Безпека: захист входу, двоетапний вхід і зміцнення сайту

Вкладка Безпека (Baza Helper > Безпека) об’єднує налаштування, що ускладнюють атаку на сайт WordPress. Кожне з них є перемикачем, тож вмикайте лише потрібне. Угорі картка Перевірки перевіряє HTTPS, користувача admin, файли readme і license, WP_DEBUG_DISPLAY та версію PHP.

Захист входу

• Блокувати адресу після забагатьох невдалих входів: задайте Дозволено невдалих спроб і Блокувати на (хвилин).
• Показувати лише “неправильне ім’я користувача або пароль”: одна загальна помилка, щоб зловмисники не могли дізнатися, які імена користувачів існують.
• Не дозволяти нові облікові записи з іменами admin, root, test тощо.
• Сайт працює за проксі або CDN: бере адресу відвідувача із заголовка проксі. Вмикайте лише тоді, коли сайт справді стоїть за проксі, наприклад Cloudflare, інакше відвідувачі можуть видавати себе за інших.

Заблоковані адреси показує останні 50 блокувань із часом, що залишився. Розблокувати всі знімає їх.

Двоетапний вхід

Увімкніть Запитувати код підтвердження під час входу і збережіть. Після цього кожна людина налаштовує власний обліковий запис; у тих, хто цього не зробив, код не запитується. Працює з будь-яким застосунком-автентифікатором, наприклад Google Authenticator, Microsoft Authenticator, 1Password або Authy.

1. Натисніть Налаштувати для мого облікового запису.
2. Відкрийте посилання на телефоні через Відкрити в застосунку-автентифікаторі або введіть ключ вручну (на основі часу).
3. Введіть 6-значний код і натисніть Підтвердити й увімкнути.
4. Збережіть резервні коди. Вони показуються один раз, і кожен працює один раз, якщо ви втратите телефон.

Вимкнути для мого облікового запису знімає вимогу для вас. Якщо ви втратили і телефон, і резервні коди, додайте define( 'BAZA_HELPER_TWOFA_OFF', true ); у wp-config.php, увійдіть і потім приберіть цей рядок.

Приватна адреса входу

Введіть слово в полі Приватне слово для адреси входу і збережіть. Відтепер wp-login.php і wp-admin показують 404 тим, хто не ввійшов, а ви входите за новою адресою, яка показана під полем. Збережіть нову адресу десь, перш ніж залишити сторінку. Якщо ви заблокували себе, додайте define( 'BAZA_HELPER_LOGIN_URL_OFF', true ); у wp-config.php, і звичайна адреса знову працюватиме.

Зміцнення

• Приховати версію WordPress у тезі generator та в адресах ресурсів.
• Вимкнути XML-RPC.
• Вимкнути редактор файлів тем і плагінів.
• Зупинити сканування імен користувачів: перенаправлення ?author=, список користувачів REST для гостей і карта сайту користувачів.
• Видалити readme.html і license.txt з кореня сайту. Вони показують версію WordPress і видаляються знову після кожного оновлення ядра.
• Вимкнути канали RSS і Atom. Відвідувачі потрапляють на головну сторінку.
• Не виконувати скрипти з папки uploads і приховати список її файлів. Це записує позначений блок в uploads/.htaccess і працює на Apache та LiteSpeed. На Nginx додайте рівноцінне правило в конфігурацію сервера.

Коментарі

Вимкнути коментарі та пінгбеки на всьому сайті закриває коментарі для всіх типів записів, прибирає форму й список коментарів, меню «Коментарі» та налаштування обговорень в адмінці, значок на панелі адміністратора, віджет останніх коментарів і канали коментарів. Збережені коментарі залишаються й повертаються, якщо вимкнути перемикач. Відгуки про товари теж є коментарями, тому вони також зупиняються.

Заголовки безпеки

• X-Content-Type-Options: nosniff
• Referrer-Policy: strict-origin-when-cross-origin
• X-Frame-Options: SAMEORIGIN, щоб інші сайти не могли вбудувати ваш у frame
• Permissions-Policy: без камери, мікрофона чи запиту платежу

Після інциденту

Вивести всіх інших користувачів одразу завершує всі інші сеанси, і ці користувачі мають увійти знову. Ваш власний сеанс залишається.