Безопасность блога на WordPress

Всем доброго времени суток.

Ниже будут перечислены основные меры защиты своего блога на движке WordPress. Кому-то они покажутся наивными, но о них написать все равно нужно. Особенно советы пригодятся тем, кто имеет интернет магазин для wordpress.

Предлагаю двигаться от простого к сложному:

Во-первых, нужно придумать хороший пароль к своему админскому аккаунту. Под хорошим паролем понимаю пароль из 10-15 цифр и букв разного регистра. В идеале можно разбавить пароль знаками препинания, такими как #@&)%.

Последние версии WordPress’а изначально создают надежные пароли для аккаунта, а вот логин используют один и тот же: admin. Если кто-то захочет взломать Вас, то скорее всего и будет подбирать пароль к такому логину. Поэтому рекомендую изменить его.

Во-вторых, нужно своевременно обновлять версии WordPress’a и всех плагинов. Программисты пишут новые версии вовсе не потому, что у них кончились деньги на пиво и нужно заработать новые. В каждой новой версии исправляются какие-то баги, возможно и угрожающие безопасности. Процесс обновления автоматизирован и не должен потребовать особых усилий. Однако рекомендую заранее сделать бэкап (о нем ниже).

Бэкап — резервное копирование — создание и сохранение копии всех данных на своем носителе. Можно использовать плагин WordPress Database Backup. Бэкапами нельзя пренебрегать. Мало ли что может придти в голову хостерам или злобным хакерам. Будет очень обидно, если Ваш блог с кучей хороших постов бесследно исчезнет.

О том, для чего устанавливать антиспам-плагины, думаю, говорить не нужно. Можно установить один из них. Работают они все почти одинаково: при наличии N ссылок в комменте отправляют его в спам-список. Может по ошибке отправить туда нормальный коммент. Плюсом таких плагинов является и то, что они сравнивают IP комментатора с черным списком.

Плагин же Bad Behavior вообще не пускает IP из черного списка на блог.

Полезен будет плагин Limit Login Attempts. Он блокирует доступ к блогу после четырехкратного ввода неправильного пароля. Блокирует на 20 мин. Благодаря этому плагину процесс подбора пароля растянется еще на 10-20 веков…

Одним (ли) из наиболее популярных плагинов для обеспечения безопасности является WP security scan. Главная его функция — сканирование блога на предмет дыр. Например, он может сравнить права доступа на ваши файлы и папки с правами, которые должны на них стоять. Точнее не должны… а быть максимально узкими без потери функционала. Есть в плагине функция быстрой смены прав доступа. Кроме этого WP Security Scan может изменять названия таблиц в базе данных. По умолчанию они начинаются с «wp-«.НЕ ЗАБУДЬТЕ бэкапнуться перед этим процессом. Смысл смены имен такой же, как и с админским логином — меньше знает злоумышленник — крепче спишь ты.

Ну и на последок поговорим о файле.htaccess. При каждом обращении к вашему блогу сервер проверяет этот файл. В нем находятся настройки сервера конкретно для вашего блога. .htaccess — возможность перенастроить файл httpd.conf — главные конфиги сервера. Инструкции в фале .htaccess действуют на все файлы и папки, вложенные в ту, где лежит сам файл и кроме тех, в которых находится другой «.htaccess». Кроме всех прелестей и возможностей .htaccess нас сейчас больше всего интересует возможность не пускать на блог определенные/все кроме определенных IP. Рекомендую запретить доступ в админку с не ваших IP. Для этого нужно поместить .htaccess в папку wp-admin и прописать в нем

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Access Control”
AuthType Basic
order deny,allow
deny from all
allow from xxx.xxx.xxx.xxx

Что означают первые строки точно не скажу, а вот последние две означают следующее «запрещать доступ всем, кроме данного IP». Можно писать несколько IPшников с новой строки, после последнего ставится точка.

А вообще нашел удобный сервис — генератор .htaccess Здесь с помощью простого интерфейса можно сделать мощный файл .htaccess

Ну, вот, пожалуй, и все. Ах да, забыл самое главное — не разбалтывайте свои пароли за кружкой пива в общественных местах! 🙂