Securitate WordPress: Cele mai bune modalități de a securiza site-ul WordPress în 2022

Securitatea WordPress este o mare preocupare pentru toți proprietarii de site-uri web. În fiecare zi, Google pune pe lista neagră peste 10.000 de site-uri web pentru malware și, în fiecare săptămână, pune pe lista neagră 50.000 pentru phishing.

Dacă vă faceți griji cu privire la securitatea site-ului dvs., ar trebui să urmați cele mai bune practici de securitate WordPress.

În această postare, vom trece peste toate cele mai bune modalități de securitate WordPress pentru a vă ajuta să vă protejați site-ul împotriva hackerilor și a programelor malware.

Deși software-ul de bază WordPress este destul de sigur și sute de dezvoltatori îl auditează în mod regulat, există încă multe lucruri pe care le puteți face pentru a vă păstra site-ul în siguranță.

Puteți face mai multe lucruri ca proprietar de site pentru a îmbunătăți securitatea WordPress.

Există câțiva pași pe care îi puteți lua pentru a vă asigura site-ul WordPress împotriva vulnerabilităților de securitate.

Să începem.

De ce este importantă securitatea site-ului WordPress?

Un site WordPress piratat poate dăuna semnificativ câștigurilor și reputației afacerii dvs. Hackerii pot fura parolele informațiilor despre utilizatori, pot instala software dăunător și chiar vă pot infecta utilizatorii cu programe malware.

Cel mai rău, ați putea fi forțat să plătiți ransomware hackerilor pentru a recupera accesul la site-ul dvs. web.

Google a anunțat în martie 2016 că peste 50 de milioane de vizitatori de internet au fost notificați că un site web pe care l-au vizitat ar putea conține programe malware sau fura informații.

În plus, în fiecare zi, Google pune pe lista neagră peste 10.000 de site-uri web pentru malware și aproximativ 50.000 de site-uri web pentru phishing.

Dacă gestionați un site web de afaceri, veți dori să acordați o atenție deosebită securității WordPress.

Cele mai frecvente probleme de securitate WordPress

Cele mai comune vulnerabilități de securitate WordPress apar înainte sau la scurt timp după ce site-ul dvs. este spart. Un hacker își propune să obțină acces neautorizat de administrator la site-ul dvs. WordPress, fie prin intermediul front-end (tabloul de bord WordPress), fie din partea serverului (inserând scripturi sau fișiere rău intenționate).

Următoarele sunt primele cinci probleme de securitate WordPress de care ar trebui să fii conștient:

1. Atacurile de forță brută

Atacurile de forță brută WordPress se referă la procesul de introducere în mod repetat a diferitelor combinații de nume de utilizator și parole până când este găsită o combinație de succes. Abordarea atacului cu forță brută profită de cea mai simplă modalitate de a vă accesa site-ul web: pagina dvs. de autentificare WordPress.

WordPress nu limitează încercările de autentificare în mod implicit. Prin urmare, roboții pot folosi metoda de atac cu forță brută pentru a vă ataca pagina de autentificare WordPress. Chiar dacă un atac cu forță brută eșuează, acesta poate provoca ravagii pe serverul dvs. prin supraîncărcarea sistemului și încetinirea site-ului.

2. Cross-Site Scripting (XSS)

Atacurile cross-site scripting (XSS) reprezintă 54,4% din toate vulnerabilitățile de securitate WordPress dezvăluite în 2021. Cea mai frecventă vulnerabilitate descoperită în pluginurile WordPress este cross-site scripting.

Metoda de bază de cross-site scripting este următoarea: un atacator găsește o modalitate de a convinge o victimă să încarce scripturi javascript vulnerabile în paginile lor web. Aceste scripturi sunt încărcate fără știrea vizitatorului și apoi exploatate pentru a fura informații din browserele lor. Un formular deturnat care pare să fie pe site-ul dvs. web este un exemplu de atac de scripting între site-uri. Dacă un utilizator completează formularul, XSS îi va prelua informațiile.

3. Exploit de includere a fișierelor

După atacurile cu forță brută, cea mai comună vulnerabilitate de securitate exploatată de atacatori este slăbiciunile codului PHP al site-ului dvs. WordPress.

Vulnerabilitățile de includere a fișierelor apar atunci când codul vulnerabil este utilizat pentru a încărca fișiere externe, permițând atacatorilor să obțină acces la site-ul dvs. web. Atacurile de includere a fișierelor sunt una dintre cele mai populare modalități prin care un atacator poate obține acces la fișierul wp-config.php al site-ului dvs. WordPress, care este unul dintre cele mai importante fișiere din instalarea dvs. WordPress.

4. Injectii SQL

O bază de date MySQL este utilizată pentru a rula site-ul dvs. WordPress. Injecțiile SQL au loc atunci când un atacator obține acces la baza de date WordPress, precum și la toate datele de pe site-ul dvs.

Un atacator poate fi capabil să stabilească un nou cont de utilizator la nivel de administrator prin injecție SQL, care poate fi apoi folosit pentru a vă autentifica și a obține controlul complet asupra site-ului dvs. WordPress. Injecțiile SQL se pot folosi și pentru a introduce date noi, cum ar fi link-uri către site-uri web rău intenționate sau spam, în baza de date.

5. Programe malware

Malware este un cod folosit pentru a obține acces neautorizat la un site web pentru a colecta informații sensibile. Un site WordPress piratat indică de obicei malware a fost introdus în fișierele site-ului dvs.; prin urmare, verificați fișierele modificate recent dacă bănuiți că există malware pe site-ul dvs.

Deși există diferite tipuri de atacuri malware pe internet, WordPress nu este vulnerabil la toate. Următoarele sunt cele mai comune patru infecții malware WordPress:

• Ușile din spate
• Descărcări drive-by
• Hack-uri farmaceutice
• Redirecționări rău intenționate

Fiecare dintre aceste forme de malware poate fi identificată și eliminată cu ușurință prin dezinstalarea manuală a fișierului rău intenționat, prin instalarea unei noi versiuni de WordPress sau prin restaurarea site-ului dvs. WordPress dintr-o copie de rezervă anterioară, neinfectată.

Ghid de securitate WordPress 2022

Implementarea doar a una sau două măsuri de securitate WordPress nu va fi suficientă pentru a asigura siguranța site-ului dvs. WordPress. Iată câteva modalități cele mai bune de a securiza site-urile WordPress în 2022.

1. Actualizați versiunea WordPress în mod regulat

WordPress oferă actualizări de software în mod regulat pentru a îmbunătăți viteza și securitatea. Aceste upgrade-uri ajută, de asemenea, să vă păstrați site-ul în siguranță împotriva atacurilor cibernetice.

Una dintre cele mai simple metode de a crește securitatea WordPress este actualizarea versiunii WordPress. Cu toate acestea, peste jumătate din toate site-urile WordPress folosesc o versiune mai veche a software-ului, ceea ce le face mai vulnerabile.

Pentru a vedea dacă aveți cea mai recentă versiune WordPress, accesați Tabloul de bord -> Actualizări din panoul de meniu din stânga al zonei dvs. de administrare WordPress. Dacă arată că versiunea dvs. este învechită, vă sugerăm să o actualizați cât mai curând posibil.

2. Utilizați o parolă puternică

Una dintre cele mai de bază greșeli pe care le fac utilizatorii este folosirea numelor de utilizator ușor de ghicit, cum ar fi „admin”, „administrator” sau „test”. Drept urmare, site-ul dvs. este mai vulnerabil la atacurile cu forță brută. În plus, atacatorii folosesc această metodă pentru a viza site-urile WordPress cu parole slabe.

Drept urmare, vă recomandăm să vă faceți numele de utilizator și parola mai complicate și unice.

Dacă aveți nevoie de ajutor pentru a crea o parolă puternică, utilizați instrumente online precum LastPass și 1Password. Serviciile lor de gestionare a parolelor pot fi folosite și pentru a stoca în siguranță parole puternice. Nu va trebui să le amintiți în acest fel.

De asemenea, este esențial să verificați rețeaua înainte de a vă conecta pentru a asigura securitatea site-ului dvs. Dacă sunteți conectat în mod eronat la un Hotspot Honeypot , o rețea condusă de hackeri, riscați să expuneți detaliile dvs. de conectare operatorilor.

Chiar și rețelele publice, cum ar fi WiFi-ul bibliotecilor școlare , s-ar putea să nu fie atât de sigure pe cât arată. Hackerii vă pot intercepta conexiunea și pot fura date care nu sunt criptate, cum ar fi parolele de conectare.

Prin urmare, de fiecare dată când vă conectați la o rețea publică, vă recomandăm să utilizați un VPN . Acesta criptează conexiunea, ceea ce face mai dificilă interceptarea datelor și protejând activitatea dvs. online.

3. Investește în găzduire WordPress sigură

Serviciul dvs. de găzduire WordPress este cel mai important aspect al securității site-ului dvs. WordPress. Serviciile excelente de găzduire partajată, cum ar fi Bluehost sau Siteground, vor merge mai sus și dincolo pentru a-și securiza serverele de amenințările comune.

Iată cum un furnizor bun de găzduire web vă protejează site-urile web și datele din fundal.

• Ei țin cu ochii pe rețeaua lor pentru orice activitate suspectă.
• Toate companiile bune de găzduire au sisteme pentru a preveni atacurile DDOS la scară largă.
• Pentru a preveni hackerii să exploateze o slăbiciune de securitate cunoscută într-o versiune mai veche, aceștia își mențin software-ul serverului, versiunile PHP și hardware-ul la zi.
• Au planuri de recuperare în caz de dezastru și de accident care sunt gata de implementat, permițându-le să vă securizeze datele în cazul unui accident major.

Când alegeți un plan de găzduire partajată, veți partaja resursele serverului cu multe alte persoane. Acest lucru crește riscul de contaminare între site-uri, care apare atunci când un hacker folosește un site din apropiere pentru a vă ataca site-ul.

Utilizarea unui furnizor de găzduire WordPress gestionat vă asigură că site-ul dvs. este mai sigur. Companiile de găzduire WordPress gestionate includ backup-uri automate, upgrade-uri automate WordPress și setări de securitate mai îmbunătățite pentru a vă securiza site-ul.

4. Faceți backup regulat pentru WordPress

Backup-urile sunt prima ta linie de siguranță în cazul unui atac WordPress.

Backup-urile vă permit să vă recuperați cu ușurință site-ul WordPress dacă ceva nu merge bine.

Există o mulțime de pluginuri de backup gratuite și premium pentru WordPress disponibile pe care le puteți utiliza. Cel mai important lucru de reținut despre copii de siguranță este că trebuie să salvați în mod regulat copiile de siguranță ale site-ului complet într-un loc la distanță (nu în contul dvs. de găzduire).

Vă recomandăm să utilizați un furnizor de cloud, cum ar fi Amazon, Dropbox, sau cloud-uri private precum Stash pentru a-l stoca.

În funcție de cât de des vă actualizați site-ul web, setarea ideală poate fi fie o dată pe zi, fie backup-uri în timp real.

Din fericire, plugin-uri precum UpdraftPlus simplifică acest lucru. Este, de asemenea, un plugin obligatoriu pentru site-urile WordPress. UpdraftPlus este fiabil și, cel mai important, simplu de utilizat (nu este nevoie de codificare).

5. Utilizați pluginuri de securitate WordPress

Atacurile malware pe site-urile WordPress sunt destul de frecvente. Dacă nu monitorizați manual codul sursă al site-ului dvs. web, este posibil să nu fiți conștient de faptul că codul dvs. este infectat.

Din păcate, va trebui să știți cum să codificați pentru a înțelege acest lucru. Cu toate acestea, există o metodă mai bună și mai simplă. Pluginurile de securitate WordPress sunt menite să detecteze și să elimine codul dăunător și virușii de pe site-ul dvs.

Cea mai bună parte este că funcționează non-stop și nu va trebui să faci nimic. Sucuri și Wordfence sunt două dintre cele mai populare pluginuri de securitate WordPress.

6. Activați Web Application Firewall (WAF)

Cel mai bun mod de a vă securiza site-ul și de a vă simți în siguranță în ceea ce privește securitatea WordPress este utilizarea unui firewall pentru aplicații web (WAF).

Un firewall pentru site-ul web blochează tot traficul dăunător înainte de a ajunge pe site-ul dvs.

Firewall pentru site-uri la nivel DNS – Aceste firewall filtrează traficul site-ului dvs. prin serverele proxy cloud. Ca rezultat, pot furniza numai trafic real către serverul dvs. web.

Firewall la nivel de aplicație – Aceste pluginuri de firewall inspectează traficul odată ce ajunge la serverul dvs., dar înainte ca majoritatea scripturilor WordPress să fie încărcate. În ceea ce privește minimizarea încărcării serverului, această soluție nu este la fel de eficientă ca firewall-ul la nivel DNS.

Pentru aceasta, puteți folosi Sucuri ca cel mai bun firewall de aplicație web pentru WordPress.

Cea mai bună caracteristică a firewall-ului Sucuri este că include o garanție de curățare a programelor malware și de eliminare a listei negre. Practic, dacă site-ul dvs. este spart în timp ce îl monitorizează, ei garantează că îl vor repara.

7. Instalați certificatul SSL

SSL este un protocol de transfer de date care criptează datele trimise între un site web și vizitatorii acestuia, făcând dificil pentru hackeri să fure informații sensibile.

Certificatele SSL îmbunătățesc, de asemenea, optimizarea pentru motoarele de căutare (SEO) a unui site web, ceea ce îl ajută să atragă mai mulți vizitatori.

Site-urile web cu un certificat SSL vor folosi HTTPS în loc de HTTP, ceea ce le face ușor de identificat.

Începeți să utilizați SSL pentru toate site-urile dvs. WordPress este acum mai ușor ca niciodată. Multe companii de găzduire oferă acum un certificat SSL gratuit pentru site-ul dvs. WordPress.

8. Schimbați numele de utilizator implicit „admin”.

Numele de utilizator implicit în WordPress este admin, iar mulți proprietari de site-uri web nu se obosesc niciodată să-l schimbe.

Ca urmare, atunci când hackerii inițiază un atac împotriva site-ului dvs., primul nume de utilizator pe care îl vor încerca este admin. Dacă acest nume este cunoscut, tot ce trebuie să facă acum este să ghicească doar parola.

Ca rezultat, ar trebui să evitați să utilizați acel nume de utilizator pentru site-ul dvs. WordPress.

9. Limitați încercările de conectare

WordPress permite utilizatorilor să încerce de un număr infinit de ori să se conecteze la site. Cu toate acestea, acesta este un semn bun pentru hackerii să-și facă drumul cu forța brută în sistem încercând mai multe combinații de parole până când o lovesc pe cea corectă.

Pentru a evita astfel de atacuri asupra site-ului web, este esențial să stabiliți o restricție asupra încercărilor eșuate de conectare. Limitarea încercărilor eșuate poate ajuta, de asemenea, la detectarea oricărei activități suspecte pe site-ul dvs.

Majoritatea utilizatorilor necesită doar o singură încercare sau câteva încercări nereușite; prin urmare, adresele IP suspecte care ating limita de încercare ar trebui evitate.

Utilizarea unui plugin este o metodă de a limita încercările de conectare și, prin urmare, de a crește securitatea WordPress. Puteți utiliza pluginul WordPress Login lockDown pentru aceasta.

10. Dezactivați editarea fișierelor

WordPress are un editor de cod încorporat care vă permite să vă schimbați tema și fișierele plugin direct din zona de administrare WordPress. Această caracteristică poate fi o problemă de securitate în mâinile greșite, motiv pentru care vă recomandăm să o dezactivați.

Puteți face acest lucru inserând următorul cod în fișierul wp-config.php . // Disallow file edit define( 'DISALLOW_FILE_EDIT', true );

11. Activați autentificarea cu doi factori

Metoda de autentificare cu doi factori necesită ca utilizatorii să se conecteze utilizând un proces de autentificare în doi pași.

Primul pas este să vă introduceți numele de utilizator și parola, iar al doilea este să vă autentificați folosind un alt dispozitiv sau aplicație.

Majoritatea platformelor online de top, cum ar fi Google, Facebook și Twitter, vă permit să îl activați pentru conturile dvs. Puteți include cu ușurință aceeași caracteristică în site-ul dvs. WordPress.

Puteți utiliza pluginurile WordPress Google Authenticator sau Two Factor Authentication pentru aceasta.

12. Schimbați prefixul implicit al bazei de date WordPress

Baza de date WordPress conține și păstrează toate informațiile necesare pentru funcționarea site-ului dvs.

Ca rezultat, hackerii folosesc de obicei atacuri de injectare SQL pentru a viza baza de date. Această metodă injectează malware în baza de date, permițând atacatorilor să ocolească securitatea WordPress și să obțină conținutul bazei de date.

Injecția SQL este utilizată în aproximativ jumătate din toate atacurile cibernetice, ceea ce o face una dintre cele mai critice amenințări.

Hackerii efectuează acest hack-out deoarece mulți utilizatori nu reușesc să schimbe prefixul implicit al bazei de date wp_ . De aceea vă recomandăm să-l schimbați.

13. Dezactivați indexarea și navigarea în directoare

Hackerii pot folosi navigarea în directoare pentru a vedea dacă aveți fișiere cu vulnerabilități cunoscute și apoi exploatează aceste fișiere pentru a obține acces.

Navigarea prin director poate fi folosită și de utilizator pentru a vă uita la fișierele dvs., pentru a copia imagini, pentru a afla structura dvs. de directoare și pentru a obține alte informații.

Drept urmare, este recomandat să dezactivați indexarea și navigarea în directoare.

Trebuie să vă conectați la site-ul dvs. prin FTP sau managerul de fișiere din cPanel. Apoi, în directorul rădăcină al site-ului dvs. web, căutați fișierul .htaccess .

Apoi, în partea de jos a fișierului .htaccess , adăugați următoarea linie:

Options -Indexes

Nu uitați să salvați și să încărcați fișierul .htaccess înapoi pe site-ul dvs.

14. Dezactivați XML-RPC

XML-RPC este activat implicit în WordPress 3.5, deoarece ajută la conectarea site-ului dvs. WordPress cu aplicații web și mobile.

Datorită naturii sale puternice, XML-RPC poate crește foarte mult atacurile cu forță brută.

De exemplu, dacă un hacker ar dori să încerce 100 de parole diferite pe site-ul dvs. web, ar trebui să facă 100 de încercări distincte de conectare, pe care pluginul de blocare a autentificării le-ar prinde și le-ar respinge.

Cu toate acestea, cu XML-RPC, un hacker poate folosi funcția system.multicall pentru a încerca mii de parole diferite cu doar 20 sau 50 de solicitări.

15. Deconectați automat utilizatorii inactivi

Mulți oameni uită să se deconecteze de pe site, iar sesiunile lor continuă să ruleze.

Ca urmare, altcineva care folosește același dispozitiv va putea să-și acceseze conturile de utilizator și poate să folosească greșit informațiile personale. Acest lucru este în special pentru acei oameni care folosesc computere publice în locuri precum internet cafe-uri sau biblioteci.

Prin urmare, este esențial să configurați site-ul dvs. WordPress astfel încât utilizatorii inactivi să fie imediat deconectați.

Majoritatea site-urilor bancare folosesc această strategie pentru a împiedica utilizatorii nedoriți să acceseze site-urile lor, asigurându-se că informațiile clienților lor sunt păstrate în siguranță.

Una dintre cele mai simple metode de deconectare automată a conturilor de utilizator inactive este utilizarea unui plugin de securitate WordPress, cum ar fi Deconectare inactivă. Pe lângă anularea utilizatorilor inactivi, acest plugin poate trimite un mesaj personalizat pentru a anunța utilizatorii inactivi că sesiunea lor pe site-ul lor este pe cale să expire.

16. Schimbați adresa URL a paginii de conectare WordPress

Pentru a face un pas mai departe pentru a vă proteja site-ul WordPress de atacuri cu forță brută, luați în considerare modificarea adresei URL a paginii de conectare.

Adresa URL implicită de conectare pentru toate site-urile WordPress este yourdomain.com/wp-admin . Hackerii vă pot viza cu ușurință pagina de conectare dacă utilizați adresa URL implicită de conectare.

Pluginurile precum WPS Ascundeți autentificarea și Schimbați autentificarea wp-admin permit setările personalizate ale adresei URL de conectare.

17. Ascundeți versiunea WordPress

Ascunde-ți versiunea WordPress aduce din nou subiectul securității WordPress prin obscuritate. Cu cât sunt mai puține persoane care știu despre configurarea site-ului dvs. WordPress, cu atât mai bine. Dacă hackerii văd că aveți o instalare WordPress învechită, acesta ar putea fi un indiciu bun.

Versiunea WordPress este afișată implicit în antetul codului sursă al site-ului dvs. Din nou, vă recomandăm să vă mențineți instalarea WordPress actualizată în orice moment, astfel încât să nu vă faceți griji.

Puteți folosi următorul cod pentru a elimina versiunea WordPress. Pur și simplu adăugați-l în fișierul functions.php al temei dvs. WordPress. function hide_wp_version() { return ''; } add_filter('the_generator', 'hide_wp_version');

18. Actualizați la cea mai recentă versiune de PHP

Actualizarea la cea mai recentă versiune de PHP este unul dintre cele mai importante lucruri pe care le puteți face pentru a vă menține site-ul WordPress în siguranță.

Când o actualizare este gata, WordPress vă va informa prin intermediul tabloului de bord. Apoi vă va redirecționa către contul dvs. de găzduire, unde puteți face upgrade la cea mai recentă versiune PHP.

Dacă nu știți cum să vă actualizați contul de găzduire, contactați dezvoltatorul web.

19. Efectuați scanări de securitate regulate

Dacă utilizați un plugin de securitate WordPress, acesta va scana site-ul dvs. pentru malware și semnale de încălcare a securității în mod regulat.

Cu toate acestea, dacă observați o scădere masivă a traficului site-ului sau a clasamentelor de căutare, ar trebui să efectuați manual o scanare. Puteți utiliza pluginul dvs. de securitate WordPress sau puteți utiliza unele instrumente online precum Sucuri SiteCheck sau IsItWP Security Scanner pentru aceasta.

Rularea acestor instrumente de scanare online este simplă. Pur și simplu introduceți adresele URL ale site-ului dvs. web, iar crawlerele acestora vor trece prin site-ul dvs. în căutarea de viruși cunoscuți și cod dăunător.

Amintiți-vă că majoritatea scanerelor de securitate WordPress vă pot scana doar site-ul. Ei nu pot elimina programele malware sau curăță un site WordPress piratat.

20. Eliminați pluginurile și temele WordPress neutilizate

Să ai pluginuri și teme neutilizate pe site-ul tău ar putea fi periculos, mai ales dacă acestea nu au fost actualizate.

Hackerii pot folosi pluginuri și teme învechite pentru a avea acces la site-ul dvs., crescând riscul atacurilor cibernetice.

21. Utilizați tema WordPress sigură

Temele WordPress anulate sunt copii ilegale ale temelor premium originale. De cele mai multe ori, aceste teme sunt vândute la un preț mai mic pentru a atrage utilizatori. Cu toate acestea, uneori au mai multe probleme de securitate.

Deoarece temele anulate sunt lansate ilegal, utilizatorii lor nu primesc ajutor de la dezvoltator. Aceasta înseamnă că, dacă site-ul dvs. are probleme, va trebui să aflați cum să le rezolvați și să vă asigurați singur site-ul WordPress.

Pentru a evita să deveniți o țintă a hackerilor, vă sugerăm să utilizați o temă WordPress din depozitul oficial sau de la un dezvoltator reputat. Alternativ, puteți căuta teme de la terțe părți pe piețele tematice oficiale, cum ar fi ThemeForest, care are sute de teme premium WordPress.

Securitatea site-ului WordPress: gândire finală

WordPress este un sistem popular și robust de gestionare a conținutului, care simplifică crearea unui site web pentru oricine. Cu toate acestea, deoarece este utilizat pe scară largă, a devenit o țintă populară pentru hackeri.

Din fericire, există câțiva pași pe care îi puteți face pentru a vă securiza site-ul WordPress. Cu toate acestea, rețineți că nu trebuie să faceți tot ce este enumerat mai sus. Dacă urmați cele mai bune practici de bază, veți fi cu mult înaintea concurenței.

După aceea, fă ce poți și simți-te capabil să faci. Securitatea este un efort continuu, nu un eveniment unic. Poți oricând să faci mai mult, dar a începe este lucrul esențial.

Asta e tot; sperăm că postarea noastră v-a ajutat să aflați cele mai bune sfaturi de securitate WordPress pentru a vă securiza site-ul WordPress. Dacă ți-a plăcut această postare, s-ar putea să vrei să citești și:

• Cele mai bune pluginuri de securitate WordPress pentru a vă proteja site-ul
• Sfaturi SEO WordPress pentru a vă îmbunătăți clasamentul SEO
• Cum să accelerezi un site web WordPress în 2022