Как защитить блог на WP

Привет всем, кто читает сейчас Burzevao.ru. Потеря блога или веб-сайта может уничтожить бизнес или просто все ваши труды на протяжении N-количества времени. Неприятное чувство... Однако, есть способы, чтобы ваш сайт был в безопасности. Они, кстати, уже более 2 млн раз подробно расписаны в Яндексе по ключевому слову «Как защитить блог на WP от взлома». Я лишь их перечислю и прокомментирую, а вы сами определяйтесь, какие пункты конкретно выбрать и применить. Дальше по ходу статьи расскажу свою историю о том, как пытались взломать мой сайт и что я сделала.
 

Оглавление:

1. Способы защиты блога.
2. Как пытались взломать мой блог.

 

Способы защиты блога на WP

 
Итак, что можно предпринять или, как говорят, профилактика лучше, чем лечение.

• 1. Скрыть панель входа в админку .htaccess, об этом подробнее поговорим в конце статьи.

WP-admin — это один из самых важных каталогов на вашем блоге. Блокирование других людей от доступа к этой директории — это важный шаг в обеспечении безопасности блога.

 

• 2. Использовать надёжный пароль для входа в админку WP и постоянно его менять.

Сильные (надёжные) пароли необходимы для привилегированных пользователей или пользователя, такого как администратор. Без них ваш блог будет уязвим для атак перебором. По существу, это атаки, в которых злоумышленник пытается угадать пароль, путём подбора — в комбинации с логином. Если вы используете безопасные пароли, то шансы на успешную атаку перебором будут чрезвычайно низкие.
 
Несколько советов, что должны в себя включать безопасные пароли:

1. Использовать, по крайней мере, 1-2 цифры + буквы разного регистра + длинные пароли.
2. Использовать специальные символы, такие как @ # ...
3. Не используйте даты рождения, имена, клички домашних животных или хобби в качестве паролей. Такого рода пароли простые, так как хакеры могут легко найти личную информацию.
4. Еще один важный шаг, который желательно применять — это использовать разные пароли. «Хорошо» (в кавычках), когда есть только один единственный пароль и вы получаете доступ ко всему через него. Но представьте себе, что произойдет, если кто-то узнает этот пароль. Он, в принципе, может получить доступ ко всем вашим счетам и аккаунтам. Поэтому используйте разные пароли.
5. Для генерации новых паролей я использую [https://lastpass.com/generate].

 

• 3. Изменить стандартное имя пользователя (администратора) — логин admin на другое.

Сделать это можно в панели управления хостингом в phpMyAdmin, с помощью iThemes Security или читайте ниже.

 

• 4. Добавить нового пользователя в админке WP, присвоив ему «роль» Администратора + новый логин + пароль + e-mail.

Запишите (скопируйте) все новые данные (логин и пароль) в надёжное место. Единственное, перед этими действиями можно изменить у пользователя admin — почту, чтобы потом сразу привязать её к новому пользователю.

Дальше, выйдите из админки => авторизуйтесь с новыми данными и смените (удалите) администратора WordPress по умолчанию (admin) + привяжите все записи к новому пользователю -> поставьте отметку в соответствующем чебоксе (связать все содержимое).
Также можно запретить регистрацию новых пользователей в консоли админпанели WP (если это актуально для вашего блога) или удалить неактивных.

 

• 5. Поменять пароль в панель управления хостингом и базу данных на сложный. С этим вопросом справиться легко, обязательно это сделайте.

 

• 6. Добавить специальные плагины, которые ограничивают количество неудачных попыток входа WordPress.

Мой выбор для этого блога (этой цели) Login LockDown, а на женском сайте Limit login Attempts.
Но, лучше установить более масштабный плагин Better WP Security (iThemes Security). Выбор за вами.

 

• 7. Использовать SSH вместо FTP.

FTP в целом не так безопасен, как многие думают. Ваши учетные данные FTP, как правило, не шифруется и их легко захватить.

Безопасная альтернатива FTP является SSH. SSH использует алгоритм для шифрования и конфиденциальности всех данных, передаваемых через него, в том числе файлов.
С этим вопросом, кстати, я ещё до конца не разобралась, поэтому продолжаю использовать FTP или работаю непосредственно на хостинге.

 

• 8. Использовать поддерживаемые темы на WordPress.

Бесплатные темы могут! представлять угрозу для безопасности блога, поскольку не каждый веб-разработчик знает, как писать безопасный код.

Поэтому хорошо бы использовать тему, которая поддерживается и обновляется время от времени. Поддерживаемые (премиум) темы для WordPress как правило, платные, но лучше заплатить и быть в безопасности, чем потом сожалеть.

Еще одним преимуществом профессиональных шаблонов является то, что у вас всегда есть поддержка, к которой вы можете обратиться. Со своей стороны я могу порекомендовать шаблоны Алексея Гудвина. Просто вбейте в поисковую строку шаблоны Гудвина или goodwinpress.ru.

 

• 9. Использовать плагины только из официального каталога WordPress.

Сегодня можно легко загрузить плагин и в течение нескольких секунд установить его на блог. Но надо быть осторожными при выборе места скачивания. Плагины могут содержать вредоносный код. Поэтому имеет смысл устанавливать плагины только из официального каталога плагинов для WordPress — WordPress.org, а также из админки.

 

• 10. Скрыть текущую версию WordPress.

Если это устаревшая версия злоумышленники сразу начинают искать пробелы в безопасности сайта.

 

• 11. Делать обязательно и постоянно резервное копирование всех ваших данных WordPress (файлов и базы данных) с помощью плагинов или...

Например, WP Database Backup, я использовала раньше, сейчас Simple Backup и Duplicator, которые делают копии базы данных и файлов, поэтому — это мой выбор для разных сайтов или делать backup вручную на хостинге. Хранить их можно у себя на отдельной флешке, компьютере, в облачном хранилище, например на Dropbox — что я собираюсь настроить в ближайшее время.
 
А где вы храните Backup блога? Не стоит слепо полагаться только на хостинг, если Backup у них сохраняется в автоматическом режиме и вы уверены, что всегда можете восстановить блог.
 
Кстати, если у вас сайт на Макхост и возникла непредвиденная ситуация, то вернуть сайт из автоматического бекапа можно по этой инструкции [https://qa.mchost.ru/q/kak-na-virtualnom-khostinge-vosstanovit-dannye-s-bekapa].

 

• 12. Идти в ногу с последними обновлениями WordPress и плагинов, чтобы исправлять пробелы в безопасности и добавлять функциональности программному обеспечению.

 

• 13. Изменить префикс базы данных на сложный, по умолчанию он wp_

Это можно сделать с помощью плагина Better WP Security (iThemes Security).

 

• 14. Ограничить доступ пользователям к WP-содержимого каталогов и просмотр структуры каталогов вашего сайта.

Дополнительная строчка в .htaccess. Options All -Indexes

 

• 15. Установить плагин защиты от спама в комментариях, мой выбор Invisible Captcha — это умная невидимая капча для комментариев WordPress.

 

• 16. Удалить в корневой папке блога (в моём случае — это httpdocs) ненужные файлы readme.html и license.txt.

 

Напоминаю, что перед выполнением каких-либо изменений на блоге обязательно делайте резервное копирование изменяемых файлов.

Проблема защиты сайта будет всегда, поэтому никто не даст гарантии, что ваш блог не будет взломан после внедрения этих методов, которые я упомянула, но, уверена, шансы у хакеров будут очень малы.

 

Как пытались взломать мой блог и что я сделала

 
Теперь, немного расскажу о том как ночью, 23 июня 2015 года пытались взломать мой женский блог и что я предприняла. Хотя, как вы видите многие пункты защиты у меня были сделаны, хакеры всё же предприняли попытку зайти в админку моего нового блога на WP.
 
Примерно, в 1. 30 час ночи на почту пришло письмо [Women-tusovka: Женский журнал онлайн] Превышен максимальный лимит попыток авторизации.
 

8 неудачных попыток авторизации (4 изоляция(ий)) с адреса IP:, 6 неудачных попыток авторизации (4 изоляция(ий)) с адреса IP: и так далее. При этом все попытки авторизации были с разных IP. На скриншоте внизу лишь часть сообщений. В общем ночь удалась!

 

 
Эти сообщения шли одним за другим в течение часа..., пока я не запретила .htaccess вход в админку блога [http://ваш блог/wp-admin/] для всех IP, кроме своего.
 
Что я предприняла.

Сначала я обратилась в техподдержку-онлайн на свой хостинг «Макхост», благо дежурят ребята круглые сутки (даже ночью!), молниеносно отвечают: «Минутку пожалуйста», всегда помогают: «Готово, ваша проблема решена, проверьте пожалуйста».

Объяснила оператору проблему и спросила какие шаги быстро я могу ещё сделать. Они посоветовали посмотреть дополнительную информацию по .htaccess — http://mchost.ru/help/28/#h167. Загляните на эту страницу, вы точно найдёте для себя полезную информацию.
Подобную информацию я, конечно, встречала в сети, на блогах, которые я читаю, но всё откладывала её выполнение, как всегда, читаем, знаем, но не делаем 😉
 

• 1. В итоге я вставила следующий код .htaccess.

Запрет на авторизацию для всех IP, кроме моего IP статический (постоянный) IP.
 

RewriteEngine On
<Files wp-login.php>
order deny,allow
deny from all
allow from 700.110.00.
allow from 700.110.00.09
</Files>
RewriteBase /

 
Теперь,  после добавления кода в .htaccess файл, в случае если злоумышленник узнает логин и пароль от входа в админку WP или введёт в строку браузера блога [http://ваш блог/admin/] он увидит ошибку 403 — запрет доступа.

Не имеет смысла использовать этот код, если на блоге кроме вас ещё кто-то публикует статьи, тем более, если они постоянно меняются. Проблема в том, что тогда нужно будет постоянно добавлять / удалять IP-адреса, на основе того, кому нужен доступ к вашему блогу в текущий момент.

Также недостатком данного метода может быть динамический IP-адрес, это значит, что IP-адрес постоянно меняется. Тогда не добавляйте код в .htaccess файл.
 

• 2. В этом случае лучше запретить в .htaccess доступ с конкретного IP-адреса, который ломится к вам в админку или спамит)

Поместите этот код между # BEGIN WordPress и # END WordPress, только вместо IP злоумышленника, напишите его IP адрес. Недостаток метода такой же, как в примере выше — динамический IP.
 

order allow,deny
deny from all
deny from IP злоумышленника

 

• 3. Также .htaccess можно защитить другие важные файлы, например wp-config.php и сам файл .htaccess от нежелательных посетителей. Добавьте код в самом конце .htaccess.

END WordPress
<Files wp-config.php>
# Запрещаем всем доступ к файлу wp-config.php
   order allow,deny
   deny from all
 </Files>
 
<Files .htaccess>
   order allow,deny
   deny from all
 </Files>

 
Спасибо, за ваше внимание. С уважением, Ольга.

 

Статьи по теме:

• 1. Как защитить текст на сайте от копирования.
• 2. Как захватить внимание читателя.
• 3. Как ускорить индексацию сайта в Яндексе.
• 4. Как избавиться на WordPress от страниц вложения attachment.

 
Спасибо, что делитесь в социальных сетях.

Похожие записи

• 

  Создай свой блог в Интернете

• 

  Как получить трафик на блог [Руководство для начинающих]

• 

  Seo плагин для WordPress основные настройки