WordPress biztonsági alapok: a legfontosabb beállítások

A Biztonsági alapok kisvállalkozói weboldalhoz az általános szabályokat tartalmazza (jelszavak, kétlépcsős azonosítás, mentés, csaló levelek). Ez az írás a WordPressre szorítkozik: mit érdemes beállítani magán a WordPress-telepítésen.

1. Tartsa naprakészen a WordPresst, a bővítményeket és a sablont#

Ez a legfontosabb lépés. A WordPress-oldalak sérülékenysége túlnyomórészt a bővítményekből és a sablonokból ered, nem magából a magból. Egy ismert, javított hibát az támadók automatizáltan keresnek az elavult oldalakon.

• A WordPress kisebb (biztonsági) kiadásokat alapesetben magától telepít. A nagyobb kiadásokat Ön indítja, vagy kapcsolhatja automatikussá.
• A bővítményeknél és sablonoknál a WordPress 5.5 óta bekapcsolható az automatikus frissítés (Bővítmények listája → Automatikus frissítések engedélyezése).
• Frissítés előtt készítsen mentést, és a lépéseket kövesse a WordPress frissítése biztonságosan útmutatóban.

2. Csak a szükséges, megbízható bővítményeket tartsa#

• Csak aktívan karbantartott bővítményt használjon (a WordPress.org bővítménytárában látszik az utolsó frissítés és a támogatott WordPress-verzió).
• Ne használjon feltört („nulled”) fizetős sablonokat vagy bővítményeket: gyakran rejtett kártékony kódot tartalmaznak.
• Törölje (ne csak kapcsolja ki) a nem használt bővítményeket és sablonokat. Egy kikapcsolt, de fent hagyott bővítmény fájljai is támadhatók.
• Ha egy bővítményt a fejlesztője már nem frissít, keressen helyette másikat.

3. Védje a bejelentkezést#

A támadások nagy része a wp-login.php ellen irányul (jelszótalálgatás).

• Erős, egyedi jelszó minden felhasználónak (jelszókezelővel).
• Kétlépcsős azonosítás (2FA) legalább az adminisztrátoroknak; erre jó 2FA-bővítmények vannak.
• Ne legyen „admin” a felhasználónév. Ha mégis az, hozzon létre új adminisztrátort más névvel, majd töröljön vagy minősítsen vissza a régit.
• Korlátozza a hibás próbálkozásokat egy erre való bővítménnyel, vagy a szerver szintjén, ha a szolgáltatója biztosít ilyet.
• Ne mutasson ki felesleges információt: az alapértelmezett hibaüzenet az Ön felhasználónevét is elárulhatja, ezt egy biztonsági bővítmény elrejtheti.
• A felhasználók jogosultsága: a szerkesztőknek elég a Szerkesztő vagy a Szerző szerep; adminisztrátor csak annyi legyen, amennyi tényleg kell.

4. Zárja el a felesleges kapukat#

A beépített fájlszerkesztő. A WordPress adminisztrációs felülete lehetővé teszi a sablon- és bővítményfájlok szerkesztését. Ha valaki bejutott az adminba, ezen keresztül kódot tud beírni. Letiltása a wp-config.php fájlban:

define( 'DISALLOW_FILE_EDIT', true );

Az XML-RPC. Az xmlrpc.php egy régi távoli elérési felület. Ha nem használ olyan alkalmazást, amely igényli (például régi mobilapp, bizonyos távoli közzétételi eszközök), kikapcsolható a biztonsági bővítmény vagy a szerver beállításai szerint. Ha nem biztos, hogy nincs rá szükség, ne kapcsolja ki vakon.

Könyvtárlistázás. A webszerver ne mutassa meg a mappák tartalmát. Ezt a legtöbb szolgáltatónál alapból tiltják; böngészőben próbálja ki, hogy a /wp-content/uploads/ mappa címe nem listáz-e fájlokat.

Felesleges telepítések. Régi tesztoldalt, elfelejtett /teszt/ vagy /uj/ WordPress-telepítést törölje.

5. Fájljogosultságok és a wp-config#

A WordPress dokumentációja ajánlott jogosultságokat ad: mappák 755, fájlok 644, a wp-config.php pedig szigorúbb (például 440 vagy 400, ha a szerver beállítása megengedi). A szoros jogosultság azt akadályozza, hogy egy másik felhasználó vagy folyamat írni tudja a fájlokat.

• A wp-config.php tartalmazza az adatbázis jelszavát és a biztonsági kulcsokat (salt). Ne töltse fel nyilvános tárolóba (például GitHub-ra), és ne küldje el e-mailben.
• A biztonsági kulcsok újragenerálása kijelentkezteti az összes felhasználót; jó lépés, ha felmerül, hogy valaki illetéktelenül belépett. Az új kulcsokat a WordPress.org generátora adja.
• Egyedi adatbázis-előtag (nem wp_) csak telepítéskor egyszerű; utólag nem kötelező, és önmagában nem jelent érdemi védelmet.

6. Mentés és észlelés#

• Mentés: a fenti védelmek sem adnak 100%-os biztonságot. Rendszeres, kipróbált mentés nélkül egy feltörés napokat vihet el. Lásd: Weboldal-mentés készítése.
• A WordPress Site Health (Eszközök → Webhely állapota) jelzi a legfontosabb konfigurációs problémákat, például az elavult PHP-t.
• Egy biztonsági bővítmény fájlváltozás-figyelése jelezheti, ha valaki módosít egy fájlt.
• Ha az oldal váratlanul reklámokra irányít, ismeretlen felhasználók jelennek meg, vagy a keresőben idegen szöveg látszik a találatnál, gyanakodjon feltörésre. Az általános teendőket a Biztonsági alapok 9. pontja adja.

7. Ha feltörték az oldalt#

1. Ne ijedjen meg, és ne törölje azonnal a nyomokat: előbb mentse el az érintett állapotot (vizsgálathoz).
2. Cserélje le az összes jelszót: WordPress-felhasználók, adatbázis, FTP/SFTP, tárhely-vezérlőpult, kapcsolódó e-mail.
3. Frissítsen mindent, és távolítson el minden felesleges bővítményt.
4. Állítsa vissza az oldalt egy feltörés előtti, tiszta mentésből, ha van.
5. Ellenőrizze a felhasználókat (ismeretlen adminisztrátorok), a fájlokat (ismeretlen vagy nemrég módosított fájlok) és az ütemezett feladatokat.
6. Ha személyes adat érintett lehet, az adatvédelmi incidens kezelése külön kötelezettségekkel jár: lásd GDPR a kisvállalkozói weboldalon.

Gyakori kérdések#

Elég egy biztonsági bővítmény?#

Nem. A bővítmény egy réteg, de nem pótolja a frissítést, az erős jelszót és a mentést. Egyszerre ne használjon több hasonló célú biztonsági bővítményt, mert zavarhatják egymást.

Szükséges az „admin” felhasználó átnevezése?#

Nem szükséges, de ajánlott: az „admin” név ismert, így a támadó már a felhasználónevet sem találgatja. A jelszó erőssége és a 2FA fontosabb.

Mennyit számít a WordPress-verzió elrejtése?#

Keveset. A támadók a bővítményeket és a sablonokat célozzák, azokat pedig a fájlokból felismerik. A verziószám elrejtése nem pótolja a frissítést.

Források#

• WordPress.org: Hardening WordPress (fájljogosultságok, DISALLOW_FILE_EDIT)
• WordPress.org: Security
• WordPress 5.5: automatikus bővítmény- és sablonfrissítés