Már rengeteg cikk jelent meg a WordPress oldalak biztonságos üzemeltetésével kapcsolatban. Érdemes megemlíteni, hogy örök időkre szóló – végérvényes védelem nem létezik, de nagyon sok mindent meg lehet tenni az érdekében, hogy csökkentsük a honlapunk biztonsági kockázatát.
Folyamatosan tennünk kell azért, hogy a honlapunk stabil és biztonságos legyen! 

WordPress biztonsági tippek

Mit tehetünk a honlapunk biztonsága érdekében?

Örökös téma felhasználói név – jelszó

• Ne legyen admin nevű felhasználónk!
  Ha telepítéskor nem adtunk meg egyedi felhasználói nevet, akkor a WordPress automatikusan létrehoz egy admin nevű felhasználót, ezt nem szabad megtartani. Hozzunk létre egy saját felhasználót. Meg lehet nehezíteni a hackerek dolgát azzal, ha egy kicsit bonyolultabb felhasználói nevet adunk meg pl. herceg_75. Adjunk adminisztrátori jogosultságot herceg_75-nek, majd töröljük az admin nevű felhasználót.
• Nyilvánosan megjelenő nevünk ne legyen azonos a felhasználói nevünkkel! Ez az első felhasználói név amivel próbálkozni fognak, hogy megkíséreljék feltörni a honlapot, hiszen már csak a jelszót kell megfejteni.
  Jó ötlet, ha beállítunk egy becenevet. Felhasználók->Összes felhasználó menüpont alatt az adott user-t kell szerkeszteni. Keressük meg a becenév részt, adjunk egy tetszőleges nevet, majd a Nyilvánosan megjelenő név résznél már be tudjuk állítani. (pl. Felhasználói név herceg_75; Becenév: Herceg)
• Egy egyszerű trükkel (honlap.hu/?author=1, honlap.hu/?author=2 …) meg lehet tudni az összes felhasználó nevét, ezért érdemes tiltani az author oldalakat. Jó megoldás, ha a Yoast SEO alatt a Titles & Metas -> Archive fülön az Author archives beállítást disabled-re állítjuk.
• Fontos, hogy erős jelszavakat használjunk, és mindenképpen tartsuk biztonságos helyen (ha túl sok jelszót kell megjegyezni, akkor használjunk jelszókezelőt KeeFox, KeePass – de egy sima füzet és toll is megteszi)!
  Számok, szimbólumok és vegyesen kis- és nagybetűk használatával megnehezíti a jelszava kitalálását vagy feltörését. Számokat, szimbólumokat és vegyesen kis- és nagybetűket használó, nyolc karakterből álló jelszavak esetében például 6 kvadrilliónál is több lehetséges variáció van, ami 30 000-szer több, mint egy csak kisbetűket használó jelszó esetében. Forrás: Google.hu
  Bejelentkezési ablakban ne jelenítsük meg, hogy a felhasználói név, vagy a jelszó hibás.
  Helyezzük el a sablonunk function.php fájljában a következő néhány sort:
  /* Ne mutassa a bejelentkezési ablak, hogy a felhasználói név, vagy a jelszó hibás */
function no_errors_please()
{ return 'A megadott felhasználónév, vagy jelszó hibás !!!';}
add_filter( 'login_errors', 'no_errors_please' );
• Hozzunk létre saját bejelentkező linket például a Protect WP-Admin bővítmény segítségével.
• Korlátozzuk a sikertelen belépések számát, erre a célra többféle bővítmény is használható. Nagyon hasznos lehet a Wordfence plugin, ami véd a brutal force jellegű támadások ellen, valamint figyeli a weboldalhoz tartozó fájlok integritását és módosítási dátumait is. Bizonyos számú sikertelen bejelentkezés után (én 3-ra szoktam lekorlátozni), egyszerűen tiltsuk le az adott IP-t (legalább 1 órára, de akár 1 napra is kitilthatjuk).

WordPress – mentés, frissítés, inkognitó

• Az egyik legfontosabb dolog amit megtehetünk, hogy a WordPress-t, és a hozzá tartozó modulokat (bővítményeket, sablonokat) mindig naprakészen tartjuk. Ha elérhető új verzió, akkor mindenképpen a lehető legrövidebb időn belül frissítsünk.
  Ahogy megjelenik egy javítócsomag – biztonsági frissítés a WordPress-hez, vagy a hozzá tartozó bővítményekhez, a hibát publikálják. Azaz dokumentálják az adott modul sérülékenységét. Ha nem frissítjük a időben (rövid időn belül) a honlapunkat, akkor a leírt biztonsági rést (sérülékenységet) kihasználva könnyűszerrel feltörhetik a honlapunkat.
• Ne áruljuk el, hogy milyen rendszer alatt működik a honlapunk – WordPress verzióbejegyzés eltávolítása
  Legegyszerűbb megoldás, ha a function.php file elejére beírjuk a következő sort:
  remove_action('wp_head', 'wp_generator');
• Tiltsuk a php fájlok szerkesztését a vezérlőpultban.
  Ha egy támadás során mégis elérik az admin felületet, akkor ne tudják azon keresztül módosítani a téma, és a bővítmények forráskódjait. Ha letiltjuk, akkor csak FTP-n, vagy a szolgáltató által biztosított fájlkezelőn keresztül lehet szerkeszteni a fájlokat.
  A követező sort írjuk bele a wp-config  php file elejére:
  define('DISALLOW_FILE_EDIT', true);
• Érdemes törölni a nem használt sablonokat, bővítményeket.
• Beállítások -> Interakció menüpontban a “ Megpróbálja értesíteni a bejegyzésről az összes hivatkozott blogot.” valamint a “Engedélyezzük a link értesítéseket más blogoktól (visszajelzések és visszakövetések) az új bejegyzéseknél” elől feltétlen vegyük ki a pipát. Sajnos az ezekhez tartozó funkciókon keresztül DDoS támadást lehet indítani, és a weboldalt botnetbe kötve más szerverek megbénítására használhatják.
• Ha még előtte állunk a telepítésnek, akkor a kezdeti beállítások alkalmával feltétlen írjuk át a wp_ előtagot valami másra pl. suszter28_. Utólag már nincs jelentősége, mivel szinte teljesen hatástalan a rendszer védelme szempontjából.

Filerendszer

• Nagyon fontos a könyvtárak és a fájlok jogosultságának helyes beállítása. Csak a minimálisan szükséges jogokat engedélyezzük a működéshez. Könyvtáraknak 755 >=, fájloknak 644 >= az ajánlott beállítás.
• Érdemes elrejteni a következő könyvtárak tartalmát egy egyszerű index.php fájlal:
  wp-content
  wp-content/plugins
  wp-content/themes
  wp-content/uploads
  index.php tartalma: <?php// Silence is golden.?>
• Alap WordPress fájlok elrejtése .htaccess-el
  <FilesMatch "^(licenc\.txt|license\.txt|olvasdel\.html|readme\.html|wp-activate\.php|wp-config\.php|wp-config-sample\.php|wp-mail\.php|xmlrpc\.php|\.htaccess)$">
Order allow,deny
Deny from all
</FilesMatch>
• Érdemes a könyvtár tallózást tiltani, hogyha esetleg állna a lehetőség, akkor se mutassa a könyvtárlistát.
  írjuk a következő sort a .htaccess fájlba: Options -Indexes

Hasznos tanácsok

• Csak saját gépen szerkesszünk honlapot.
  Ingyenes Wifi hálózaton, internet kávézóban semmi esetre se jelentkezzünk be, hogy szerkeszteni tudjuk az adott honlapot.
• Használjunk víruskeresőt a számítógépünkön, és rendszeresen ellenőrizzük.
• Rendszeresen készítsünk biztonsági mentést a weboldaladról – ha beüt a krach, akkor legyen mihez nyúlni.
• Jelszavunkat időnként érdemes módosítani.
• A WordPress-t csak a hivatalos oldalról telepítsük (magyar elérhetőségek): https://hu.wordpress.org/
  Bővítmények: https://hu.wordpress.org/plugins/
  Sablonok: https://hu.wordpress.org/themes/
• Használjunk biztonságos FTP klienst – Figyelem a Total Commender alapból nem menti titkosítva a jelszavad.
• Vannak nagyon hasznos biztonsági bővítmények, melyek használatával csökkenthetjük a honlap biztonsági kockázatát.
  Talán a három legjobb biztonsági bővítmény: Wordfence Security, iThemes Security (formerly Better WP Security), All In One WP Security & Firewall. Bármelyiket választod, hasznos segítőtársad lesz.

Ezek a legalapvetőbb beállítások, de még nagyon hosszan lehetne sorolni, hogy miket érdemes megtenni ahhoz, hogy csökkentsük a honlapunk biztonsági kockázatát.