10 super účinných způsobů jak zabezpečit WordPress

Že se někomu někdo nabourá do blogu a dotyčný přes noc přijde o roky blogovací práce, je bohužel smutná realita, kterou už lidé v současnosti zažívají. Skutečně, výzkumy ukazují, že každý den je napadeno 37 000 webů, a vzhledem k tomu, že WordPress pohání přibližně 25,4 % všech webů, můžete si být jisti, že značná část blogů WordPressu je napadena každý den.

Bezpečnost WordPressu je úplně jiná opera; jakmile vlastníte nějaký blog WordPressu, tipy jako že máte použít takové uživatelské jméno, které je obtížné uhádnout, a mít heslo pevné jako skála, už nejsou postačující. Jediný chybový motiv, špatný plugin nebo nesprávně chráněný soubor může způsobit, že přes noc do blogu někdo pronikne.

Ať už s WordPressem nemáte žádné zkušenosti, nebo používáte tuto platformu od doby, kdy vznikla, v tomto článku najdete deset praktických a super účinných způsobů, jak zabezpečit blog WordPressu, které dokáže implementovat každý. Většinu těchto tipů sice nenajdete v populárních článcích typu „jak zabezpečíte svůj blog“, možná vám však jednoho krásného dne blog zachrání!

Přečtěte si ještě: Padesát nejžádanějších tipů, triků a hacků WordPressu

1. Vypněte editor motivů a pluginů WordPressu

WordPress je vybaven šikovnou schopností, která poskytuje vlastníkům webu větší flexibilitu, protože jim dovoluje přizpůsobovat a editovat jejich motivy a pluginy přímo z nástěnky (dashboardu) WordPressu, tato schopnost však způsobuje zkázu většiny blogů.

Když tuto schopnost používáte, může drobná chybička způsobit, že web zhavaruje, a váš vlastní web se před vámi uzamkne. Hackeři mohou snadno vložit do motivu škodlivý kód, aby získali do webu přístup zadními vrátky, nebo dokonce kompletně převzít vládu nad celým webem tím, že získají kontrolu nad účtem, který má dostatečná oprávnění k tomu, aby mohl používat editor motivů a pluginů.

Před tím se můžete ochránit tak, že prostě vypnete editor motivů a pluginů, čímž znemožníte, aby mohl někdo bez přístupu FTP modifikovat motivy a pluginy.

Uděláte to tak, že do svého souboru wp-config.php přidáte následující kód:

define( ‚DISALLOW_FILE_EDIT‘, true );

Přečtěte si ještě: Devět pluginů WordPressu pro detekci škodlivého kódu na webu

2. Zapněte dvoufázové ověření

Dvoufázové ověření (two-factor authentication) se rychle stává jedním z nejspolehlivějších způsobů, jak chránit online účty, a nejspolehlivější weby trvají na tom, aby je měli jejich uživatelé zapnuté.

Přestože WordPress nemusí nutně mít v sobě dvoufázové ověření zabudované, na svém blogu můžete dvoufázové ověření zapnout tak, že nainstalujete následující pluginy:

• Google Authenticator
• Authy
• Clef
• Rublon

3. Limitujte přihlašování počtem nezdařených pokusů

Existují nejrůznější cestičky, jimiž se hackeři snaží získat přístup k blogům. Jednou z nejběžněji používaných technik je útok hrubou silou: hacker zkouší kombinace uživatelských jmen a hesel jednu za druhou, dokud nebude schopen úspěšně do blogu proniknout.

WordPress není ve výchozím stavu chráněn proti tomuto útoku. Když nainstalujete pluginy, které zamezují přihlášení z konkrétní IP adresy po daném počtu neúspěšných pokusů, bude pro hackery mnohem obtížnější získat k blogu přístup.

Proti útokům hrubou silou může také ochránit plugin Jetpack Protect Module.

4. Pravidelně blog skenujte

Soubory motivů, pluginy, odkazy a další zdánlivě neškodné elementy mohou posloužit k získání (neoprávněného) přístupu k blogu. Nečekejte na dobu, až už bude web infikovaný, musíte o něm získat informace, dokud je v dobré kondici. Proto nainstalujte bezpečnostní skenovací pluginy, aby web pravidelně skenovaly a oznamovaly, že se soubory změnily.

Dobrým příkladem bezpečnostního skenovacího pluginu je Wordfence. Kromě toho, že poskytuje možnost ručně či automaticky skenovat blog WordPressu, okamžitě také oznamuje jakoukoli podezřelou aktivitu, ke které na blogu dochází.

Odesílá také informace o potenciálně škodlivých komentářích a porovnává váš motiv a soubory pluginů s repozitářem WordPressu, aby vás uvědomil o tom, že byla modifikována vaše verze pluginu nebo motiv a že mohou potenciálně posloužit jako zadní vrátka pro hackery do vašeho webu.

Mezi další bezpečnostní pluginy, které mohou pomoci se skenováním blogu na škodlivý malware a na exploity, patří:

• Sucuri Security Scanner
• Acunetix WP Security
• iThemes Security (dříve známý jako „Better WP Security“)

5. Změňte hosting

I když to vypadá jako triviální rada, ve skutečnosti má hodně do sebe. Výzkumy ukazují, že 41% průniků do webů WordPressu bylo způsobeno vniknutím prostřednictvím nějaké bezpečnostní slabiny na jejich hostingové platformě. To je mnohem víc než z jiných zdrojů, včetně případů, kdy se jedná o slabé heslo.

Hosting může hrát hlavní roli v tom, zda se někomu podaří do vašeho webu proniknout nebo ne; proto vždy vybírejte jen spolehlivé webové hostingy, které obstály ve zkoušce času a jsou v souladu s nejlepšími praktikami odvětví.

6. Skryjte číslo verze WordPressu

WordPress standardně zobrazuje číslo verze vašeho WordPressu; usnadňuje to WordPressu evidenci o tom, kolik WordPressových blogů je na celém světě aktivních. Může to ale také představovat obrovitý zdroj problémů; hackeři a roboti mohou skenovat web na blogy pomocí čísla té verze WordPressu, o které je známo, že je zranitelná, takže jste pak jejich snadným cílem.

Tento problém však můžete snadno vyřešit tím, že skryjete číslo své verze WordPressu. Abyste skryli číslo verze WordPressu, stačí, když do svého souboru functions.php přidáte tento kód:

add_filter( ‚the_generator‘, ‚__return_null‘ );

7. Vypněte zprávy PHP o chybách

Když na blogu nepracuje nějaký plugin nebo motiv správně, mohou pomoci chybové reporty PHP, které zobrazují zprávy odhalující příčinu chyby. S touto výhodou je ovšem spojena též nevýhoda: když se vydá zpráva o nějaké PHP chybě, zahrnuje také úplnou serverovou cestu chyby, prozrazuje tedy informaci, kterou mohou hackeři zneužít proti vám.

Ochránit se proti tomu můžete tím, že vypnete chybové reporty PHP. Do svého souboru wp-config.php přidejte toto:

8. Zapracujte na oprávněních přístupu k souboru WordPressu

Pokud jde o opatření, jimiž je možné chránit web WordPressu proti bezpečnostním exploitům, je podstatné zajistit, že máte nastavena správná oprávnění přístupu k souborům. Pak je pro hackera obtížné manipulovat s pluginy, motivy nebo soubory na serveru, aby tak převzal vládu nad webem.

Přesvědčte se, že oprávnění ke složkám WordPressu jsou nastavena na 755 nebo 750; oprávnění k souborům, že jsou nastavena na 640 nebo 644; a že oprávnění k souboru wp-config.php jsou nastavená na 600.

9. Pravidelně zálohujte

Proniknout se dá i do obrovitého webu opečovávaného týmem bezpečnostních expertů a konzultantů, a i když dodržováním všech nejlepších praktik učiníte svůj web silnějším než 99.9% všech ostatních webů, přesto se může stát něco ošklivého.

Nejlepší bezpečnostní opatření, jaké můžete učinit proti násilným vniknutím do WordPressu, je mít dobře zorganizované zálohování; zajistěte, aby se web zálohoval pravidelně – pokud možno denně. Pak, pokud se do něho někdo nabourá, máte své soubory k dispozici a můžete provést okamžitě obnovu.

Tady máte některé z nejlepších zálohovacích pluginů WordPressu:

• BackUpWordPress
• Ready! Backup
• VaultPress
• BackupBuddy

10. Omezte přístup ke své přihlašovací stránce

Když se zdá, že běžná řešení nepomáhají, možná budete muset učinit nějakou opravdu drastickou akci. Velmi spolehlivý způsob, jak ochránit blog proti pokusům o vniknutí, je zcela zablokovat přístup k wp-admin a ke stránce wp-login.php.

Doporučuje se to pouze tehdy, pokud používáte jednu IP adresu, která se nemění (nechcete přece uzamknout svůj blog sami před sebou!). Přesto můžete tuto volbu použít i tehdy, pokud používáte více IP adres. Musíte je však explicitně uvést.

Chcete-li omezit přístup ke své přihlašovací stránce, přidejte do svého souboru .htaccess následující kód:

Nezapomeňte upravit Vase IP adresa 1 až Vase IP adresa 5 na různé IP adresy, jimž chcete udělit přístup; pak budete moci snadno přidávat nebo odstraňovat řádky, budete-li chtít udělit přístup k webu více IP adresám, resp. zabránit přístupu z některých IP adres.

Závěr

Neměli byste samozřejmě ignorovat základní bezpečnostní tipy, jako nepoužívat předvídatelné uživatelské jméno, mít silné heslo, aktualizovat pravidelně instalaci WordPressu, atd. Ovšem s výše uvedenými, méně známými, a často ignorovanými bezpečnostními tipy, bude váš blog WordPressu o dost bezpečnější.

Poznámka editora: Tento hostující příspěvek napsal pro Hongkiat.com John Stevens. John je expert na WordPress a hosting. Je zakladatelem a výkonným ředitelem HostingFacts.com, což je portál, kde se recenzují web hostingy a sestavuje se jejich pořadí podle výkonu.

Celý článek v originálním znění najdete na 10 Little-Known, Super Effective Tips to Secure Your WordPress Blog

Přeložil: RNDr. Jan Pokorný