Wordpress безопасность что нужно сразу после установки. Ломаем и защищаем WordPress своими руками
Сегодня поговорим о безопасности вашего сайта на популярной платформе WordPress. Безопасность блога напрямую зависит от степени заботы о нем и качестве администрирования. Используя простые советы и рекомендации вы намного сможете повысить уровень безопасности.
Потребность в увеличении уровня безопасности растет по мере увеличения количества ваших посетителей. Чем ваш ресурс популярнее тем больше хакеров захочет его взломать. Исходя из ваших желаний по увеличении безопасности WordPress и была написана эта статья.
Безопасность WordPress 2015 содержит следующие рекомендации:
Навигация по статье:
Безопасность wordpress и файл htaccess.
Htaccess - это файл, который позволяет корректировать конфигурацию сервера. С помощью него можно проделать множество настроек, в том числе и добавить безопасности сайту.
Давайте рассмотрим все по порядку, раз.htaccess такой ценный значит для начала стоит обезопасить его от стороннего вмешательства.
Как защитить файл.htaccess WordPress сайта?
Говоря о поднятии безопасности при помощи файла.htaccess без защиты его самого было бы глупо. По этой причине защитим сперва наш файл, а затем пойдем далее.
Для того что бы защитить.htaccess нужно внести в него небольшой код:
order allow,deny
deny from all
Этот код позволит закрыть доступ к файлу из вне, что уже значительно обезопасит ваш сайт от взлома.
Как защитить файл wp-config.php?
Нам нужно также защитить важный файл который имеет множество информации связанной с доступом к базе данных и другое. Запретить доступ к файлу из вне можно при помощи.htaccess. Защитный код должен быть таковым:
order allow,deny
deny from all
Создайте свои секретные ключи для файла wp-config.php.
Для доступа к сайту WordPress использует 4 ключа, которые указываются в файле wp-config.php. Вы должны создать и установить свои собственные уникальные ключи, для обеспечения безопасности. Для облегчения сего действия существует специальный генератор ключей , с помощью которого вы создадите все что вам потребуется.
Сменить ключи можно изменив файл wp-config.php и перезаписать его на сервер.
Смена префикса таблиц базы данных WordPress.
Префикс базы данных создаются при установке WordPress, по умолчанию он назначается как wp_название таблицы. Если при установке вы не задали другое значение, вы можете сменить его в файле wp-config.php задав переменной $table_prefix другое значение. Чем сложнее будет ваш префикс тем меньше вероятность несанкционированного доступа к вашей базе данных. Примером может быть такая строчка $table_prefix = wp65zym6 . Запоминать это значение не требуется, вы устанавливаете его только один раз и больше к нему не возвращаетесь.
Ограничение количества неудачных попыток входа.
Одним из способов предотвращения взлома вашего сайта является ограничение количество попыток входа, и дальнейшая блокировка нарушителя. Эти простые настройки позволят обезопасить вас от автоматических переборов паролей бот программами, а так же ручного ввода людьми.
На помощь вам придет , настройка которого не займет у вас много времени, но позволит добавить очередную преграду взломщикам.
Используйте надежный пароль WordPress.
В версии WordPress 4.3 и выше при установке платформы вам будут предложены безопасные пароли, которые отлично подойдут вам, так же вы сможете изменить их в дальнейшем.
Безопасность сайта WordPress по большей мере зависит от безопасности доступа к административной панели, поэтому пренебрегать этими рекомендациями будет большой ошибкой.
Не используйте для входа login «admin».
Если вы выбрали другой логин, отлично! Убедитесь что его трудно подобрать вручную, также зайдите в вашу базу данных в таблицу префикс_users и убедитесь что в ней нету зарегистрированного логина admin. Если таков существует, удалите его.
Обновляйте версию WordPress, плагины и темы.
Обновитесь, обновитесь и еще раз обновитесь. Обновления версий ваших плагинов и самого движка WordPress выходят не просто так, основная их задача увеличить функционал и закрыть дыры в безопасности, по этому важность обновления стоит на одном из первых мест.
В корне блога удалите файлы readme.html и license.txt.
Эти файлы не нужны нам, но они показываю текущую версию WordPress и некоторую другую информацию сайта, а зачем нам лишняя утечка информации. По этому удалите их.
Эти файлы доступны всем пользователям по адресу ваш-сайт/readme.html, проверти это на своем блоге.
Периодически изменяйте пароли к базе данных, административной панели и хостинга.
Эти действия не займут у вас много времени раз в один два месяца меняйте пароли и вы сможете поставить очередную галочку в безопасности вашего блога на WordPress.
Делайте регулярные резервные копии.
В ручном режиме или автоматическом, с помощью плагинов или программ делайте резервные копии своего сайта, что бы при необходимости быстро восстановить последнюю версию сайта. Вас взломали? Или же вы сами поломали свой сайт? Резервные копии помогут быстро восстановить дееспособность вашего ресурса.
Привет, ребята! Когда твой сайт становится немного раскрученным, появляются постоянные читатели, получаешь огромное удовольствие. Вроде бы все круто. Растет и поток денег, и отклик получаешь от аудитории, увеличивается узнаваемость. Но существует и обратная сторона медали. Это завистники, это внимание со стороны недоброжелателей.
Чтобы вы представляли, о чем идет речь: мой блог только за прошлую неделю взламывали 2 раза. Постоянные посетители, думали, заметили. Ребята, я настоятельно рекомендую ознакомиться с данным уроком, потратить время на внедрение советов, о которых говорю, чтобы больше обезопасить свой сайт и сэкономить время, деньги и нервы.
All In One WP Security - это самый необходимый плагин для увеличения безопасности в WordPress. Ставить его нужно всем, кто владеет сайтом на Вордпресс. Всем без исключения.
Если мой любимый - это комбайн в сфере SEO для WordPress, то плагин WP Security - аналог в сфере безопасности. То есть, если благодаря Yoast SEO я перестал нуждаться в нескольких SEO плагинах, то здесь точно также, благодаря All In One WP Security можно избавиться от других плагинов, которые лишь частично выполняют функции данного. Например, как:
- Login Lockdown;
- WordPress Database Backup;
- Anti-XSS attack;
- и другие подобные.
Огромные плюсы плагина All In One WP Security:
- бесплатный;
- настраивается очень просто;
- практически все переведено на русский язык, поэтому понятно о чем идет речь.
Настройка плагина All In One WP Security
Обязательно сделайте бэкап (резервную копию) перед началом работы (на всякий случай) следующих файлов:
- база данных;
- файл wp-config;
- файл htaccess.
Кстати, резервные копии этих трех файлов можно сделать прямо в данном же плагине, просто в админке перейдите в WP Security - Настройки:
Панель управления
Тут есть очень крутой информер, который показывает уровень защищенности вашего сайта:
Этот показатель поможет держать руку на пульсе и понимать, что еще нужно сделать для улучшения безопасности. Не рекомендую делать все, ради достижения максимальных баллов. Могут быть плохие последствия, ваш сайт может упасть, ошибочно функционировать.
Текущий статус самых важных функций. В этом блоке можно активировать самый необходимый функционал по безопасности вашего сайта (можете пока не трогать их, в ходе настроек по уроку, данные параметры активизируются итак):
Остальные параметры в Панели управления малоинтересны, Вы можете ради любопытства ознакомиться с ними (Информация о системе, Заблокированные IP адреса, AIOWPS.
Настройки
Общие настройки. Тут можно создать резервные копии файлов, о которых я говорил выше. Также отключить функции безопасности и файерволла, если что-то перестало работать.
WP мета-информация. Нажимаем на галочку напротив "Удаление метаданных WP Generator", чтобы не отображать версию WordPress:
Вкладка "Импорт/Экспорт". Здесь можно экспортировать свои настройки, чтобы потом на другом сайте не тратить время на настройки и импортировать в 2 клика все необходимые "галочки".
Администраторы
Пользовательское имя WP. Обязательно (!) смените имя администратора, если оно у вас "admin". Вы не представляете как много и часто подбираются пароли с логином admin. Если еще к тому же пароль очень легкий, ваш сайт легко может быть взломан.
Отображаемое имя. Если на вашем сайте есть аккаунты, у которых имя пользователя и отображаемое имя совпадает, то рекомендуется изменить отображаемое имя (никнейм).
Пароль. Очень интересная вкладка. Тут можно узнать, за какой промежуток времени можно подобрать в автоматическом режиме ваш пароль. Введите свой пароль и сильно удивитесь, насколько быстро его можно взломать. Обязательные условия для усиления безопасности:
- в вашем пароле должны быть как заглавные, так и строчные буквы;
- обязательно наличие хотя бы 1-ой цифры, но никак пароль не должен состоять только из цифр;
- желательно еще наличие какого-либо спецсимвола;
- длина пароля должна быть более 10 символов.
В итоге у вас должен быть максимальный степень безопасности вашего пароля, что-то в этом роде (пароль ниже домашний компьютер взломал бы за 57 337 лет (!)):
Авторизация
Обязательно включите эту функцию. Если пароль в течении 5-ти минут (по умолчанию) введется 3 раза неправильно, то IP блокируется на 60 минут (тоже по умолчанию). Я не рекомендую ставить блокировку больше по времени, а то можно столкнуться с тем, что сами администраторы вводят логин 3 раза неправильно, ставят блокировку на 10 лет и не знают что делать. Оставляем по умолчанию 60 минут и не паримся.
Также я рекомендую поставить галочку напротив "Сразу заблокировать неверные пользовательские имена". К примеру, вы поменяли логин с admin на krutysh, то при вводе логина admin в поле для авторизации, сразу же заблокируется IP адрес. "Уведомлять по email" - тут по мере необходимости. Я не люблю лишний спам, поэтому здесь галочку не ставлю.
Итоговые настройки данной вкладки у меня выглядят так:
Если вам любопытно, можете глянуть список заблокированных IP, ссылка на раздел приводится в данной же вкладке ниже.
Ошибочные попытки авторизации. Вот здесь как раз видны те логины, которые подбираются. Чаще всего у меня сверкают логины admin, root, font. Также видны время "попыток". Обратите внимание, как часто пытаются войти в админку:
Автоматическое разлогинивание пользователей. Рекомендую тоже включить данный чекбокс. Позволяет через определенное количество минут завершить сессию и разлогинить пользователя. Я ставлю 600 минут:
Вкладки "Журнал активности аккаунта" и "Активных сессий" носят информационный характер.
Регистрация пользователей
Ставим галочку напротив "Активировать ручное одобрение новых регистраций":
Да и можно поставить галочку CAPTCHA при регистрации:
Конечно, если нельзя зарегистрироваться другим людям на вашем сайте, верхние 2 пункта просто бесполезны, от них не станет ни лучше, ни хуже. Но, если вы сомневаетесь, лучше поставьте галочки в этих пунктах.
Защита базы данных
Здесь будьте аккуратны во вкладке "Префикс таблиц БД". Прежде чем поставить галочку, обязательно сделайте резервную копию своей базы данных (там же увидите ссылку на создание бэкапа своей БД). Если боитесь, сомневаетесь, лучше оставьте без галочки:
Резервное копирование БД. Здесь уже ставим галочку, выбираем частоту создания бэкапов и их количество. У меня. к примеру, такие цифры:
Защита файловой системы
Доступ к файлам. Здесь в правой части у вас будут кнопки, вам нужно будет изменить права доступа к файлам, нажав на эти кнопки. В результате все строчки у вас должны стать зелеными:
Редактирование файлов PHP. Если вы не правите свои PHP файлы через админку, ставим галочку. Править файлы через админку я не рекомендую хотя бы потому, что у вас нет возможности нажать CTRL+Z в случае чего и вы не сможете вернуть файл в исходное положение:
Доступ к файлам WP. Ставим галочку:
Системные журналы. Оставляем по умолчанию.
WHOIS-поиск
Можете вбить IP адрес, либо домен для получения WHOIS какого-либо домена. А так по сути тут нечего трогать.
Черный список
Если у вас нет недоброжелателей, можете не включать данный пункт. Если какой-то IP адрес постоянно сверкает в комментариях, к примеру, можете включить чекбокс и внести данный IP в черный список.
Файрволл
Базовые правила файрволла. Если вы не делали до этого момента резервную копию htaccess, то обязательно делаем его. И ставим галочки напротив всех пунктов:
Дополнительные правила файерволла. Тут тоже включаем все галочки:
UPDATE: ниже во вкладке "Дополнительная фильтрация символов" я убрал галочку, потому что некоторые комментарии не проходили, отдавали 403 ошибку. Наверное, все-таки, вам тоже я посоветовал бы убрать эту галочку , чтобы не было у пользователей проблем с комментированием.
Настройки 5G файрволл. Тоже включаем:
Интернет-боты. Здесь могут возникнуть проблемы с индексацией, поэтому я рекомендую не включать данный пункт.
Предотвратить хотлинки. Тоже включаем.
Custom Rules. Можно задать дополнительные правила в файл htaccess. Ничего не трогаем.
Защита от брутфорс-атак
Переименовать страницу логина. Включаем. Меняем адрес логина на свой:
Защита от брутфорс-атак с помощью куки. Я не включаю данную функцию, чтобы не было проблем со входом с разных устройств.
CAPTCHA на логин. Можете включить CAPTCHA при авторизации, я же не включаю:
Белый список для логина. Так как я часто захожу на сайт с разных мест, IP у меня разный, поэтому данную опцию я не включаю:
Бочка с медом. Создается дополнительное поле, которое видят только роботы. Поэтому, при заполнении данного поля, робот будет перенаправлен на свой адрес. Включаем:
Защита от SPAM
CAPTCHA в форме комментариев. Я не включаю, так как не люблю усложнять комментирование, а вот функцию "Блокировка спам-ботом от комментирования" рекомендую включить:
Отслеживание IP-адресов по спаму в комментариях. Тут можно глянуть на "частосверкающие" IP по спаму в комментах и занести их в черный список.
BuddyPress. Добавляет CAPTCHA в форме регистрации BuddyPress. Я не использую ее.
Отслеживание изменений в файлах. Рекомендую включить, так как часто при взломе сайтов не совсем понятно, какой файл изменили, где искать вредоносный код. А с помощью этой функции сможете отследить изменения в файлах вашего сайта и быстро найти тот файл, который изменялся в последнее время.
Сканирование от вредоносных программ. Функция платная, стоит от 7$ в месяц.
Режим обслуживания
Позволяет "закрыть" сайт на время, чтобы сделать какие-то правки. То есть посетителям сайта будет предложена "заглушка", что ведутся работы на сайте. Полезно при смене дизайна, проверке работоспособности плагинов.
Разное
Защита от копирования текста и прочее. Здесь я нигде в трех вкладках не ставлю галочки. Тоже рекомендую не ставить.
Итоги
После завершения всех этих настроек, вы можете перейти в "Панель управления" и глянуть показатель уровня безопасности, у вас должно получится что-то вроде этого:
Повторюсь, не нужно необдуманно делать все, чтобы достигнуть максимально возможного балла. Не занимайтесь ненужным вредом для своего сайта, его работоспособности и удобства.
Если возникнут вопросы - пишите. Спасибо отдельное за ретвиты и репосты, за то, что помогаете людям донести эту важную информацию.
- Перевод
Административная зона любого веб-приложения давно стала излюбленной мишенью для хакеров и её безопасность чрезвычайно заботит разработчиков. Это касается и WordPress - при сустановке нового блога система создает аккаунт администратора с уникальным случайно сгенерированным в реальном времени паролем, чем блокирует всеобщий доступ к настройкам системы, контролируя его c помощью страницы авторизации.
Эта статья сфокусирована на вопросах усиления безопасности WordPress - как административной панели, так и настроек блога, подразумевая все содержимое папки «wp-admin» , которое отображается только после авторизации . Мы сознательно выделили фразу "после авторизации " - вы должны четко осознавать, что только один простой запрос отделяет «злого хакера» и админку всего вашего блога или сайта! А последняя защищена настолько сильно, насколько мощный пароль вы выбрали.
Чтобы в разы усложнить задачу взломщиков, мы предлагаем набор операций, которые вы можете выполнить вручную. Эти решения не гарантируют 100% защиту, но с их помощью вы заметно улучшите безопасность вашего блога.
1. Переименуйте папку wordpress.
Начиная с версии 2.6, стало возможным изменять путь к папке wp-content . К сожалению это до сих пор неприменимо к папке wp-admin . Думающие о безопасности блоггеры смирились с этим и стали надеяться, что это станет возможным в будущих версиях. Пока этого не случилось, предлагаем воспользоваться следующим альтернативным решением проблемы. После распаковки архива с файлами WordPress, вы увидите папку «WordPress» - переименуйте папку (в идеале во что-то непонятное вроде " wordpress_live_Ts6K" ) и после этого настройте соответственным образом файл wp-config.php , который находится в корневой директории.Что нам даст это изменение?
- Во-первых, все файлы WordPress не будут смешаны с другими файлами в корне сайта, таким образом мы повысим ясность корневого уровня.
- Во-вторых, множество копий WordPress может быть установлено параллельно в папки с разными именами, исключая их взаимодействие, что делает это идеальным для тестирования
- Третье преимущество напрямую касается безопасности: административная зона (и весь блог в целом) больше не находится в корневой папке и для проведения каких-либо действий по взлому сначала ее нужно будет найти. Это проблемно для людей, но что касается ботов - вопрос времени.
Несколько установленных версий в root-каталоге - это возможно!
Примечание: Если системные файлы WordPress больше не в корневой директории, и имя папки инсталяции изменено в соответствии с рекомендациями, описанными выше, блог будет все равно доступен по адресу wp-config.ru . Почему? Зайдите в раздел «Общие настройки (General settings)» вашего блога и введите в поле «WordPress address (URL)» реальный адрес блога на сервере, как показано в примере:
Адрес блога должен быть красивым и ненавязчивым
Это позволит блогу отображаться по красивому виртуальному адресу.
2. Усовершенствуйте файл wp-config.php
Конфигурационный файл WordPress wp-config.php содержит в себе некоторые настройки сайта и информацию для доступа к базе данных. Также там другие настройки, касающиеся безопасности (они представлены в списке ниже). Если таких значений в этом файле нет, или же имеются только установленные по умолчанию, вам необходимо, соответственно, добавить или изменить их:- Ключи безопасности: начиная с версии 2.7, в WordPress есть четыре ключа безопасности, которые должны быть правильно установлены. WordPress спасает вас от необходимости выдумывать эти строки самому, автоматически генерируя правильные ключи с точки зрения безопасности. Вам просто нужно вставить ключи в соответствующие строки файла wp-config.php. Эти ключи являются обязательными для обеспечения безопасности вашего блога.
- Префикс таблицы заново установленного WordPress блога не должен быть стандартным «wp_» Чем больее сложным будет значение префикса, тем менее вероятна возможность несанкционированного доступа к таблицам вашей MySQL базы данных. Плохо: $table_prefix = "wp_"; . Намного лучше: $table_prefix = "wp4FZ52Y_"; Не стоит бояться забыть это значение - вам необходимо ввести его только один раз, больше оно вам не понадобится.
- Если у вас на сервере доступно SSL шифрование , рекомендуется включить его для защиты административной зоны. Это можно сделать, добавив следующую команду в файл wp-config.php: define("FORCE_SSL_ADMIN", true);
Не пренебрегайте установкой правильных ключей безопасности!
3. Переместите файл wp-config.php
Также начиная с версии 2.6, WordPress позволяет перемещать файл wp-config.php на высший уровень. По причине того, что этот файл содержит в себе намного более важную информацию, чем какой либо другой, и потому что всегда намного сложнее получить доступ к корневой папке сервера, имеет смысл хранить его не в той же директории, где и остальные файлы. WortdPress автоматически обратится к высшей папке в поиске файла wp-config.php . Любые попытки пользователей самим настроить путь бесполезны.4. Защитите файл wp-config.php
Не все ISP серверы позволят вам передавать данные на более высокие уровни, чем корневая директория. Другими словами, не у всех хватит прав для осуществления предыдущего шага. Или по другим причинам: например, если у вас несколько блогов, при определенной структуре папок у вас не получится положить в корень все файлы, так как их имена будут совпадать для каждого из блогов. В этом случае мы можем запретить доступ к файлу wp-config.php извне при помощи файла .htaccess . Вот код для этого:
# protect wpconfig.php
Очень важно убедиться, что файл .htaccess находится в той же директории что и файл wp-config.php .
5. Удалите учетную запись администратора.
Во время процесса установки WordPress создает учетную запись администратора с ником «admin» по умолчанию. С одной стороны это вполне логично, с другой - пользователь с известным ником, т.е. ID - 1, обладающий административными правами, является вполне предсказуемой мишенью для хакеров с их программами подбора паролей. Отсюда следует наш совет:- Создайте еще одного пользователя с административными правами и вашим ником.
- Завершите сеанс работы.
- Залогиньтесь под новым аккаунтом.
- Удалите учетную запись "admin ".
Примечание: В идеале желательно чтобы логин нового пользователя отличался от отображаемого имени пользователя в постах, чтобы никто не узнал ваш логин.
6. Выберите сильный пароль.
Вероятность и частота потенциальных атак прямо зависит от популярности блога. И желательно до этого момента быть уверенным, что в вашем сайте не осталось слабых звеньев в цепи безопасности.Чаще всего именно пароли являются самым слабым звеном в этой цепи. Почему? Способы выбора пароля у большинства пользователей зачастую необдуманны и беспечны. Многие проведенные исследования показали, что большинство паролей - односложные существующие слова, набранные строчными буквами, которые не сложно подобрать. В программах подбора паролей существуют даже списки самых часто используемых паролей.
В WordPress реализован интуитивно понятный индикатор стойкости набираемого пароля, который показывает цветом его уровень сложности:
7. Защитите папку «wp-admin».
Следуя пословице «две головы лучше одной», существует способ вдвое усилить защиту административной зоны. Защита регулируется файлом .htaccess , который должен находится в папке «wp-admin» вместе с файлом .htpasswd , который хранит логин и пароль пользователя. После обращения к папке, вам нужно будет ввести логин и пароль, но разница в том, что в этом случае авторизация контролируется на стороне сервера, а не силами самого WordPress.Для того чтобы просто и быстро сгенерировать файлы .htaccess и .htpasswd , воспользуйтесь этим сервисом .
8. Запретите отображение ошибок на странице авторизации.
Страница авторизации WordPress - это дверь в административную зону вашего блога, которая становится доступна после безошибочного прохождения верификации. У каждого пользователя существует бесконечное количество попыток авторизации, и каждый раз по умолчанию услужливый WordPress указывает, в чем именно была ошибка. То есть, если введенный логин окажется неверным - WordPress так и скажет. Это удобно для пользователя, но также и для хакера.Несложно догадаться, как быстро сокращается вероятность подбора комбинации логина/пароля, когда система указывает что именно введено неверно. Простая строка кода, поможет решить эту проблему, достаточно добавить её в файл functions.php вашей темы:
Add_filter("login_errors",create_function("$a", «return null;»));
Изначальный/измененный вид страницы авторизации.
9. Ограничьте количество неудачных попыток авторизации.
WordPress не ведет статистику авторизаций, как удачных, так и нет. Это очень неудобно для администратора, так как у него нет возможности увидеть были ли попытки несанкционированного доступа, чтобы принять какие-либо меры, если они участятся. Предлагаем два решения: плагиныЭто общий вопрос, который задают начинающие. В этой статье я покажу вам топ-10 самых важных вещей, которые вы должны сделать сразу после того, как установите WordPress.
1. Изменение название, слогана, часового пояс, и Faviconа
Первые три шага могут быть объединены в один, потому что вы можете быстро сделать эти изменения в WordPress админ панели.
Чтобы изменить эти, перейдите в настройки в панели инструментов и выберите Общие. Изменить как ваше название сайта и слоган к чему-то, что относится к вашему сайту.
Теперь прокрутите страницу вниз, чтобы обновить свой часовой пояс. Данная функциональность важна, чтобы показать наиболее точную дату на вашем сайте, и это также помогает с планировать время публикаций.
К середине страницы на которой вы находитесь (в общих настройках), вы найдете возможность установить в вашу зону. Вы можете выбрать город, который находится в том же часовом поясе, как вы живете или устанавливается UTC. Чтобы найти настройки правильного UTC, вы можете найти сайт, какhttp://www.timeanddate.com/time/map/, чтобы убедиться, что вы правильно выбрали часовой пояс.
Затем обновляем Favicon. Это маленький значок, который появляется во вкладке браузера рядом с названием сайта, которое имеет важное значение для личности вашего сайта. Люди часто запоминают интернет-ресурсы по этому значку.
2. Измените структуру постоянной ссылки
К сожалению, структура по умолчанию постоянной ссылки – структура URL, которая не нравится поисковым системам. Так что надо изменить ее на что-то другое.
Надо вернуться к Настройкам, а затем выберите Постоянная ссылка из меню. Там вы найдете несколько различных вариантов для установления новой структуры. Лучшие из них использовать либо день и имя или имя сообщения.
Выберите одно вы предпочитаете и затем сохраните изменения.
3. Настройка параметров чтения
Вы также должны настроить параметры чтения.
Перейдите к опции чтения в меню и решите что вы хотите – чтобы ваш главная страница показывала ваши последние сообщения или вы хотите использовать статическую страницу. Сделайте свой выбор, а затем сохраните изменения. Вы всегда можете изменить это позже, поэтому не очень сомневайтесь.
4. Удаление неиспользуемых тем
Большинство пользователей WordPress будет устанавливать и тестировать несколько тем до принятия решения о той, которая будет сохранена. Вместо того, чтобы оставить эти установленные неиспользуемые темы, удалите их. Темы, даже те, которые идут не использовался, нужно будет обновлять.
Оставив их, можно создать ненужную рутинную работу по обновлению. А не обновления, появится опасность для вашей безопасности сайта, так как это может дать хакерам лазейку.
К счастью, удалить ненужные темы совсем несложно. Просто найдите пункт меню под названием Внешний вид, а затем перейти к темам. Чтобы удалить данную тему, необходимо навести на нее и выберите тему и сведения. После этого откроется окно и возможность удалить тему будет там доступна.
5. Установите плагин кэша
Почему плагин кэш? Потому что это может помочь ускорить ваш сайт. Кэширование помогает снять нагрузку вашем сервере и сделать свой сайт быстрее. Это очень удобно для SEO, а также предотвращает ваш сайт от сбоев во время нагрузки.
У меня установлен WP Super Cache – это отличный плагин кэш для WordPress. Просто установите его и включите кэширование, и вы на один шаг ближе к более быстрому сайту. Есть и другие варианты плагинов.
6. Улучшение безопасности WordPress
Когда дело доходит до вашего сайта, то, вероятно, лучше перестраховаться в безопасности, чем потом сожалеть. Обязательно прочитайте следующие посты и примите меры.
7. Установите анти-спам плагин
Никто не любит спам.
Спам-комментарии являются большой проблемой для многих WordPress владельцев сайтов. Они не только раздражают, но это также плохо для SEO. Чтобы облегчить проблемы, вы должны установить анти-спам плагин на Вашем сайте. Самый распространенный – это Akismet
Akismet – этот плагин Automattic является премиум анти-спам плагином, который делает чудеса. Если вы решите использовать на вашем сайте, то активировать Akismet и получить код активации. Бесплатная версия ограничена, но может быть повышена, если его вы оплатить. У меня на сайте стоит именно он, и я довольна.
Антиспам Bee – Это еще один большой бесплатный плагин, который помогает блокировать надоедливых спаммеров. Несмотря на то, что плагин Akismet делает лучше, это тоже отличный вариант.
В любом случае, убедитесь, что вы используете один из них.
8. Установите SEO WordPress Плагин
SEO является важной частью любого веб-сайта WordPress, даи не только WordPress. Для того, чтобы ваши сообщения в блоге получения максимальных результатов, нужно оптимизировать их с помощью плагина SEO. Хотя эти типы плагинов автоматически не повышают SEO, они помогут вам.
Лучший выбор для многих является Platinum SEO Pack. Это простой в использовании и настройке плагин.
9. Оптимизация через социальный обмен
![](https://i0.wp.com/vkpluss.ru/wp-content/uploads/2014/12/%D1%83%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BA%D0%B0-wordpress.jpg)
Во-первых, это действительно важно? Да, абсолютно! Вы не должны ждать пока ваш сайт получит трафик, сразу оптимизируйте его для социальных сетей. Самый лучший и простой способ оптимизировать свой сайт для социальных сетей является использование социального плагина. Но я бы не советовала это делать, поскольку лишние плагины замедляют скорость сайта. Лучше воспользуйтесь кнопками от Яндекса.
10. Начинайте регулярно делать резервное копирование
Теперь, когда вы потратили столько времени на индивидуальные настройки WordPress, вы ведь не хотите потерять их?
Ну, в таком случае, вы должны создавать регулярное резервное копирование. Как это делать узнайте в статье
Итак, все десять описанных выше шагов являются жизненно важными для сайта WordPress.
Очевидно, что есть другие вещи, которые некоторые хотели бы сделать, установив WordPress, но эти из них должны быть в верхней части списка.
Во-время навести порядок очень важно, чтобы не исправлять это позже.
Статьи по теме:
2014-12-19T14:26:18+00:00 Надежда WordPressУстановка wordpress - это первый шаг создания сайта. Что вы делаете после установки WordPress? Это общий вопрос, который задают начинающие. В этой статье я покажу вам топ-10 самых важных вещей, которые вы должны сделать сразу после того, как установите WordPress. 1. Изменение название, слогана, часового пояс, и Faviconа Первые три шага могут быть объединены...
Надежда Трофимова [email protected] Administrator Блог сайтВозможно Вас также заинтересует:
Как сделать Фавикон для сайта
Фавиконом называется это красивый значок, который Все видят возле названия сайта в браузере. Фавикон позволяет выделиться сайту, как в закладках браузера, так и в...
Как украсить сайт к Новому Году
Новый год не за горами. Давайте обсудим тему - Как украсить сайт к Новому году.
Вопросы безопасности WordPress всегда давали богатую пищу для размышлений. Хотя большая часть последних обновлений этой CMS была связана с безопасностью, есть много способов усилить защиту, которые доступны даже не самым технически продвинутым пользователям, даже без плагинов.
Вот несколько предложений, как повысить информационную безопасность для сайта на WordPress.
Разработчики платформы предлагают собственный список мер по обеспечению защиты сайтов на WordPress, с которым рекомендуем обязательно ознакомиться. Конечно, некоторые из этих рекомендаций будут повторяться ниже, но лишние практические советы и инструкции не помешают, когда речь идет о безопасности данных.
Создайте отдельный аккаунт с правами редактора
Когда вы пишете или редактируете сообщения в блоге, «имя автора» показывается в нижнем левом углу браузера, если навести курсор на имя автора в публикации. Если ваше имя автора совпадает с именем администратора, вы сделали за хакеров половину работы по успешному взлому своего сайта.
Исправить ситуацию просто: создайте нового пользователя, у которого есть только права редактора, и авторизуйтесь под этим именем, когда собираетесь что-то публиковать или редактировать в блоге. Это имя будет отображаться во всех ваших публикациях; а хакеры потратят кучу времени, пытаясь взломать ваш блог под именем пользователя с якобы правами администратора, которое на самом деле позволяет лишь писать и редактировать сообщения.
Кроме того, специальные плагины безопасности для WordPress ограничивают попытки зайти на сайт под конкретным логином и сообщают о попытках несанкционированного проникновения на заданную электронную почту. Так вы узнаете, предпринимались ли попытки взлома с использованием настоящего логина администратора, и сможете уделить внимание безопасности сайта на вордпресс до того, как злоумышленники подберут пароль.
Не используйте простые пароли
Запомните простое слово СУД – Сложный, Уникальный, Длинный. Здесь вступают в игру инструменты вроде 1Password или LastPass, которые генерируют пароли установленной вами длины. В зависимости от того, какой уровень защиты вы хотите получить, выбирается длина пароля в знаках (обычно хватит 20 знаков) и включаются такие редко используемые символы, как # или *.
«123456» — это не пароль. «qwerty» равносильно тому, что вы напишете на банковской карте её пин-код. Даже «starwars» вошел в список 25 самых распространенных паролей 2015 года. Помните, вы не настолько уникальны, как думаете.
Добавьте двухфакторную аутентификацию
Даже если вы не используете имя пользователя admin и установили сильный, произвольно сгенерированный пароль, атаки методом «грубой силы» остаются проблемой. Для снижения риска такого проникновения методы вроде двухфакторной аутентификации являются ключевыми.
Да, двухфакторная аутентификация доставляет много хлопот. Но теперь это ваш Форт-Нокс. Суть ее для защиты сайта на WordPress заключается, как ясно из названия, в двух формах авторизации. Сегодня это стандарт, повышающий безопасность ваших точек доступа. Вы уже используете двухфакторную авторизацию для Gmail и Paypal (по крайней мере, должны это делать). Так почему бы не добавить в список WordPress?
Для реализации инструмента есть специальный плагин Google Authenticator. Альтернативный вариант с несколько другим подходом и тем же результатом — Rublon Plugin.
Используйте принцип минимальных привилегий
Команда WordPress.org составила отличную статью в кодексе WordPress, регулирующую Роли и Права пользователей. Обязательно ознакомьтесь с этим документом, который непосредственно касается данного шага.
Принцип минимальных привилегий очень простой – давайте доступ только:
— тем, кому он нужен;
— тогда, когда он нужен;
— на тот период времени, который нужен.
Если кому-то нужны права администратора, чтобы изменить конфигурацию, предоставьте их, но закройте доступ сразу же после выполнения задачи.
Хорошая новость – эти действия не займут у вас много времени.
Вопреки широко распространенному мнению, не каждый пользователь, получающий доступ к вашему сайту на WordPress, должен получать права администратора. Давайте людям права доступа, достаточные для выполнения их задач, и вы намного снизите угрозу безопасности своего wordpress-сайта.
Для настройки подобного рода безопасности wordpress есть плагин: Google Authenticator . Альтернативой, которая использует несколько иной подход для этой же цели, является плагин
Скройте файлы wp-config.php и.htaccess
Это относительно просто сделать, но ошибки при выполнении процедуры могут превратить ваш сайт в недоступный. Создайте резервную копию, и только после этого приступайте к изменениям.
Перейдите в меню «Инструменты => Редактор файлов» для редактирования файла.htaccess. Для повышения уровня безопасности и защиты файла wp-cnofig.php вам нужно добавить такой код в файл.htaccess:
Вы сможете внести эти изменения самостоятельно, здесь нет ничего сложного.
Используйте для аутентификации ключи безопасности WordPress
Ключи аутентификации и salt-ключи работают в связке друг с другом, чтобы защитить ваши cookies-файлы и пароли во время передачи данных между браузером и веб-сервером. Эти ключи аутентификации построены на наборе случайных переменных. Они повышают защиту (шифрование) информации в файлах cookies.
Чтобы изменить их в файле wp-config.php, просто получите новый набор ключей здесь — https://api.wordpress.org/secret-key/1.1/salt/ — и добавьте в файл. При обновлении указанной страницы ключи изменяются, так что каждый раз вы будете получать новый набор.
Отключите редактирование файлов
Самым простым способом изменить ваши файлы является доступ к пункту меню WordPress «Оформление => Редактор». Чтобы повысить уровень защиты, вам нужно отключить возможность редактирования файлов через консоль. Откройте файл wp-config.php и добавьте строчку
Define("DISALLOW_FILE_EDIT", true);
У вас останется возможность вносить изменения в шаблоны через FTP-доступ, но теперь никто не сможет изменять их с помощью инструментов в консоли WordPress.
Ограничьте число попыток авторизации
Целью атак методом подбора ключей является форма для авторизации на сайте. Плагин All in One WP Security & Firewall позволяет изменить путь по умолчанию (/wp-admin/) к этой форме ввода. Помимо этого, с помощью специальных плагинов вы можете ограничить число попыток ввода с конкретного IP-адреса.
Выборочное использование интерфейса XML-RPC
XML-RPC – это прикладной программный интерфейс (API), который используется повсеместно. К нему обращается огромное число плагинов и тем, поэтому менее подготовленным технически пользователям нужно особенно осторожно экспериментировать с этим инструментом.
Несмотря на практичность шага, отключение XML-RPC может обойтись дорого. Вот почему не рекомендуется отключать его полностью, но внимательнее следить за тем, какие программы и как пытаются получить доступ к этому интерфейсу. Существует множество плагинов, которые помогают осуществлять выборочную реализацию и отключение XML-RPC.
Хостинг и безопасность WordPress
Владельцы сайтов часто жалуются, что их хостинговые компании не помогают защитить ресурс от взлома или вообще ничего не понимают в обеспечении безопасности сайтов на платформе WordPress.
Хостинговые компании просто видят ваш сайт иначе. Нет однозначных правил по выбору хостинга для wordpress, но он действительно важен, когда речь идет о мерах по улучшению защиты от несанкционированного доступа.
Буквально каждая статья о выборе хостинга начинается со слов о том, что дешевый не значит лучший. Самые дешевые тарифные планы не помогут вам уберечься от атаки хакеров. Такие пакеты включают минимальную защиту ресурса, например, предустановленный брандмауэр веб-сайта.
Виртуальный хостинг подразумевает, что сервер, на котором расположен ваш ресурс, является домом и для других сайтов. У них могут быть собственные проблемы безопасности, которые затрагивают и безопасность вашего сайта.
При этом безопасность WordPress , наверно, одно из главных преимуществ, которые предлагают хостинговые компании в специализированных WordPress-тарифах.
Обычно сюда входит резервное копирование, резервный брандмауэр, проверка файлов на наличие вредоносного ПО, защита от и автоматическое обновление WordPress. Причем все это предлагается, как правило, за вполне приемлемую стоимость.
Не забывайте о хостинг-аккаунте
Одна из самых больших проблем хостингов связана с конфигурацией аккаунта для владельца сайтов. Пользователь может инсталлировать и конфигурировать столько сайтов, сколько захочет, что способствует появлению в системной среде «бесплатной столовой» для вредоносного ПО.
Проблема актуальна, потому что во многих случаях веб-ресурс может быть взломан методом, известным как межсайтовое заражение, когда вектором атаки является соседний сайт. Злоумышленник преодолевает защиту севера, а затем начинает проникать на соседствующие сайты, расположенные на этом сервере.
Лучший способ защиты от этого вида взлома — создание двух аккаунтов. Один из них вы используете как рабочую среду и размещаете на нем только активные сайты, а второй – как промежуточный, на котором вы храните все остальное.
Будьте в курсе последних обновлений
О том, что нужно поддерживать актуальность, легко говорить. Но для владельцев сайтов это означает ежедневный кропотливый труд. Наши сайты – сложные создания. В каждый момент времени на них происходят десятки событий, поэтому иногда внести мгновенные изменения бывает трудно.
Недавние исследования показал, что 56% установленных систем WordPress используют устаревшие версии платформы.
Обновления должны касаться не только ядра платформы. В упомянутом исследовании говорится также, что большое число хакерских атак использует устаревшие, уязвимые версии плагинов.
Как выбирать безопасные плагины и темы для WordPress
Большинство пользователей предпочитают беспорядочную установку плагинов и тем на своих сайтах. Это глупо, если только вы не делаете установку на тестовом сервере с единственной целью — проверить работу той или иной темы либо плагина.
Большинство плагинов и очень много тем бесплатные. И если авторы поддерживают свои разработки ради развлечения, а не в рамках какой-то серьезной бизнес-модели, вряд ли они потратили много времени на проверку уязвимостей и безопасности этих продуктов.
Как выбрать правильный плагин для wordpress
Как уже сказано выше, бесплатные темы и плагины являются потенциальной угрозой для безопасности сайта. Добавляя эти элементы на сайт, обязательно проверяйте их рейтинг, например, на WordPress.org.
Но просто пять звезд ничего не скажут о степени надежности плагина, в зависимости от ниши он должен иметь определенное количество отзывов. Если достаточно много людей считает, что это замечательный продукт, и нашли время для оценки, можно попробовать его в действии на собственном сайте.
Еще один момент, который вы должны проверять – актуальность плагина или темы. Если не было обновлений в течение последних двух лет, WordPress об этом сообщит. Отсутствие обновлений не обязательно означает, что плагин плохой.
Возможно, у автора просто не было необходимости в том, чтобы вносить исправления в рабочую программу. Все же не рекомендуется устанавливать плагины, которые давно не обновлялись. Рейтинг расскажет о работоспособности выбранного элемента и о его совместимости с текущей версией WordPress. Всю эту информацию можно увидеть на странице плагина на WordPress.org.
Заключение
Если вы дочитали эту статью до конца, то просто обязаны принять дополнительные меры по защите своего сайта на WordPress. Добавьте в список ежедневных действий проверку защищенности своего ресурса. Она должно стать такой же ежедневной рутиной любого владельца сайтов, как регулярное добавление новых публикаций и страниц.
Не нужно забывать о регулярном создании резервных копий, для чего у платформы есть множество надежных плагинов. Правда, не являются частью политики информационной безопасности, это скорее административные и служебные задачи.
Мы привели далеко не полный список того, что можно сделать для защиты сайта от взлома. Но надеемся, что наши практические советы помогут обеспечить хотя бы первый уровень информационной безопасности для вашего ресурса.
Помните, безопасность WordPress не бывает абсолютной.
Так что сделать жизнь хакеров тяжелой – наша задача, как владельцев сайтов.