Jak zabezpieczyć witrynę WordPress

Uruchomienie własnej witryny WordPress w dzisiejszych czasach jest dość łatwe. Niestety hakerzy wkrótce zaczną atakować Twoją witrynę.

Najlepszym sposobem na zapewnienie bezpieczeństwa witryny WordPress jest zrozumienie każdego słabego punktu wynikającego z prowadzenia witryny WordPress. Następnie zainstaluj odpowiednie zabezpieczenia, aby zablokować hakerów w każdym z tych punktów.

W tym artykule dowiesz się, jak lepiej zabezpieczyć swoją domenę, login WordPress oraz narzędzia i wtyczki dostępne do zabezpieczenia witryny WordPress.

Utwórz domenę prywatną

W dzisiejszych czasach bardzo łatwo jest znaleźć dostępną domenę i kupić ją po bardzo niskiej cenie. Większość ludzi nigdy nie kupuje żadnych dodatków do swojej domeny. Jednak jednym z dodatków, które zawsze powinieneś rozważyć, jest Ochrona prywatności.

Istnieją trzy podstawowe poziomy ochrony prywatności w GoDaddy, ale są one również zgodne z ofertami większości dostawców domen.

• Podstawowy : ukryj swoje imię i nazwisko oraz informacje kontaktowe w katalogu WHOIS. Ta opcja jest dostępna tylko wtedy, gdy Twój rząd zezwala na ukrycie informacji kontaktowych domeny.
• Pełne : zastąp swoje własne informacje alternatywnym adresem e-mail i danymi kontaktowymi, aby ukryć swoją rzeczywistą tożsamość.
• Ultimate : Dodatkowe zabezpieczenia, które blokują skanowanie złośliwych domen i obejmują monitorowanie bezpieczeństwa Twojej rzeczywistej witryny.

Zwykle uaktualnienie domeny do jednego z tych poziomów bezpieczeństwa wymaga jedynie wybrania opcji uaktualnienia z listy rozwijanej na stronie wykazu domen.

Podstawowa ochrona domeny jest dość tania (zwykle około 9,99 USD rocznie), a wyższy poziom bezpieczeństwa nie jest dużo droższy.

Jest to doskonały sposób na powstrzymanie spamerów przed wykradaniem Twoich danych kontaktowych z bazy danych WHOIS lub innych osób o złych intencjach, które chcą uzyskać dostęp do Twoich danych kontaktowych.

Ukryj pliki wp-config.php i .htaccess

Podczas pierwszej instalacji WordPressa musisz podać identyfikator administratora i hasło do bazy danych WordPress SQL w pliku wp-config.php. 

Dane te zostają zaszyfrowane po instalacji, ale chcesz również uniemożliwić hakerom edytowanie tego pliku i uszkodzenie witryny. Aby to zrobić, znajdź i edytuj plik .htaccess w folderze głównym swojej witryny i dodaj następujący kod na dole pliku.

# chroń plik wpconfig.php

rozkaz zezwolić, odmówić
Odmowa od wszystkich

Aby zapobiec zmianom w samym pliku .htaccess, dodaj również poniższy tekst na dole pliku.

# Chroń plik .htaccess

rozkaz zezwolić, odmówić
Odmowa od wszystkich

Zapisz plik i zamknij edytor plików.

Możesz również rozważyć kliknięcie każdego pliku prawym przyciskiem myszy i zmianę uprawnień w celu całkowitego usunięcia dostępu do zapisu dla wszystkich.

Podczas gdy robienie tego na pliku wp-config.php nie powinno powodować żadnych problemów, robienie tego na .htaccess może powodować problemy. Zwłaszcza jeśli korzystasz z zabezpieczających wtyczek WordPress, które mogą wymagać edycji pliku .htaccess za Ciebie.

Jeśli wystąpią jakiekolwiek błędy z WordPress, zawsze możesz zaktualizować uprawnienia, aby ponownie zezwolić na dostęp do zapisu w pliku .htaccess.

Zmień adres URL logowania do WordPress

Ponieważ domyślną stroną logowania dla każdej witryny WordPress jest twojadomena/wp-admin.php, hakerzy użyją tego adresu URL, aby spróbować włamać się do Twojej witryny.

Zrobią to za pomocą tak zwanych ataków „brutalnej siły”, w ramach których będą wysyłać odmiany typowych nazw użytkowników i haseł, których często używa wiele osób. Hakerzy mają nadzieję, że im się poszczęści i trafią na właściwą kombinację.

Możesz całkowicie powstrzymać te ataki, zmieniając adres URL logowania WordPress na coś niestandardowego.

Istnieje wiele wtyczek WordPress, które pomogą Ci to zrobić. Jednym z najczęstszych jest WPS Ukryj login .

Ta wtyczka dodaje sekcję do karty Ogólne w Ustawieniach w WordPress.

Tam możesz wpisać dowolny adres URL logowania i wybrać Zapisz zmiany , aby go aktywować. Następnym razem, gdy będziesz chciał zalogować się do swojej witryny WordPress, użyj tego nowego adresu URL.

Jeśli ktoś spróbuje uzyskać dostęp do Twojego starego adresu URL wp-admin, zostanie przekierowany na stronę 404 Twojej witryny.

Uwaga : jeśli używasz wtyczki pamięci podręcznej, pamiętaj o dodaniu nowego adresu URL logowania do listy witryn, które nie mają być buforowane. Następnie pamiętaj o wyczyszczeniu pamięci podręcznej przed ponownym zalogowaniem się do witryny WordPress.

Zainstaluj wtyczkę zabezpieczającą WordPress

Istnieje wiele wtyczek bezpieczeństwa WordPress do wyboru. Ze wszystkich Wordfence jest najczęściej pobieranym, nie bez powodu.

Darmowa wersja Wordfence zawiera potężny silnik skanowania, który wyszukuje zagrożenia typu backdoor, złośliwy kod we wtyczkach lub w Twojej witrynie, zagrożenia związane z wstrzyknięciem MySQL i nie tylko. Zawiera również zaporę ogniową do blokowania aktywnych zagrożeń, takich jak ataki DDoS. 

Umożliwi to również powstrzymanie ataków siłowych poprzez ograniczenie prób logowania i zablokowanie użytkowników, którzy wykonują zbyt wiele błędnych prób logowania.

W darmowej wersji dostępnych jest sporo ustawień. To więcej niż wystarcza do ochrony małych i średnich witryn przed większością ataków.

Istnieje również przydatna strona pulpitu nawigacyjnego, którą można przeglądać, aby monitorować ostatnie zagrożenia i ataki, które zostały zablokowane.

Użyj generatora haseł WordPress i 2FA

Ostatnią rzeczą, jakiej chcesz, jest łatwe odgadnięcie hasła przez hakerów. Niestety zbyt wiele osób używa bardzo prostych haseł, które są łatwe do odgadnięcia. Niektóre przykłady obejmują użycie nazwy witryny internetowej lub własnego imienia użytkownika jako części hasła lub nieużywanie żadnych znaków specjalnych.

Jeśli dokonałeś aktualizacji do najnowszej wersji WordPress, masz dostęp do potężnych narzędzi zabezpieczających hasłem, aby zabezpieczyć swoją witrynę WordPress. 

Pierwszym krokiem do poprawy bezpieczeństwa hasła jest przejście do każdego użytkownika witryny, przewinięcie w dół do sekcji Zarządzanie kontem i wybranie przycisku Wygeneruj hasło .

Spowoduje to wygenerowanie długiego, bardzo bezpiecznego hasła zawierającego litery, cyfry i znaki specjalne. Zapisz to hasło w bezpiecznym miejscu, najlepiej w dokumencie na dysku zewnętrznym, który możesz odłączyć od komputera, gdy jesteś online.

Wybierz opcję Wyloguj się wszędzie indziej, aby upewnić się, że wszystkie aktywne sesje są zamknięte.

Wreszcie, jeśli zainstalowałeś wtyczkę bezpieczeństwa Wordfence, zobaczysz przycisk Aktywuj 2FA . Wybierz tę opcję, aby włączyć uwierzytelnianie dwuskładnikowe dla logowań użytkowników.

Jeśli nie używasz Wordfence, musisz zainstalować jedną z tych popularnych wtyczek 2FA.

• Autentyk Google
• Uwierzytelnianie dwuetapowe
• Uwierzytelnianie dwuskładnikowe Rublon
• Uwierzytelnianie dwuskładnikowe Duo

Inne ważne względy bezpieczeństwa

Jest jeszcze kilka rzeczy, które możesz zrobić, aby w pełni zabezpieczyć swoją witrynę WordPress.

Zarówno wtyczki WordPress , jak i sama wersja WordPressa powinny być zawsze aktualizowane. Hakerzy często próbują wykorzystać luki w starszych wersjach kodu w Twojej witrynie. Jeśli nie zaktualizujesz obu tych elementów, narażasz swoją witrynę na niebezpieczeństwo.

1. Regularnie wybieraj Wtyczki i Zainstalowane wtyczki w panelu administracyjnym WordPress. Przejrzyj wszystkie wtyczki pod kątem stanu informującego, że dostępna jest nowa wersja.

Gdy zobaczysz taki, który jest nieaktualny, wybierz opcję Aktualizuj teraz . Możesz także rozważyć wybranie opcji Włącz automatyczne aktualizacje dla swoich wtyczek. 

Jednak niektórzy ludzie obawiają się tego robić, ponieważ aktualizacje wtyczek mogą czasami uszkodzić witrynę lub motyw. Dlatego zawsze dobrze jest przetestować aktualizacje wtyczek na lokalnej stronie testowej WordPressa przed włączeniem ich na swojej stronie.

2. Po zalogowaniu się do pulpitu nawigacyjnego WordPress zobaczysz powiadomienie, że WordPress jest nieaktualny, jeśli używasz starszej wersji.

Ponownie wykonaj kopię zapasową witryny i załaduj ją do lokalnej witryny testowej na własnym komputerze, aby sprawdzić, czy aktualizacja WordPress nie psuje Twojej witryny, zanim zaktualizujesz ją na swojej działającej stronie.

3. Skorzystaj z bezpłatnych funkcji bezpieczeństwa swojego dostawcy usług hostingowych. Większość hostów internetowych oferuje różnorodne bezpłatne usługi bezpieczeństwa dla witryn, które tam hostujesz. Robią to, ponieważ nie tylko chroni to Twoją witrynę, ale zapewnia bezpieczeństwo całego serwera. Jest to szczególnie ważne, gdy jesteś na współdzielonym koncie hostingowym, na którym inni klienci mają strony internetowe na tym samym serwerze.

Często obejmują one bezpłatną instalację zabezpieczeń SSL dla Twojej witryny, bezpłatne kopie zapasowe , możliwość blokowania złośliwych adresów IP, a nawet bezpłatny skaner witryny, który będzie regularnie skanować witrynę pod kątem złośliwego kodu lub luk w zabezpieczeniach.

Prowadzenie strony internetowej nigdy nie jest tak proste, jak instalacja WordPressa i samo publikowanie treści. Ważne jest, aby Twoja witryna WordPress była tak bezpieczna, jak to tylko możliwe. Wszystkie powyższe wskazówki pomogą Ci to zrobić bez większego wysiłku.