Как защитить свой блог на wordpress. Создаем блог на Wordpress. Делайте резервное копирование базы данных и файлов
Здравствуйте читатели и посетители блога сайт!
В этой статье отведу особое место очень важной теме. Сегодня буду рассказывать о том, как защитить свой блог под управлением популярной от взлома недоброжелателей.
Как защитить wordpress от взлома? В чём заключается ?
Нужна ли Вам защита wordpress?
Согласно статистике, основная масса начинающих вебмастеров даже не думают об этом. , сайты, нашпиговывают их плагинами, пишут кучу статей.
Озарение наступает позже, когда их драгоценный раскрученный ресурс с хорошей посещаемостью просто взламывают злоумышленники.
Цель у взломщиков может быть разная: от размещения на Вашем блоге различной рекламы до полного присвоения блога себе или полного удаления.
И если Вы читали внимательно мою предыдущую статью о том, и уже применяете эти знания на практике, то Вы будите в выигрыше. Вы всегда сможете его восстановить.
Однако, зачем тратить свое драгоценное время на восстановление своего ресурса, когда его можно просто заранее обезопасить. Сэкономленное время и нервы Вы сможете направить на , оптимизации блога или изучения новой и полезной информации. Это будет намного эффективнее.
Так что советую Вам изучить данную статью и сразу же применить полученные знания по защите WordPress на практике.
В том случае если у Вас молодой блог, и Вы считаете, что никто не будет его взламывать, то может Вы и правы.
Но ведь когда то он будет более узнаваем и посетителей станет больше. Он окажется лакомым куском для взломщиков. Это может произойти в любой день, поэтому предлагаю Вам сейчас же, без отлагательств обезопасить свой блог.
Методики, которые я буду описывать, просты в применении и эффективны. Все описанные способы опробованы мной на практике, действуют и дали положительный результат.
Какова же реальная ? Итак, начнем.
Способы защиты wordpress от злоумышленников
1. Измените стандартный логин в WordPress на свой .
По умолчанию WordPress предлагает Вам для авторизации в системе логин admin, который нельзя изменить в самой административной панеле блога. Вам нужно его изменить на любой другой.
Для этого необходимо войти в панель управления вашего хостинг-провайдера, кликнуть по вкладке Mysql и затем зайти в Php My Admin. Логин и пароль для входа предоставляет .
При входе на главной странице в левой колонке кликаем по . Нам откроется список всех таблиц нашей базы. Нажимаем на пункт под названием wp_users. Обратите внимание на верхнюю панель Php My Admin- должна быть открыта вкладка «Обзор»!
После этого в строке админ нажимаем на Изменить и в появившемся полях меняем логин admin в двух местах на свой.
Не забудьте после этого нажать кнопку Ок, которая находится в нижней части таблицы(на скриншоте не указана):
2. Придумайте и создайте надежный пароль для входа в админку сайта .
Стоит заметить, что существуют различные плагины, которые ограничивают попытки ввода пароля в админку. Например не более трех раз. После этого они блокируют доступ на определенное время.
Один из таких плагинов Login LockDown или Limit Login Attempts.
Однако, постоянные читатели моего блога знают, что я не люблю плагины из-за того, что в них много лишнего, они дополнительно и созданы незнакомыми мне людьми.
Я всеми силами стараюсь заменять кодами на своем блоге и Вам советую поступать также. Хотя выбор каждый делает сам.
Вместо этих плагинов, я предлагаю придумать надёжный пароль к админке сайта, состоящий из цифр, букв и знаков препинания.
У меня, например, пароль к админке состоит из более чем 20 знаков. Так будет надежнее. Поменять пароль проще простого. Вы можете это осуществить в админпанеле своего блога.
Зайдите в меню админки слева во вкладку Пользователи и в выпадающем списке выберите пункт Ваш профиль:
Опуститесь вниз этой страницы и найдите раздел Обо мне. Там будет два поля: Новый пароль и Повторите новый пароль. В этих полях введите свой пароль и не забудьте внизу нажать кнопку Обновить профиль. Вот и всё.
3. Удалите ненужные файлы .
В корне Вашего сайта есть два файла readme.html и license.txt. Они Вам не пригодятся, однако для взломщиков будут весьма полезны.
Они, как раз сообщат нехорошим парням версию Вашей системы WordPress и много другой нужной им информации для взлома.
Также зайдите в админпанель в меню слева во вкладку Внешний вид и в выпадающем списке выберите Редактори откройте файл header.php.
С помощью поиска найдите строчку:
и удалите ее. Она показывает версию Вашей системы WordPress.
Вызвать поиск можно нажав две клавиши Ctrl+F. Откроется окошко поиска. Вот туда и нужно ввести эту строку. Затем нажать Enter.
Если похожая комбинация есть в коде файла, она подсветится. Если такой строчки нет, будет написано: Ничего не найдено. В таком случае можете успокоиться. Ничего делать не нужно
4. Делайте резервное копирование базы данных и файлов
Хочу только уточнить, что я уже не пользуюсь плагином wordpress database backup, а копирую базу данных вручную с Php MyAdmin.
Автоматизация конечно хорошо, но безопасность важнее. Мне не составляет труда потратить 2-3 минуты на копирование базы. Себе я больше доверяю, нежели плагину.
Надеюсь Вы сможете экспортировать свою базу данных из Php на свой компьютер. Если не знаете как это сделать-задавайте вопросы, помогу!
5. Закройте обзор своих директорий.
Зайдите в файл.htaccess в корне Вашего сайта через Фтп-клиент. Подробно как это осуществить, читайте ту же статью о Резервном копировании сайта.
И пропишите дополнительную строку:
Options All -IndexesЭта команда позволит закрыть обзор директорий.
Затем проверьте директории:
1. http://ваш блог/wp-content/ 2. http://ваш блог/wp-content/plugins/Пропишите их поочерёдно в адресную строку браузера. После их открытия в браузере не должно быть видно файлов и папок этих директорий.
Если что-то есть, то необходимо исправить ситуацию. Откройте их через Фтп клиент и отредактируйте.
Для этого создайте в каждом из директорий пустой файл index.php. Это простой текстовый файл с расширением.php. Создайте его с помощью Блокнота или Notepad++ и закачайте в директории на сервер.
После нововведений, при открытии каждой из директорий через браузер, должна появляться пустая страница!
6. Смените стандартную страницу входа в админпанель.
В настоящее время участились атаки мошенников по подбору логина и пароля к панели администрирования системы wordpress. Нехорошие парни используют десятки тысяч IP- адресов!
Эта стратегия дает им огромное преимущество. Мы уже ранее поменяли стандартный логин и придумали надежный пароль к своей админпанеле.
Ну а теперь зададим еще одну задачу для хакеров — отыскать наш адрес входа в панель администрирования.
Стандартный адрес страницы входа в панель WordPress: ваш блог/wp-login.php или ваш блог/wp-admin . Мы создадим сейчас свой адрес входа.
Опять же можно это сделать проще- с помощью плагинов, но это не для меня. Тяга к программированию и различным экспериментам не даст мне воспользоваться ими.
Итак, как же изменить адрес входа в админку WordPress вручную? Найдите файл wp-login.php в корневой папке блога.
Осуществляйте все действия по порядку:
- Измените название самого файла wp-login.php на любое другое(например, open.php)
- Скопируйте это название в буфер проводника и откройте переименованный файл open.php и с помощью текстового редактора Notepad ++ замените все слова wp-login.php на open.php.
- Затем откройте другой файл wp-includes/general-template.php и замените все wp-login.php на open.php.
После таких операций адресная строка входа в админпанель сменится с http://ваш блог/wp-login.php на http://ваш блог/open.php
И ещё хочу напомнить, что если Вы до сих пор пользуетесь стандартным виджетом «Мета» - то удалите его, потому как при наведении на эту ссылочку «Войти» виден адрес страницы входа, а значит все усилия по изменению адреса входа напрасны.
Но это ещё не всё. Вы поменяете адрес входа в админку, но нсли мошенник введёт в адресную строку http://ваш блог/wp-admin, то его перенаправит (осуществится редирект) на тот адрес входа в админ-панель, который Вы создали.
Поэтому нам нужно сделать редирект с http://ваш блог/wp-admin на гланую страницу Вашего блога. Читайте далее.
7.Сделайте редирект с wp-admin на Ваш блог.
Сделать это не сложно. Откройте в панели администрирования слева в меню Внешний вид, затем выберите Редактор. Выберите файл для редактирования. В данном случае нас интересует файл Функции темы (functions.php)
Между и ?> Вам нужно вставить следующий код:
add_action("init", "blockusers_init"); function blockusers_init() { if (is_admin() && ! current_user_can("administrator") && ! (defined("DOING_AJAX") && DOING_AJAX)) { wp_redirect(home_url()); exit; } }Потом просто нажмите внизу кнопку «Обновить файл». Вот и всё. Редирект мы сделали.
- проверьте все установленные плагины и удалите неиспользуемые;
- сразу же и плагинов как только приходит информация об обновлении;
- создайте сложный пароль на панель управления хостингом и базу данных;
- закачивайте файлы на сервер только через панель управления и Php My Admin, а не через Фтп-клиенты;
И ещё одна полезная рекомендация. Если Вы считаете, что не справитесь с этим и Вам нужна помощь в защите своего ресурса, то пишите на почту суперпрограммисту, моему партнёру и просто отличному специалисту — Дмитрию Горунину: [email protected]
Ну вот в принципе и всё! Надеюсь был полезен. До встречи в новых статьях!
Не забудьте подисаться на обновления сайта внизу этой статьи, чтобы не пропустить полезную информацию.
- Перевод
Административная зона любого веб-приложения давно стала излюбленной мишенью для хакеров и её безопасность чрезвычайно заботит разработчиков. Это касается и WordPress - при сустановке нового блога система создает аккаунт администратора с уникальным случайно сгенерированным в реальном времени паролем, чем блокирует всеобщий доступ к настройкам системы, контролируя его c помощью страницы авторизации.
Эта статья сфокусирована на вопросах усиления безопасности WordPress - как административной панели, так и настроек блога, подразумевая все содержимое папки «wp-admin» , которое отображается только после авторизации . Мы сознательно выделили фразу "после авторизации " - вы должны четко осознавать, что только один простой запрос отделяет «злого хакера» и админку всего вашего блога или сайта! А последняя защищена настолько сильно, насколько мощный пароль вы выбрали.
Чтобы в разы усложнить задачу взломщиков, мы предлагаем набор операций, которые вы можете выполнить вручную. Эти решения не гарантируют 100% защиту, но с их помощью вы заметно улучшите безопасность вашего блога.
1. Переименуйте папку wordpress.
Начиная с версии 2.6, стало возможным изменять путь к папке wp-content . К сожалению это до сих пор неприменимо к папке wp-admin . Думающие о безопасности блоггеры смирились с этим и стали надеяться, что это станет возможным в будущих версиях. Пока этого не случилось, предлагаем воспользоваться следующим альтернативным решением проблемы. После распаковки архива с файлами WordPress, вы увидите папку «WordPress» - переименуйте папку (в идеале во что-то непонятное вроде " wordpress_live_Ts6K" ) и после этого настройте соответственным образом файл wp-config.php , который находится в корневой директории.Что нам даст это изменение?
- Во-первых, все файлы WordPress не будут смешаны с другими файлами в корне сайта, таким образом мы повысим ясность корневого уровня.
- Во-вторых, множество копий WordPress может быть установлено параллельно в папки с разными именами, исключая их взаимодействие, что делает это идеальным для тестирования
- Третье преимущество напрямую касается безопасности: административная зона (и весь блог в целом) больше не находится в корневой папке и для проведения каких-либо действий по взлому сначала ее нужно будет найти. Это проблемно для людей, но что касается ботов - вопрос времени.
Несколько установленных версий в root-каталоге - это возможно!
Примечание: Если системные файлы WordPress больше не в корневой директории, и имя папки инсталяции изменено в соответствии с рекомендациями, описанными выше, блог будет все равно доступен по адресу wp-config.ru . Почему? Зайдите в раздел «Общие настройки (General settings)» вашего блога и введите в поле «WordPress address (URL)» реальный адрес блога на сервере, как показано в примере:
Адрес блога должен быть красивым и ненавязчивым
Это позволит блогу отображаться по красивому виртуальному адресу.
2. Усовершенствуйте файл wp-config.php
Конфигурационный файл WordPress wp-config.php содержит в себе некоторые настройки сайта и информацию для доступа к базе данных. Также там другие настройки, касающиеся безопасности (они представлены в списке ниже). Если таких значений в этом файле нет, или же имеются только установленные по умолчанию, вам необходимо, соответственно, добавить или изменить их:- Ключи безопасности: начиная с версии 2.7, в WordPress есть четыре ключа безопасности, которые должны быть правильно установлены. WordPress спасает вас от необходимости выдумывать эти строки самому, автоматически генерируя правильные ключи с точки зрения безопасности. Вам просто нужно вставить ключи в соответствующие строки файла wp-config.php. Эти ключи являются обязательными для обеспечения безопасности вашего блога.
- Префикс таблицы заново установленного WordPress блога не должен быть стандартным «wp_» Чем больее сложным будет значение префикса, тем менее вероятна возможность несанкционированного доступа к таблицам вашей MySQL базы данных. Плохо: $table_prefix = "wp_"; . Намного лучше: $table_prefix = "wp4FZ52Y_"; Не стоит бояться забыть это значение - вам необходимо ввести его только один раз, больше оно вам не понадобится.
- Если у вас на сервере доступно SSL шифрование , рекомендуется включить его для защиты административной зоны. Это можно сделать, добавив следующую команду в файл wp-config.php: define("FORCE_SSL_ADMIN", true);
Не пренебрегайте установкой правильных ключей безопасности!
3. Переместите файл wp-config.php
Также начиная с версии 2.6, WordPress позволяет перемещать файл wp-config.php на высший уровень. По причине того, что этот файл содержит в себе намного более важную информацию, чем какой либо другой, и потому что всегда намного сложнее получить доступ к корневой папке сервера, имеет смысл хранить его не в той же директории, где и остальные файлы. WortdPress автоматически обратится к высшей папке в поиске файла wp-config.php . Любые попытки пользователей самим настроить путь бесполезны.4. Защитите файл wp-config.php
Не все ISP серверы позволят вам передавать данные на более высокие уровни, чем корневая директория. Другими словами, не у всех хватит прав для осуществления предыдущего шага. Или по другим причинам: например, если у вас несколько блогов, при определенной структуре папок у вас не получится положить в корень все файлы, так как их имена будут совпадать для каждого из блогов. В этом случае мы можем запретить доступ к файлу wp-config.php извне при помощи файла .htaccess . Вот код для этого:
# protect wpconfig.php
Очень важно убедиться, что файл .htaccess находится в той же директории что и файл wp-config.php .
5. Удалите учетную запись администратора.
Во время процесса установки WordPress создает учетную запись администратора с ником «admin» по умолчанию. С одной стороны это вполне логично, с другой - пользователь с известным ником, т.е. ID - 1, обладающий административными правами, является вполне предсказуемой мишенью для хакеров с их программами подбора паролей. Отсюда следует наш совет:- Создайте еще одного пользователя с административными правами и вашим ником.
- Завершите сеанс работы.
- Залогиньтесь под новым аккаунтом.
- Удалите учетную запись "admin ".
Примечание: В идеале желательно чтобы логин нового пользователя отличался от отображаемого имени пользователя в постах, чтобы никто не узнал ваш логин.
6. Выберите сильный пароль.
Вероятность и частота потенциальных атак прямо зависит от популярности блога. И желательно до этого момента быть уверенным, что в вашем сайте не осталось слабых звеньев в цепи безопасности.Чаще всего именно пароли являются самым слабым звеном в этой цепи. Почему? Способы выбора пароля у большинства пользователей зачастую необдуманны и беспечны. Многие проведенные исследования показали, что большинство паролей - односложные существующие слова, набранные строчными буквами, которые не сложно подобрать. В программах подбора паролей существуют даже списки самых часто используемых паролей.
В WordPress реализован интуитивно понятный индикатор стойкости набираемого пароля, который показывает цветом его уровень сложности:
7. Защитите папку «wp-admin».
Следуя пословице «две головы лучше одной», существует способ вдвое усилить защиту административной зоны. Защита регулируется файлом .htaccess , который должен находится в папке «wp-admin» вместе с файлом .htpasswd , который хранит логин и пароль пользователя. После обращения к папке, вам нужно будет ввести логин и пароль, но разница в том, что в этом случае авторизация контролируется на стороне сервера, а не силами самого WordPress.Для того чтобы просто и быстро сгенерировать файлы .htaccess и .htpasswd , воспользуйтесь этим сервисом .
8. Запретите отображение ошибок на странице авторизации.
Страница авторизации WordPress - это дверь в административную зону вашего блога, которая становится доступна после безошибочного прохождения верификации. У каждого пользователя существует бесконечное количество попыток авторизации, и каждый раз по умолчанию услужливый WordPress указывает, в чем именно была ошибка. То есть, если введенный логин окажется неверным - WordPress так и скажет. Это удобно для пользователя, но также и для хакера.Несложно догадаться, как быстро сокращается вероятность подбора комбинации логина/пароля, когда система указывает что именно введено неверно. Простая строка кода, поможет решить эту проблему, достаточно добавить её в файл functions.php вашей темы:
Add_filter("login_errors",create_function("$a", «return null;»));
Изначальный/измененный вид страницы авторизации.
9. Ограничьте количество неудачных попыток авторизации.
WordPress не ведет статистику авторизаций, как удачных, так и нет. Это очень неудобно для администратора, так как у него нет возможности увидеть были ли попытки несанкционированного доступа, чтобы принять какие-либо меры, если они участятся. Предлагаем два решения: плагиныЗащити блог и живи спокойно!
Сегодняшний день принесёт вам новые знания, а некоторым блоггерам поможет вспомнить хорошо забытое старое. В данном посте речь пойдёт о том, как обезопасить свой блог на движке wordpress от взлома. Вы должны всегда в жизни придерживаться одной важной аксиомы: Учиться на чужих ошибках – бесценно, а учёба на собственных – это очень тернистый путь…Поэтому с максимальным вниманием и концентрацией отнеситесь ко всему, что я буду дальше рассказывать.
| Статья в тему:
|
Так вот, что вы сможете ответить на такой простой и популярный вопрос: «Как защитить wordpress от взлома?». Держу пари, что многие из вебмастеров попросту не смогут ответить на него, потому что даже не задумываются о такой ситуации. Сеха большинства начинающих блоггеров такова: установили блог, усыпали его плагинами и на этом миссия закончена. Дальше пишутся статьи, проводится раскрутка и продвижение сайта, а про его защиту нет никаких беспокойств и опасений. А зря… Сказал Бог Адаму:»Ты выбрал дорогу,
Но бурь и опасностей будет там много!»
Ни в коем случае не смею никого винить и хаять, потому что, будучи таким же новичком с горящими глазами, я сам пострадал от мошенников. Никакой защиты и никаких мер предосторожности я не предпринимал и мой первый сайт, где количество хостов достигало 3 сотен в сутки, был взломан. Логин и пароль, с помощью которых я входил в панель администратора, были изменены. Так что после этого печального случая я обязательно уделяю внимание защите сайта от хакеров. Как только сайт создан, в ход идут все действующие меры по анти взлому. Теперь многие плохие дяденьки и, самое страшное, злые школьники ни коем образом не могут навредить моему ресурсу.
| Статья в тему:
|
Нужно помнить фразу Михаила Богородского «Нападение лени — защита Второго Я от Первого» и никогда не лениться делать то, что поможет вам оградить будущее от проблем и зажжет светлый огонек в личном и финансовом продвижении.
Ну что же, первым советом
будет установка 2 очень полезных плагинов, которые обеспечат защиту входа в панель администратора wordpress.
Первый плагин — Anti-XSS attack;
Второй плагин — Login LockDown или Limit Login Attempts.
Если говорить про первый упомянутый плагин Anti-XSS attack, то он защищает сайт от XSS-атак. Ну а действие Плагина Login LockDown или Limit Login Attempts основывается на том, что у ресурса появляется определенная защита, которая предотвращает многократные попытки входа в админ панель вашего сайта. Посему, даже если взломщик будет подбирать разные комбинации логинов и паролей, чтобы получить долгожданный доступ к вашей административной панели (админке), после 3 неудачной попытки система в автоматическом режиме заблокирует вход на указанный отрезок времени. Не может не радовать простая настройка плагина и возможность владельцу сайта самостоятельно регулировать число допустимых попыток и время блокировки. Эти плагины вы легко найдете в интернете, воспользовавшись поисковиком, а после того, как они будут скачаны на компьютер, закиньте их в каталог wp-content/plugins. После этого пройдите быструю процедуру активации и настройки под свой вкус и готово! Вуаля!
Я солнце защищу от наглых взглядов, надев солнцезащитные очки! (Тим Зубрий)
Такой вариант нам не подходит, поэтому следующий на очереди
Второй совет. Поменяем данные для входа в админку, а именно логин и пароль администратора. Поскольку дефолтные настройки блога подразумевают логин admin, нам лучше его изменить. Такие действие невозможно провести в самой админки, поэтому мы обратимся к панели управления хостингом, где находим phpMyAdmin и заходим в него.
Там мы видим вкладку «Обзор», где выбираем строку admin и слева жмем кнопку «Правка»:
Здесь мы должны изменить значения admin (в двух местах) на любые другие и подтверждаем это нажатием на кнопку «ОК».
После того, как мы изменили наш логин для входа, дальше нам нужно сменить пароль. Я бы советовал вам менять старый пароль на очень длинный новый. Речь идёт как минимум о двух десятках символов, среди которых идут и цифры, и буквы.
Пароль меняется в этой же таблице, только в столбике user_pass. Просто убираете все текущие символы и иероглифы в поле напротив своего логина, а дальше печатаете новый пароль. Важно не забыть в выпадающем списке указать MD5 и кликнуть на клавишу «OK».
Третий совет. Перейдите в корень вашего блога и проведите удаление следующих файлов: readme.html и license.txt. Для вас они абсолютно никакой пользы не несут, а вот для мошенников они являются первым ключиком для взлома, ведь с помощью них злоумышленники могут узнать версию движка вашего сайта wordpress и еще массу полезных для себя вещей.
После этого перейдите в файл темы сайта header.php , чтобы там удалить строку” />
Почему? А всё по той же простой причине: чтобы не показывать версию wordpress.
Совет №4. Проведите установку плагина wordpress database backup. Этот плагин понадобится нам для защиты всей базы данных. Он еще полезен тем, что настройки позволяют активировать функцию: отправлять бекап базы данных на указанный электронный адрес каждый день, каждую неделю и т.д. После установки wordpress database backup вы можете не переживать за свою базу.
Совет №5. Пропишем в браузере следующие адреса:
1. http://ваш блог/wp-content/
2. http://ваш блог/wp-content/plugins/
Если после загрузки страницы вы можете переходить в каждую директорию блога и смотреть содержимое находящихся в них файлов и папок, то это весьма и весьма опасно. В таком случае нужно немедленно создать в каждой директории пустой файл index.php.
Если вы все операции сделали правильно, то после повторного открытия адресов http://ваш блог/wp-content/, http://ваш блог/wp-content/plugins/ в окне браузера будет чистая пустая страница.
Для большего спокойствия и уверенности советовал бы вам дополнительно прописать в файле.htaccess следующую строку:
Options All -Indexes
Совет№6 . Находим и открываем файл function.php и в конце кода вставляем такую строку:
После чего ищем файл search.php и ищем строку:
на
Такие действия не позволят хакерам и мошенникам проникнуть на ваш сервер и лазить по нему. А если указанный файл отсутствует в папке, то никаких изменений вносить не надо.
В принципе это всё, я постарался перечислить и объяснить все основные методы и приёмы для защиты блога wordpress.
Найдите свободное время и проверьте все плагины, которые используете. Если найдутся такие, которые вы не используете для работы, то не пожалейте и удалите их. Не забывайте своевременно обновлять плагины, чтобы не оставить дыры для хакеров.
| Статья в тему:
|
Сделайте надежные и сложные пароли на аккаунте для входа на хостинг и для панели управления. Кстати, соединение и закачку файлов лучше проводить через эту самую панель управления хостингом. Использовать для этого FTP небезопасно.
Настоятельно рекомендую закрыть регистрацию для посетителей блога, этот ход также обезопасит ваш ресурс.
А теперь точно всё! Теперь каждый из вас сможет максимально защитить сайт на движке wordpress от взломщиков. Но я желаю вам никогда не сталкиваться с таковыми.
Я давно усвоил каждое слово Джозефа Аддисона и придерживаюсь его наставления: Если желаете добиться в жизни успеха, сделайте настойчивость своим лучшим другом, опыт - мудрым советником, осторожность - старшим братом, а надежду - ангелом-хранителем.
5 простых мер предосторожности, которые помогут вам защитить свой коммерческий блог от хакерских атак.
1: Удаление логина «Admin»
Хакеры ищут блоги, владельцы которых оставили логин администратора WordPress по умолчанию, поскольку это половина нужной им для взлома информации. Используя логин «Admin», вы экономите хакерам кучу времени – им остается только узнать ваш пароль. После этого они получат доступ к вашему блогу и смогут делать в нем все, что захотят.
Поэтому первый шаг к безопасности блога – создание себе нового профиля и удаление стандартного логина. После этого взломать ваш коммерческий блог будет сложнее.
Чтобы создать новый профиль, откройте админ-панель WordPress, войдите в раздел «Пользователи» и нажмите «Добавить нового».
Создайте нового пользователя и дайте ему роль администратора.
Заполните формы и убедитесь, что у вас есть права администратора, чтобы вносить необходимые изменения в свой блог. После создания пользователя разлогиньтесь из админ-панели WordPress и залогиньтесь, введя данные нового пользователя.
Снова зайдите в раздел «Пользователи» и удалите профиль администратора по умолчанию. На этом этапе WordPress предложит вам перенести все посты администратора на ваш новый профиль; выберите эту опцию - так вы не потеряете контент и данные.
2: Пользуйтесь надежным паролем
Сколько бы ни твердили людям об опасностях, связанных с использованием простых паролей, многие продолжают ими пользоваться, так как их легко запомнить. К сожалению, их также легко подобрать.
Очень важно использовать надежный и безопасный пароль. Он должен состоять минимум из восьми знаков и включать заглавные и строчные буквы, а также цифры и специальные символы.
Чтобы сменить пароль к WordPress на более надежный, зайдите в раздел «Пользователи» и выберите «Ваш профиль», затем заполните поля создания нового пароля – они находятся внизу страницы.
Так должен сделать каждый член вашей команды, поскольку каждый логин представляет собой потенциальную лазейку для хакеров.
3: Обновитесь до последней версии WordPress
Программы, темы и плагины WordPress регулярно обновляются, чтобы избежать уязвимости сайтов. При выходе новой версии WordPress вверху админ-панели появляется соответствующее сообщение.
Увидев желтое уведомление вверху админ-панели WordPress, обновитесь до последней версии.
Процесс обновления очень прост и происходит в один клик, так что вам не придется закрывать браузер или совершать какие-то манипуляции через FTP.
4: Бэкап базы данных блога
Резервное копирование базы данных - важная часть безопасности блога.
С WordPress для резервного копирования существуют простые платные и бесплатные решения. Новичкам проще всего использовать WP-DB-Backup - один из самых популярных плагинов для бэкапа данных WordPress.
Чтобы установить WP-DB-Backup, зайдите в раздел «Плагины» и выберите «Добавить новый». В строке поиска введите WP-DB-Backup. После этого нажмите «Установить» и «OK».
Найти и установить плагин для резервного копирования блога легко. Во вкладке «Плагины» нажмите «Добавить новый» и найдите WP-DB-Backup или другой плагин для бэкапа.
Активируйте плагин со страницы «Плагины».
После активации плагина в разделе «Инструменты» появится новый пункт Backup, с помощью которого ивы сможете сразу произвести резервное копирование вашей базы данных или настроить регулярное сохранение. Файлы резервного копирования можно загружать на жесткий диск или посылать на сервер по email.
Плагин WP-DB-Backup позволяет сохранять данные на сервер, загружать их или отправлять по почте.
Так вы сможете быть спокойны, что в случае чего ваши данные не потеряются.
5: Ограниченное число попыток входа
Плагин Limit Login Attempts особенно полезен для защиты от хакерских атак - он блокирует страницу входа в систему после определенного числа неудачных попыток залогиниться. Вы как администратор решаете, сколько попыток входа в систему можно произвести, прежде чем плагин активирует блокировку.
Чтобы установить этот плагин, зайдите в раздел «Плагины» и выберите «Добавить новый», как вы делали с плагином «WP-DB-Backup».
На этот раз в поиске введите «Limit Login Attempts», затем нажмите «Установить» и «OK». Активируйте плагин со страницы «Плагины». После этого в разделе «Параметры» у вас появится новый пункт: «Limit Login Attempts».
Чтобы установить допустимое число неудачных попыток входа, нажмите «Limit Login Attempts», заполните поля и сохраните изменения, нажав кнопку «Change Options».
Внимательно проверяйте каждый загружаемый вами плагин, так как с их помощью злоумышленники тоже могут получить доступ к вашему блогу.
Поэтому следует устанавливать только плагины из надежных источников и проверять обзоры каждого нового плагина на WordPress.org.
Заботьтесь о безопасности своего блога.