A WordPress a legszélesebb körben használt tartalomkezelő rendszer a weben, ezért egyben a leggyakrabban támadott is. Nem azért, mert nem biztonságos, hanem mert a támadók tudják, hogy egy WordPress sebezhetőség sok millió weboldalon kihasználható. Amint egy WordPress oldal elérhetővé válik, az automatizált robotok elkezdik gyenge pontok után kutatva vizsgálni.

A biztonsági megerősítés (hardening) korábban hosszú, kézi folyamat volt, a WP Toolkit segítségével viszont néhány kattintással elvégezhető. A videó és az alábbi lépések a telepítés utáni legfontosabb beállításokat mutatják be.

Videó: Biztonsági intézkedések alkalmazása a WP Toolkitben (képernyőfelvétel hang nélkül, magyar feliratokkal)

A WP Toolkit megnyitása

1. Jelentkezzen be a cPanelbe, és kattintson a bal oldali menüben a WordPress Management pontra (a kezdőlap Tartományok csoportjában is megtalálja).
2. A WP Toolkit kezelőfelület listájában nyissa ki a webhelye adatlapját a sor elején lévő nyíllal. Az adatlapon látja a WordPress verzióját, a frissítéseket, a biztonsági és a teljesítménybeállításokat.

A biztonsági állapot

Az adatlap Biztonság részében kattintson a Biztonsági rések kockázatának a csökkentése linkre (vagy a webhely sorában a Security Risk címkére). A Biztonsági állapot ablak tetején négy doboz összesíti a webhely helyzetét:

• Security Risk: 0 és 10 közötti kockázati pontszám a webhely ismert sebezhetőségei alapján; a 0,0 azt jelenti, hogy nincs komoly ismert sebezhetőség.
• Protection Disabled (Védelem engedélyezése): a WP Guardian virtuális javításai, amelyek egy bővítmény segítségével tűzfalszabályokkal védik a sebezhető bővítményeket a javítás megjelenéséig. Ez külön megvásárolható licenc, a tárhelycsomagnak nem része; a kockázati pontszám és a sebezhetőségek listája nélküle is működik.
• Naprakész: a WordPress, a bővítmények és a témák frissítései; az Újraellenőrzés gombbal azonnal kereshet új frissítést.
• Biztonsági intézkedések: hány intézkedés alkalmazható még; az Apply All gomb egyszerre alkalmazza mindet.

A Vulnerable Components fül sorolja fel a WordPress magban, a bővítményekben és a témákban talált ismert sebezhetőségeket, súlyosság szerint; a teendőket a sebezhető bővítményekről szóló cikk írja le.

Biztonsági intézkedések

A kritikus intézkedéseket a WP Toolkit a telepítéskor automatikusan alkalmazza (az adatlapon ezt a Megtörtént a kritikus biztonsági intézkedések alkalmazása. sor jelzi). A többit Önnek kell kiválasztania:

1. A Biztonsági állapot ablakban nyissa meg a Biztonsági intézkedések fület. A lista végén zöld pipával szerepelnek a már alkalmazott intézkedések, felül narancssárga jellel azok, amelyek még hiányoznak.
2. Jelölje be az alkalmazni kívánt intézkedéseket.
3. Kattintson a Biztonságos gombra.

Az intézkedések nevét a panel angolul mutatja. A legfontosabbak:

• Forbid execution of PHP scripts in the wp-content/uploads directory és … in the wp-includes directory: tiltja a PHP futtatását ezekben a mappákban, így egy feltöltött kártékony fájl nem futtatható.
• Disable file editing in WordPress Dashboard: kikapcsolja a témák és bővítmények szerkesztőjét az adminfelületen, így egy feltört admin fiókkal sem lehet kódot beírni.
• Block access to potentially sensitive files és Block access to wp-config.php: tiltja az érzékeny fájlok (például naplók, a wp-config.php és másolatai) elérését.
• Block author scans: megakadályozza, hogy a robotok kiolvassák a felhasználóneveket a szerzői oldalakból.
• Block directory browsing: megakadályozza, hogy a látogatók kilistázzák a mappák tartalmát.
• Change default administrator’s username: lecseréli az „admin” felhasználónevet, amellyel a támadók először próbálkoznak.
• Block access to xmlrpc.php és Turn off pingbacks: lezárják a gyakran támadott XML-RPC felületet.

Egyes intézkedések bizonyos bővítmények működését befolyásolhatják: az xmlrpc.php tiltása például a Jetpack és a WordPress mobilalkalmazás kapcsolódását akadályozza meg. Ha egy beállítás után valami nem működik, jelölje ki az intézkedést, és a Visszaállítás gombbal vonja vissza. A „(visszaállíthatóak)” megjegyzés nélküli intézkedések (például az adminisztrátor felhasználónevének vagy a táblák előtagjának cseréje) nem vonhatók vissza. Mielőtt több intézkedést egyszerre alkalmaz, készítsen mentést; erről a WordPress biztonsági mentéséről és visszaállításáról szóló cikk szól.

További beállítások az adatlapon

• Keresőmotor indexelés: fejlesztés alatt kapcsolja ki, hogy a félkész oldal ne kerüljön be a keresőkbe. Kikapcsolva a WordPress „noindex, nofollow” jelzést tesz az oldalakra, és a robots.txt is tiltja a bejárást, ezért élesítéskor mindenképpen kapcsolja vissza.
• Karbantartási mód: a munka idejére egy tájékoztató oldalt mutat a látogatóknak. A mellette lévő beállítás ikonnal a szövegét, egy visszaszámlálót és a közösségi hivatkozásokat is megadhatja.
• Jelszavas védelem: a teljes oldalt felhasználónév és jelszó mögé rejti, ami tesztoldalaknál hasznos.
• Hibaelhárítás: a WordPress hibakereső beállításai, alapértelmezés szerint kikapcsolva. Csak teszteléshez kapcsolja be, éles oldalon tartsa kikapcsolva, mert a hibaüzenetek érzékeny adatokat árulhatnak el.
• Közvetlen hivatkozás elleni védelem: megakadályozza, hogy más webhelyek az Ön képeit beágyazzák, és ezzel az Ön tárhelyének adatforgalmát használják.
• wp-cron.php fájl átvétele: a WordPress időzített feladatait a látogatások helyett rendszeres ütemezett feladat futtatja; erről a WP-Cron cseréjéről szóló cikk szól.
• Automatikus frissítési beállítások és Intelligens frissítés funkció: a WordPress, a bővítmények és a témák automatikus frissítése, illetve a frissítés előzetes kipróbálása az oldal egy másolatán; részletek az automatikus frissítések beállításáról szóló cikkben.
• WordPress sértetlenségének az ellenőrzése: a WordPress alapfájljait összeveti a wordpress.org ellenőrzőösszegeivel, és ha eltérést talál, a WordPress alap újratelepítése gombbal a tartalom elvesztése nélkül újratelepítheti őket. Fertőzés gyanújánál hasznos; a teendőkről az ImunifyAV kártevőirtásról szóló cikk ír.

Ha a webhely sorában narancssárga SSL/TLS címke látszik, a WP Toolkit azt jelzi, hogy nincs bekapcsolva az állandó (301-es) átirányítás HTTP-ről HTTPS-re; ennek beállításáról a HTTPS-re irányításról szóló cikk szól.

cPanel tárhely és WordPress tárhely csomagjainkhoz a WP Toolkit Deluxe változatát adjuk, amely a sebezhető bővítmények felismerésében, a klónozásban és az intelligens frissítésekben is segít. A WP Toolkit beállításai mellett az erős jelszó és a kétlépcsős azonosítás is fontos; a további teendőkről a WordPress feltörés elleni biztonsági beállításairól szóló cikk szól.