Išsamus „WordPress“ saugos kontrolinis sąrašas saugioms svetainėms
„WordPress“ valdo daugiau nei trečdalį viso interneto (43%). Turint tokią didelę vartotojų bazę, kyla dar didesnės grėsmės saugumui!
Ne, mes ne tik spėliojame; statistika rodo, kad maždaug atsiranda kas minutę. Štai kodėl viena iš pirmųjų ir svarbiausių jūsų pareigų yra užtikrinti jūsų „WordPress“ svetainės saugumą.
Jei nežinote, kaip tai padaryti, šiame skyriuje bus pateiktas išsamus ir išsamus kontrolinis sąrašas, kuriuo galite vadovautis norėdami apsaugoti savo „WordPress“ svetainę.
Kodėl „WordPress“ svetainė turėtų teikti pirmenybę saugumui?
„WordPress“ svetainės valdymas be tinkamos apsaugos yra panašus į ėjimą miegoti neuždarius durų. Nesaugi svetainė kelia pavojų daug daugiau nei tik jūsų svetainės duomenims ar turiniui.
Jei į jūsų „WordPress“ svetainę bus įsilaužta, galite atsidurti tokioje situacijoje, kai gali nutikti šie scenarijai:
- Rimta žala jūsų verslo reputacijai
- Didelis pajamų praradimas
- Pavogta vartotojo informacija, pvz., slaptažodžiai, kredito kortelės informacija ir kt.
- Kenkėjiškos ir kenkėjiškos programinės įrangos integravimas į jūsų svetainę
- Reikia mokėti už išpirkos reikalaujančias programas
Jei neteikiate pirmenybės savo svetainės saugumui, atsidursite anksčiau paminėtomis galimybėmis.
Be to, „Google“ taip nekenčia neapsaugotų svetainių, kad kiekvieną savaitę į juodąjį sąrašą įtraukiama apie 20 000 kenkėjiškų programų ir apie 50 000 sukčiavimo svetainių. Taigi, jei norite pasiekti savo auditoriją, būtina užtikrinti svetainės saugumą!
Dabar pažvelkime į sceną kitu kampu. Ar pasidalintumėte savo informacija nesaugioje svetainėje kaip vartotojas??
—Neteisingai?
Taigi, net jei ignoruojate „Google“ susirūpinimą, turėtumėte užtikrinti savo svetainės saugumą, kad lankytojai būtų saugūs ir patogu.
„WordPress“ svetainių saugumo pažeidimų tipai
Nors WordPress svetainės kūrimas kiekvieną dieną darosi itin lengva, įsilaužėliai sugalvoja naujų tipų saugumo grėsmių, tokių kaip virusai, kenkėjiškos programos ir Trojos arkliai. Ir prieš gilindamiesi į svetainės apsaugos būdus, turime žinoti saugumo pažeidimų tipus.
Štai keletas dažniausiai pasitaikančių saugumo pažeidimų, apie kuriuos turėtumėte žinoti:
Kenkėjiška programa
Kenkėjiška programa yra plati sąvoka, apibrėžiama kenkėjiška programinė įranga, kuri naudojasi pažeidžiamų svetainių spragomis, kad įvykdytų daugybę kenkėjiškų ketinimų..
Daugelio svetainių naudojamų temų ir papildinių viduje gali būti įvairių spragų. Piratai naudojasi šiomis spragomis, norėdami įdiegti kenkėjiškas programas, įterpti kenkėjiškus kodus ir valdyti jūsų svetainę.
Sukčiavimas
„WordPress“ sukčiavimas iš esmės yra suklastotos svetainės kūrimas ir neįtariančių vartotojų apgaudinėjimas manyti, kad tai yra svetainė, kuria ji apsimetinėja.
Naudotojai gali bendrinti savo asmeninę informaciją, pvz., naudotojų vardus ir slaptažodžius, tose suklastotos sukčiavimo svetainėse, manydami, kad naršo reikiamoje svetainėje. Tai leidžia apsimetėliams rinkti asmeninę informaciją iš vartotojų.
Įsilaužėliai naudos šią informaciją norėdami reikalauti išpirkos arba panaudoti ją savo asmeniniams reikalams. Ir, spėk kas? Kiekvienais metais sukčiavimas tiek vartotojams, tiek svetainių savininkams kainuoja milijardus dolerių!
Kredito kortelių nuskaitymas
Tikriausiai girdėjote apie kreditinių kortelių skaitytuvus, įmontuojančius bankomatuose mikroschemas, kad pavogtų kredito kortelės informaciją! Na, štai jums keletas blogų naujienų, tai jau seniai perėjo į „WordPress“..
„WordPress“ kredito kortelių skaitytuvai įterpia kenkėjišką kodą į „WordPress“ papildinių PHP failus, kad pavogtų kredito kortelės informaciją. Šie skimmeriai pirmiausia nukreipti į populiarius papildinius, tokius kaip „WooCommerce“, nes tokie nemokami papildiniai turi didžiulę vartotojų bazę.
Brutalios jėgos puolimas
Brute force užpuolikai bando išsiaiškinti jūsų prisijungimo duomenis. Jie pakartotinai išbando galimų slaptažodžių derinius, kol atranda teisingą prisijungimo informaciją. Brute force atakos nukreiptos ne tik į prisijungimus, bet ir į bet kokią slaptažodžiu apsaugotą informaciją.
Struktūrinės užklausos kalba arba SQL injekcijos
SQL įterpimas arba duomenų bazės įterpimas yra dar vienas „WordPress“ saugos pažeidimas, kai įsilaužėliai bando įterpti kenkėjiškus SQL scenarijus per svetainės įvesties laukus. Paprastai tai vyksta per formas. SQL scenarijai gali sukelti visišką duomenų praradimą, jei jie sėkmingai įvedami.
Scenarijus tarp svetainių (XSS)
Šių atakų metu įsilaužėlis ragina svetainės savininką įkelti XSS failą arba tiesiog pateikti vartotojo formą su kenkėjiškais kodais. Įkeldamas tuos failus, užpuolikas gali pavogti duomenis arba reikalauti, kad išpirkos reikalaujančios programos grąžintų jums informaciją.
„WordPress“ saugos kontrolinis sąrašas: 15 patarimų, kurių reikia laikytis
Saugumo pažeidimai gali sukelti daug nepageidaujamų problemų svetainei, įskaitant sugriauti jūsų prekės ženklo reputaciją. Taigi bet kokia kaina reikia vengti saugumo pažeidimų.
Būtent todėl ir sudarėme šį kontrolinį sąrašą. Vykdykite toliau pateiktą „WordPress“ saugos kontrolinį sąrašą, kad išvengtumėte saugumo grėsmių. Nereikia nė sakyti, kad norint tai atlikti, nebūtina būti IT ekspertu!
Pasirinkite saugią žiniatinklio prieglobą
Pirmas žingsnis, kurį turėtumėte žengti siekiant apsaugoti savo svetainę, yra pasirinkti saugų žiniatinklio prieglobos paslaugų teikėją. Be kokybiško prieglobos, kuri nepalaikys jūsų svetainės, svetainė bus įkeliama lėtai ir ilgai prastovos. Jis bus nerimą keliančiai mažiau saugus ir linkęs į įsilaužimą.
Galite naudoti įprastą žiniatinklio prieglobą, kad priglobtumėte savo „WordPress“ svetainę, arba galite naudoti specifinį „WordPress“ žiniatinklio prieglobos planą, kuris suteikia pranašumą, nes yra specialiai optimizuotas „WordPress“ ir daug kitų privalumų..
Ieškokite žiniatinklio prieglobos, kuri teikia toliau nurodytus dalykus:
- Priegloba turėtų turėti galimybę stebėti savo tinklą, kad išvengtų įtartinos veiklos.
- Ji turėtų turėti galimybę apsisaugoti nuo didelio masto DDOS atakų
- Priegloba turi nuolat atnaujinti savo serverio programinę įrangą, PHP versijas ir aparatinę įrangą, kad įsilaužėliai negalėtų išnaudoti žinomo senosios versijos saugos pažeidžiamumo..
Redaguoti numatytąjį prisijungimo URL
Pagal numatytuosius nustatymus „WordPress“ priskirs jums prisijungimo URL kurdama svetainę. Numatytasis prisijungimo URL gali būti vienas iš šių:
website.com/wp-admin/arba,
website.com/wp-login/Naudojant numatytuosius „WordPress“ prisijungimo URL, šlamšto robotai ir įsilaužėliai lengviau pasiekia jūsų svetainę, nes jie visada taikomi pagal numatytąjį WP administratoriaus prisijungimą. Taigi apsvarstykite galimybę pakeisti numatytąjį prisijungimo URL, kad pridėtumėte kitą saugos sluoksnį.
Turėtumėte redaguoti savo „WordPress“ prisijungimą iš numatytojo į kažką panašaus į šį:
www.yourawesomesite.com/my-login-URL/
Naudokite stiprius slaptažodžius
Įsilaužimo pastangos, tokios kaip žiaurios jėgos atakos, dažniausiai būna sėkmingos dėl silpnų slaptažodžių naudojimo. Norėdami apsaugoti savo „WordPress“ svetainę, skatinkite vartotojus naudoti stiprius slaptažodžius.
Sugeneruoti stiprų ir sudėtingą slaptažodį ir tai atsiminti daugumai vartotojų būtų beveik neįmanoma. Pateikite šiuos įrankius savo vartotojams, kad procesas taptų lengvesnis:
- Stiprus slaptažodžių generatorius
- Slaptažodžių valdymo sistema slaptažodžiams saugoti
Naudokite dviejų veiksnių autentifikavimą
Net stipriausio ilgos eilutės slaptažodžio neužtenka prieš nuolatinę žiaurios jėgos ataką. Užpuolikai bandys tol, kol gaus jūsų kredencialus.
Norėdami su tuo kovoti, savo svetainės prisijungime įgalinkite dviejų veiksnių autentifikavimą. Kai įgalinate dviejų veiksnių autentifikavimą įdiegę papildinį, kartu su vartotojo vardu ir slaptažodžiu, vartotojas turi patvirtinti savo prisijungimą naudodamas kitą įrenginį ar programą.
Tai žymiai sumažina žiaurios jėgos atakų ir kitų su jomis susijusių saugumo pavojų riziką.
Galite naudoti naujai išleistą autorizacijos ir saugos papildinį apsaugoti savo svetainę naudojant prisijungimo apsaugą, dviejų veiksnių el. pašto autentifikavimą, prisijungimo / atsijungimo peradresavimus, socialinius prisijungimus, išsamius audito žurnalus ir kt..
„FluentAuth“ užtikrina, kad tik tinkamas asmuo galėtų patekti į jūsų administratoriaus skydelį. Be to, tai užkirs kelią per dideliems bandymams prisijungti ir apsaugo jūsų svetainę nuo žiaurios jėgos atakų.
Ir geriausia dalis? – tai nemokama!
Atsisiųskite „FluentAuth“ (nemokamą)
Sukurkite savo svetainės atsarginę kopiją
Turint tokią didžiulę „WordPress“ vartotojų bazę, galimybė būti įsilaužtam yra didžiulė. Gali atrodyti, kad niekas nenutiks, kol taip neatsitiks. Vieną dieną galite pabusti ir pastebėsite, kad į jūsų svetainę buvo įsilaužta.
Yra paprastas būdas apsaugoti duomenis nuo praradimo sukuriant atsargines svetainės kopijas. Atsarginė kopija gali būti daroma įvairiais būdais, kurie yra:
- Per savo žiniatinklio prieglobos paslaugų teikėją
- Su „WordPress“ atsarginės kopijos papildiniu
- Svetainės duomenų kopijos kūrimas rankiniu būdu
Siūlome sukurti visą svetainės failų ir duomenų bazės atsarginę kopiją, net ir dalykų, kurie gali atrodyti nesvarbūs, kad galėtumėte gauti bet kokius smulkmeniškus dalykus, jei jų prireiks..
Įdiekite savo „WordPress“ svetainės SSL sertifikatą
Anksčiau tai buvo baisus procesas, tačiau šiais laikais jis tapo lengvesnis. Secure Sockets Layer arba SSL yra saugos protokolas, šifruojantis visus jūsų svetainės ryšius.
Svetainėse, kuriose įdiegtas SSL, rodomas užraktas (
) šalia jų URL. Taip pat pakeičiamas svetainės protokolas iš HTTP į HTTPS.
Prieš įdiegdami SSL sertifikatą svetainėje sukurkite atsarginę savo svetainės kopiją, kad kas nors nenutiktų ir atsirastų nepasiekiama svetainė.
XML-RPC išjungimas
XML-RPC arba xmlrpc.php yra funkcija, kilusi iš pirmųjų „WordPress“ dienų. Jis nuotoliniu būdu sujungia jūsų svetainę su išorinėmis programomis, kad galėtumėte bendrauti su savo „WordPress“ svetaine naudodami skirtingas operacines sistemas ir įrenginius.
Tai buvo naudinga funkcija pirmosiomis interneto dienomis, nes leidžia svetainės savininkui redaguoti turinį neprisijungus ir paskelbti jį vėliau, kai vėl prisijungs prie interneto..
Tačiau šiomis dienomis ši funkcija tapo pažeidžiamumu, nes svetainės, kuriose įjungtas XML-RPC, dažnai yra brutalios jėgos ir DDOS atakų taikiniai. XML-RPC įgalintas pagal numatytuosius nustatymus iš WordPress 3.4 versijos, tačiau jį galima lengvai išjungti naudojant paprastą kodavimą.
Galime drąsiai manyti, kad daugumai žmonių šiomis dienomis to nereikia; taigi, tai nebėra labai reikalinga funkcija. Išjunkite XML-RPC, kad apsaugotumėte svetainę nuo dažnų atakų.
Naudokite „WordPress“ saugos papildinį
Jei esate paprastas vartotojas arba nenorite patekti į sudėtingą „WordPress“ saugumo spragą, saugos papildinio įdiegimas yra tinkamas būdas. Geras saugos papildinys patikrintų visus saugos langelius už jus, todėl jums nereikės viso šio darbo atlikti rankiniu būdu.
Ieškokite jų rinkdamiesi saugos papildinį:
- Privatus saugos papildinys
- Ne atvirojo kodo, nes juos galima keisti
- Brute force atakos apsauga
- Failų nuskaitymas
- Kenkėjiškų programų nuskaitymas
- Blokų sąrašo stebėjimas
- Saugumo grūdinimas
- Veiksmai po įsilaužimo
- Ugniasienės
Atnaujinkite pagrindinę „WordPress“ versiją
„WordPress“ nuolat stengiasi pataisyti savo pažeidžiamumą ir padaryti save kuo saugesnį. Kai aptinkama saugos problema, „WordPress“ bando ją išspręsti kitame atnaujinime.
Jei neatnaujinsite savo „WordPress“ pagrindinės versijos, jūsų svetainė gali susidurti su saugumo grėsmėmis, apie kurias įsilaužėliai jau galėjo žinoti. Be pagrindinės versijos atnaujinimo, paslėpkite „WordPress“ versiją, kad niekas negalėtų pasinaudoti, jei jos neatnaujinsite laiku.
Reguliariai atlikite saugumo patikrinimą
Kadangi vis dažniau įsilaužiama į svetainę, šiais laikais būtina reguliariai tikrinti svetaines. Reguliarus „WordPress“ svetainės nuskaitymas, ar nėra kenkėjiškų programų ir virusų, turėtų būti jūsų prioritetas.
Įdiekite automatinį svetainės nuskaitymą, kad jokia grėsmė saugumui neliktų nepastebėta. Atminkite, kad saugos nuskaitymai informuoja tik apie saugumo problemas; vis tiek turite imtis priemonių jiems išspręsti.
Ištrinkite paliktas paskyras
Vartotojai, kurie prisijungė, bet tada paliko savo paskyras, kelia pavojų saugumui, nes savo paskyras paveikė įsilaužėliai, kurie galėjo prisijungti prie savo seanso, pakeisti slaptažodžius arba pakeisti savo paskyras. Norėdami išvengti tokių problemų, įdiekite šią labai reikalingą funkciją savo svetainėje.
Užkirsti kelią karštosioms nuorodoms
Karštosios nuorodos yra neteisėta praktika, kai kas nors be jūsų leidimo rodo jūsų svetainėje esantį turinį kaip savo. Karštosios nuorodos sunaudoja jūsų serverio išteklius ir sulėtina jūsų svetainės veiklą.
Norėdami išvengti karštųjų nuorodų, galite pridėti toliau pateiktą kodo fragmentą prie savo .htaccess failo:
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http://(www\.)example.com/.*$ [NC]
RewriteRule \.(gif|jpg|jpeg|bmp|zip|rar|mp3|flv|swf|xml|php|png|css|pdf)$ – [F]Pašalinkite neaktyvias temas ir papildinius
Neaktyvių temų ir papildinių pašalinimas yra labai svarbus siekiant užkirsti kelią užpakalinių durų atakoms. Tokių atakų metu įsilaužėliai taikosi į jūsų svetainę per pasenusių ir nenaudojamų temų ir papildinių pažeidžiamumą..
Tai sukuria šliuzus įsilaužėliams, kad jūsų svetainėje įvestų klaidų, papildinių konfliktų ir kitų kenkėjiškų dalykų. Dėl pasenusių temų ir papildinių jūsų svetainė taip pat gali sulėtėti.
Štai kodėl turėtumėte pašalinti papildinius ir temas, kurių nenaudojate. Tai ne tik užtikrins jūsų svetainės saugumą, bet ir padidins bendrą našumą.
Vykdykite šią išsamią informaciją kad jūsų svetainė būtų geros būklės.
Apibendrinimas
Jūsų svetainės apsauga turėtų būti svarbiausias prioritetas ją sukūrus. Saugumo priemonių įgyvendinimas gali pareikalauti daug pastangų ir kartais gali būti varginantis. Tačiau tai apsaugos jūsų svetainę nuo sugadinimo ir apsaugos jūsų tapatybę bei reputaciją.
Tikimės, kad mūsų pateiktas kontrolinis sąrašas buvo naudingas mokant jus apie būtinus veiksmus, kurių turėtumėte imtis norėdami apsaugoti savo svetainę. Jei imasi kitų saugumo priemonių, nepamirškite apie tai mums pranešti komentaruose.
Įvertinkite straipsnį
