Безопасность: защита входа, двухэтапный вход и укрепление сайта

Вкладка Безопасность (Baza Helper > Безопасность) объединяет настройки, затрудняющие атаку на сайт WordPress. Каждая из них это переключатель, поэтому включайте только нужное. Вверху карточка Проверки проверяет HTTPS, пользователя admin, файлы readme и license, WP_DEBUG_DISPLAY и версию PHP.

Защита входа

• Блокировать адрес после слишком многих неудачных входов: задайте Допустимо неудачных попыток и Блокировать на (минут).
• Сообщать только «неверное имя пользователя или пароль»: одна общая ошибка, чтобы злоумышленники не могли узнать, какие имена пользователей существуют.
• Отклонять новые учётные записи с именами admin, root, test и подобными.
• Сайт находится за прокси или CDN: берёт адрес посетителя из заголовка прокси. Включайте только если сайт действительно стоит за прокси, например Cloudflare, иначе посетители смогут выдавать себя за других.

Заблокированные адреса показывает последние 50 блокировок с оставшимся временем. Разблокировать все снимает их.

Двухэтапный вход

Включите Запрашивать код подтверждения при входе и сохраните. После этого каждый человек настраивает собственную учётную запись; у тех, кто этого не сделал, код не запрашивается. Работает с любым приложением-аутентификатором, например Google Authenticator, Microsoft Authenticator, 1Password или Authy.

1. Нажмите Настроить для моей учётной записи.
2. Откройте ссылку на телефоне через Открыть в приложении-аутентификаторе или введите ключ вручную (на основе времени).
3. Введите 6-значный код и нажмите Подтвердить и включить.
4. Сохраните резервные коды. Они показываются один раз, и каждый работает один раз, если вы потеряете телефон.

Выключить для моей учётной записи снимает требование для вас. Если вы потеряли и телефон, и резервные коды, добавьте define( 'BAZA_HELPER_TWOFA_OFF', true ); в wp-config.php, войдите и затем уберите эту строку.

Приватный адрес входа

Введите слово в поле Закрытое слово для адреса входа и сохраните. Отныне wp-login.php и wp-admin показывают 404 тем, кто не вошёл, а вы входите по новому адресу, который показан под полем. Сохраните новый адрес где-нибудь, прежде чем покинуть страницу. Если вы заблокировали себя, добавьте define( 'BAZA_HELPER_LOGIN_URL_OFF', true ); в wp-config.php, и обычный адрес снова заработает.

Укрепление

• Скрывать версию WordPress в теге generator и в адресах ресурсов.
• Отключить XML-RPC.
• Отключить редактор файлов тем и плагинов.
• Блокировать сканирование имён пользователей: перенаправление ?author=, список пользователей REST для гостей и карта сайта пользователей.
• Удалить readme.html и license.txt из корня сайта. Они показывают версию WordPress и удаляются снова после каждого обновления ядра.
• Отключить RSS- и Atom-ленты. Посетители попадают на главную страницу.
• Не выполнять скрипты из папки uploads и скрыть список её файлов. Это записывает помеченный блок в uploads/.htaccess и работает на Apache и LiteSpeed. На Nginx добавьте равнозначное правило в конфигурацию сервера.

Комментарии

Отключить комментарии и пингбэки на всём сайте закрывает комментарии для всех типов записей, убирает форму и список комментариев, меню «Комментарии» и настройки обсуждения в админке, значок на панели администратора, виджет последних комментариев и ленты комментариев. Сохранённые комментарии остаются и возвращаются, если выключить переключатель. Отзывы о товарах тоже являются комментариями, поэтому они тоже останавливаются.

Заголовки безопасности

• X-Content-Type-Options: nosniff
• Referrer-Policy: strict-origin-when-cross-origin
• X-Frame-Options: SAMEORIGIN, чтобы другие сайты не могли встроить ваш во фрейм
• Permissions-Policy: без камеры, микрофона и платёжных запросов

После инцидента

Выйти из системы всем остальным пользователям сразу завершает все остальные сеансы, и эти пользователи должны войти снова. Ваш собственный сеанс остаётся.