Zabezpečenie: ochrana prihlásenia, dvojstupňové prihlásenie a sprísnenie
Karta Zabezpečenie (Baza Helper > Zabezpečenie) zoskupuje nastavenia, ktoré sťažujú útok na web WordPress. Každé je prepínač, takže zapnete len to, čo potrebujete. Navrchu karta Kontroly kontroluje HTTPS, používateľa admin, súbory readme a license, WP_DEBUG_DISPLAY a verziu PHP.
Ochrana prihlásenia
- Zablokovať adresu po príliš veľa neúspešných prihláseniach: nastavte Povolený počet neúspešných pokusov a Zablokovať na (minúty).
- Hlásiť iba „používateľské meno alebo heslo je nesprávne“: jedna všeobecná chyba, aby útočníci nezistili, ktoré používateľské mená existujú.
- Odmietnuť nové účty s názvom admin, root, test a podobne.
- Web je za proxy alebo CDN: číta adresu návštevníka z hlavičky proxy. Zapnite to len vtedy, ak je web naozaj za proxy, napríklad Cloudflare, inak by sa návštevníci mohli vydávať za iných.
Zablokované adresy uvádza posledných 50 zámkov so zostávajúcim časom. Odblokovať všetky ich zruší.
Dvojstupňové prihlásenie
Zapnite Pri prihlásení vyžadovať overovací kód a uložte. Potom si každý nastaví vlastný účet; účty, ktoré to neurobili, sa na kód nepýtajú. Funguje s ľubovoľnou autentifikačnou aplikáciou, napríklad Google Authenticator, Microsoft Authenticator, 1Password alebo Authy.
- Stlačte Nastaviť pre môj účet.
- Otvorte odkaz v telefóne cez Otvoriť v autentifikačnej aplikácii alebo zadajte kľúč ručne (založený na čase).
- Zadajte 6-miestny kód a stlačte Potvrdiť a zapnúť.
- Uložte si záložné kódy. Zobrazia sa raz a každý funguje raz, ak stratíte telefón.
Vypnúť pre môj účet zruší požiadavku pre vás. Ak stratíte telefón aj záložné kódy, pridajte define( 'BAZA_HELPER_TWOFA_OFF', true ); do wp-config.php, prihláste sa a riadok potom odstráňte.
Súkromná prihlasovacia adresa
Napíšte slovo do poľa Súkromné slovo pre prihlasovaciu adresu a uložte. Odvtedy wp-login.php a wp-admin ukazujú neprihláseným 404 a vy sa prihlasujete na novej adrese, ktorá je zobrazená pod poľom. Novú adresu si niekam uložte, skôr než stránku opustíte. Ak sa zamknete, pridajte define( 'BAZA_HELPER_LOGIN_URL_OFF', true ); do wp-config.php a bežná adresa bude opäť fungovať.
Sprísnenie
- Skryť verziu WordPressu v značke generator aj v adresách zdrojov.
- Vypnúť XML-RPC.
- Vypnúť editor súborov tém a doplnkov.
- Zastaviť skenovanie používateľských mien: presmerovanie
?author=, zoznam používateľov REST pre hostí a sitemap používateľov. - Odstrániť readme.html a license.txt z koreňového adresára. Zobrazujú verziu WordPressu a po každej aktualizácii jadra sa odstránia znova.
- Vypnúť kanály RSS a Atom. Návštevníci budú presmerovaní na úvodnú stránku.
- Nespúšťať skripty z priečinka uploads a skryť zoznam jeho súborov. Zapíše označený blok do uploads/.htaccess a funguje na Apache a LiteSpeed. Na Nginx pridajte rovnocenné pravidlo do konfigurácie servera.
Komentáre
Vypnúť komentáre a pingbacky na celom webe zatvorí komentáre pri všetkých typoch príspevkov, odstráni formulár a zoznam komentárov, menu Komentáre a nastavenia diskusie v administrácii, bublinu v administračnej lište, widget najnovších komentárov a kanály komentárov. Uložené komentáre zostanú a vrátia sa, ak prepínač vypnete. Recenzie produktov sú tiež komentáre, takže sa tiež zastavia.
Bezpečnostné hlavičky
- X-Content-Type-Options: nosniff
- Referrer-Policy: strict-origin-when-cross-origin
- X-Frame-Options: SAMEORIGIN, aby iné weby nemohli vložiť váš web do rámca
- Permissions-Policy: bez kamery, mikrofónu a platobnej požiadavky
Po incidente
Odhlásiť všetkých ostatných používateľov okamžite ukončí všetky ostatné relácie a títo používatelia sa musia prihlásiť znova. Vaša vlastná relácia zostane.
