (obrázky, přílohy atd.).

Řešení 2:

Myslím, že nejlepší návrhy jsou dobře vysvětleny v oficiálním dokumentu „Hardening Wordpress“:

https://wordpress.org/support/article/hardening-wordpress/

Na konci jsou to stejné návrhy pro každou aplikaci:

• Udržujte jej aktualizované.
• Používejte dobrá hesla
• Omezte množství informací, které prezentujete (verze, informace o serveru atd.).

Pokud chcete zlepšit zabezpečení pomocí nejasností (nejen si to mysleli, ale jako dodatečné opatření), tento dokument nabízí několik nápadů:

http://sucuri.net/?page=docs&title=wordpress-hardening

Řešení 3:

Přihlašujte se pouze přes připojení SSL.

Pokud vejdete do kavárny a přihlásíte se na adrese http://www.yourblog.com/wp-admin/, vaše heslo se odešle jako čistý text a je snadno viditelné pro kohokoli, kdo sleduje síť v kavárně a všechny routery mezi vámi a serveru.

Pokud přesunete svou přihlašovací stránku blogu na zabezpečený server a přinutíte uživatele, aby se přihlásili pomocí SSL na https://www.yourblog.com/wp-admin/, heslo bude při odesílání na server zašifrováno.

Můžete buď přidat nějaký PHP kód do wordpressu něco takového

if(strpos(strtolower($_SERVER['REQUEST_URL']),'wp-admin')===true 
      && $_SERVER['HTTPS']!='ON')
{
    Header("Location: https://www.yourblog.com/wp-admin/")
}

nebo použijte soubor .htaccess k vynucení přihlášení SSL, což by vypadalo asi takto:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

Řešení 4:

Někteří lidé přejmenovávají stránky jako wp-admin.php pro snížení počtu sond.

Řešení 5:

Zabezpečte svůj adresář /wp-admin/. Uzamkněte /wp-admin/, aby k tomuto adresáři měly přístup pouze určité IP adresy. Můžete použít soubor .htaccess, který můžete umístit přímo na /wp-admin/.htaccess . Takhle by to mohlo vypadat:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Access Control”
AuthType Basic
order deny,allow
deny from all
# whitelist home IP address
allow from 69.148.58.93
# whitelist work IP address
allow from 69.148.59.6
allow from 69.148.58.92
# IP while in Kentucky; delete when back
allow from 63.144.53.91

Josh