Bezpieczeństwo: ochrona logowania, logowanie dwuetapowe i utwardzanie
Zakładka Bezpieczeństwo (Baza Helper > Bezpieczeństwo) zbiera ustawienia, które utrudniają atak na stronę WordPress. Każde jest przełącznikiem, więc włączasz tylko to, czego potrzebujesz. Na górze karta Kontrole sprawdza HTTPS, użytkownika admin, pliki readme i license, WP_DEBUG_DISPLAY oraz wersję PHP.
Ochrona logowania
- Blokuj adres po zbyt wielu nieudanych logowaniach: ustaw Dozwolone nieudane próby i Blokuj na (minuty).
- Pokazuj tylko „nazwa użytkownika lub hasło jest nieprawidłowe”: jeden ogólny błąd, aby atakujący nie dowiedzieli się, jakie nazwy użytkowników istnieją.
- Odrzucaj nowe konta o nazwach admin, root, test i podobnych.
- Witryna działa za proxy lub CDN: odczytuje adres odwiedzającego z nagłówka proxy. Włącz tylko wtedy, gdy strona naprawdę stoi za proxy, takim jak Cloudflare, inaczej odwiedzający mogliby podszywać się pod innych.
Zablokowane adresy wymienia ostatnie 50 blokad z pozostałym czasem. Odblokuj wszystkie je zdejmuje.
Logowanie dwuetapowe
Włącz Wymagaj kodu weryfikacyjnego przy logowaniu i zapisz. Potem każda osoba konfiguruje własne konto; konta, które tego nie zrobiły, nie są pytane o kod. Działa z każdą aplikacją uwierzytelniającą, na przykład Google Authenticator, Microsoft Authenticator, 1Password lub Authy.
- Kliknij Skonfiguruj dla mojego konta.
- Otwórz link na telefonie przez Otwórz w aplikacji uwierzytelniającej albo wpisz klucz ręcznie (oparty na czasie).
- Wpisz 6-cyfrowy kod i kliknij Potwierdź i włącz.
- Zapisz kody zapasowe. Są pokazywane raz, a każdy działa jeden raz, jeśli zgubisz telefon.
Wyłącz dla mojego konta zdejmuje wymóg dla Ciebie. Jeśli zgubisz telefon i kody zapasowe, dodaj define( 'BAZA_HELPER_TWOFA_OFF', true ); do wp-config.php, zaloguj się i potem usuń ten wiersz.
Prywatny adres logowania
Wpisz słowo w polu Prywatne słowo dla adresu logowania i zapisz. Od tej chwili wp-login.php i wp-admin pokazują 404 osobom niezalogowanym, a Ty logujesz się pod nowym adresem, który widać pod polem. Zapisz nowy adres gdzieś, zanim opuścisz stronę. Jeśli zablokujesz sam siebie, dodaj define( 'BAZA_HELPER_LOGIN_URL_OFF', true ); do wp-config.php, a zwykły adres znów będzie działać.
Utwardzanie
- Ukryj wersję WordPress w znaczniku generator i w adresach zasobów.
- Wyłącz XML-RPC.
- Wyłącz edytor plików motywów i wtyczek.
- Zatrzymaj skanowanie nazw użytkowników: przekierowanie
?author=, listę użytkowników REST dla gości i mapę witryny użytkowników. - Usuń readme.html i license.txt z katalogu głównego. Pokazują wersję WordPress i są usuwane ponownie po każdej aktualizacji rdzenia.
- Wyłącz kanały RSS i Atom. Odwiedzający trafiają na stronę główną.
- Nie uruchamiaj skryptów z folderu uploads i ukryj listę jego plików. Zapisuje oznaczony blok w uploads/.htaccess i działa na Apache i LiteSpeed. Na Nginx dodaj równoważną regułę do konfiguracji serwera.
Komentarze
Wyłącz komentarze i pingbacki w całej witrynie zamyka komentarze we wszystkich typach wpisów, usuwa formularz i listę komentarzy, menu „Komentarze” i ustawienia dyskusji w panelu, dymek na pasku administratora, widżet najnowszych komentarzy i kanały komentarzy. Zapisane komentarze zostają i wracają, gdy wyłączysz przełącznik. Opinie o produktach to też komentarze, więc również się zatrzymują.
Nagłówki bezpieczeństwa
- X-Content-Type-Options: nosniff
- Referrer-Policy: strict-origin-when-cross-origin
- X-Frame-Options: SAMEORIGIN, aby inne witryny nie mogły osadzać Twojej w ramce
- Permissions-Policy: bez kamery, mikrofonu i żądań płatności
Po incydencie
Wyloguj wszystkich pozostałych użytkowników natychmiast kończy wszystkie pozostałe sesje, a ci użytkownicy muszą zalogować się ponownie. Twoja własna sesja zostaje.
