A WordPress a világ legelterjedtebb tartalomkezelője, ezért az automatizált támadások fő célpontja. A legtöbb feltörés nem célzott: robotok keresnek gyenge jelszavakat és ismert, de be nem foltozott biztonsági réseket. Az alábbi lépések ezek ellen védenek.

1. Frissítések

A legtöbb feltörés egy elavult bővítmény vagy sablon ismert hibáján keresztül történik. Tartsa naprakészen a WordPress magját, a sablont és minden bővítményt; a biztonsági frissítésekhez kapcsolja be az automatikus frissítést, erről a bővítmények automatikus frissítéséről szóló cikk szól. A nem használt bővítményeket és sablonokat ne csak kapcsolja ki, hanem törölje is, mert kikapcsolva is a tárhelyen maradnak, és a hibáik kihasználhatók.

2. Erős jelszavak, egyedi felhasználónevek

Ne használja az „admin” felhasználónevet, és minden fiókhoz hosszú, egyedi jelszót adjon meg, amelyet jelszókezelőben tárol. A biztonságos jelszavakról külön cikkünk ír bővebben.

3. Kétlépcsős azonosítás

Egy kétlépcsős azonosítást biztosító bővítménnyel (például a Two Factor vagy a Wordfence Login Security) a jelszó önmagában nem elég a belépéshez. Legalább az adminisztrátori fiókokhoz kapcsolja be.

4. Bejelentkezési kísérletek korlátozása

Egy bővítménnyel korlátozza a sikertelen belépések számát, hogy a jelszópróbálgatás (brute force) ne vezessen eredményre. A tárhely szerverén futó védelem a túl sok hibás belépést ugyancsak tiltja; ilyenkor a tűzfal IP-blokkolásáról szóló cikk segít.

5. Jogosultságok

Mindenki csak annyi jogot kapjon, amennyire szüksége van: egy cikkíró legyen „Szerző” vagy „Szerkesztő”, ne „Adminisztrátor”. Időnként nézze át a felhasználók listáját, és törölje a már nem használt fiókokat.

6. A wp-config.php beállításai

• Fájlszerkesztés tiltása: a define('DISALLOW_FILE_EDIT', true); sor letiltja a sablon- és bővítményfájlok szerkesztését az admin felületről, így egy ellopott admin jelszóval nem lehet közvetlenül kártékony kódot beírni.
• Fájljogosultságok: a mappák jellemzően 755, a fájlok 644, a wp-config.php szigorúbb, például 600 vagy 640 jogosultsággal legyen; lásd a fájljogosultságokat (chmod, chown) elmagyarázó cikket.
• Biztonsági kulcsok: feltörés gyanújakor cserélje le a wp-config.php kulcsait (AUTH_KEY és társai) a WordPress kulcsgenerátorával, így minden bejelentkezett felhasználót kiléptet.

7. XML-RPC

Az xmlrpc.php felületet ma már kevés alkalmazás használja, viszont gyakori támadási célpont. Ha nem használ olyan szolgáltatást, amely igényli (például a Jetpack egyes funkcióit vagy régi mobilalkalmazást), tiltsa le egy biztonsági bővítménnyel vagy a WP Toolkitben.

8. Csak megbízható forrásból

Soha ne telepítsen feltört („nulled”) sablont vagy bővítményt, mert ezek gyakran rejtett kártevőt tartalmaznak; lásd: miért veszélyesek a feltört (nulled) sablonok és bővítmények.

9. HTTPS és mentés

Az oldal legyen teljesen HTTPS-re irányítva, és legyen friss, visszaállítható mentése: ha minden más elromlik, ebből lehet helyreállni.

Az aWh tárhelyein

cPanel szervereinken az ImunifyAV+ figyeli a fájlokat, és jelzi a kártevőket. A WP Toolkit Biztonság menüpontja egy kattintással elvégzi a fenti beállítások egy részét (például a fájlszerkesztés vagy az XML-RPC tiltását); erről a WP Toolkit alapbeállításairól szóló cikk szól. Részletes ellenőrzőlista blogunkon: WordPress biztonság: gyakorlati ellenőrzőlista.