WordPressi täiendav turvamine: õigused, wp-config ja .htaccess

Uuendused, tugev parool ja kaheastmeline kinnitamine on turvalise WordPressi saidi alus. Karastamine (hardening) tuleb sellele lisaks: seadistad saidi nii, et turvaauk või ülevõetud konto saaks teha vähem kahju. Siit loed, millised seaded need on ja kuidas need oma majutuspaketis sisse lülitada.

Mida server juba teeb

Osa on meie serverites juba korraldatud. xmlrpc.php on vaikimisi suletud (WordPress: juurdepääs failile xmlrpc.php ei õnnestu), ohtlikud PHP funktsioonid on välja lülitatud (PHP turvalisus: keelatud funktsioonid) ning töötavad veebiliikluse tulemüür ja pahavaraskanner. Vaata Veebirakenduse tulemüür ja Imunify360: veebilehe skannimine pahavara suhtes. Allpool olevad sammud teed ise, oma saidis.

Kõiki faile muudad DirectAdminis tööriistaga File Manager. Punktiga algavaid faile, nagu .htaccess, näed alles siis, kui lülitad peidetud failide kuvamise sisse: vaata Peidetud failide, nagu .htaccess, kuvamine ja muutmine. Tee igast failist enne koopia ja pane see koopia väljapoole kausta public_html.

1. Koodi ei muudeta halduspaneelist

Ava wp-config.php kaustas domains/example.com/public_html ja lisa see rida rea „lõpeta muutmine” (That's all, stop editing!) kohale:

define( 'DISALLOW_FILE_EDIT', true );

Teema- ja pluginafailide redaktorid kaovad siis halduspaneelist. Kes administraatori konto üle võtab, ei saa seal enam paari klikiga pahatahtlikku koodi sinu teemasse panna. Pluginate paigaldamine ja uuendamine töötab edasi nagu tavaliselt. Sea samas failis WP_DEBUG väärtuseks false, et veateated kunagi külastajate ekraanile ei jõuaks.

2. Kaustas uploads pole PHP-d

Kausta wp-content/uploads kuuluvad pildid ja dokumendid, mitte PHP. Sissetungija, kes saab turvaaugu kaudu faili üles laadida, püüab just sinna PHP faili panna ja selle avada. Loo kausta wp-content/uploads fail .htaccess sisuga:

<Files *.php>
Require all denied
</Files>

Seejärel kontrolli, kas sait, vormid ja meediateek ikka töötavad.

3. Kaustade loendit ei kuvata

Kui kaustas pole faili index.php ega index.html, võib veebiserver näidata kõigi failide loendit. Lisa kausta public_html faili .htaccess algusesse:

Options -Indexes

Testimiseks ava kaust, milles pole indeksfaili, näiteks https://example.com/wp-content/uploads/. Peaksid nägema vealehte (403 või 404), mitte loendit.

4. Failide ja kaustade õigused

Ära kasuta kunagi õigusi 777: siis võib igaüks serveris sellesse kausta kirjutada. Kui mõni juhend ütleb, et see on üleslaadimise toimimiseks vajalik, on põhjus mujal. Õiguste muutmine: vaata Failide ja kaustade õigused (chmod).

5. Veebikaustas pole jääke

Kõike kaustas public_html saab veebi kaudu avada. Seepärast korista ära:

• faili wp-config.php koopiad, nagu wp-config.php.bak või wp-config.old. Need sisaldavad sinu andmebaasi parooli ja saadetakse välja tavalise tekstina;
• varukoopiad, nagu backup.zip või database.sql;
• arendaja kaust .git;
• wp-content/debug.log;
• testfailid, nagu info.php koos phpinfo()-ga.

Kui soovid üksiku faili kättesaamatuks muuta, vaata Failide blokeerimine .htaccess abil.

6. Päised ja sisselogimine

• Turvapäised ütlevad brauserile, kuidas sinu saidiga ümber käia. Vaata HSTS ja turvapäised sinu veebilehele.
• Sisselogimislehe piirad oma IP-aadressiga juhendi WordPressi wp-login.php kaitsmine abil.
• Kaheastmeline kinnitamine administraatoritele: vaata Kaheastmelise kinnitamise seadistamine WordPressis.

WordPressi versiooni peitmine on koristamine, mitte turvalisus: ründeprogrammid proovivad turvaauku lihtsalt ära. Ainult uuendamine sulgeb turvaaugu.

Aga turvaplugin?

Turvaplugin koondab sageli tulemüüri, skanneri ja sisselogimiskaitse. Pluginas olev tulemüür hakkab tööle alles siis, kui WordPress juba töötab; serveri tulemüür peatab päringud varem. Plugin on seega täiendus, eelkõige kaheastmelise kinnitamise ja sisselogimiskatsete piiramise jaoks. Kasuta neist kõige rohkem ühte: kaks kõrvuti töötavat turvapluginat lähevad sageli omavahel konflikti.

Loe edasi

• Hardening WordPress (developer.wordpress.org, inglise keeles)

Tahad rohkem õppida? Läbi tasuta WordPressi kursus, õppetund 7.4 Saidi karastamine: õigused, päised ja turvapluginad.