Рекомендації щодо налаштування безпеки WordPress

Будь-який сайт може стати мішенню для атак, але деякі з них — особливо корпоративні — піддаються більшому ризику, адже зловмисники насамперед полюють за конфіденційними даними користувачів. У цих рекомендаціях ми розповідаємо, як захистити сайт на базі WordPress. Хоча наші поради орієнтовані на корпоративні організації, вони будуть корисні всім.

Будь-який сайт може стати мішенню для атак, але деякі з них піддаються більшому ризику. Якщо ви керуєте корпоративним проєктом, можете вважати, що на вашій спині намальовано цифрову мішень. Чому? Річ у тому, що хакерів особливо приваблюють жертви з великим обсягом конфіденційних даних клієнтів.

У цих рекомендаціях ми розповідаємо, як захистити сайт на базі WordPress. Більшість із наведених інструкцій досить прості, і їхнє впровадження займе всього кілька хвилин.

Хоча поради в нашому контрольному списку орієнтовані на корпоративні організації, вони будуть корисні всім.

Основні правила

  • Захистіть процедури входу.
  • Підтримуйте WordPress, теми та плагіни в актуальному стані.
  • Встановіть плагін для захисту.
  • Використовуйте безпечну тему WordPress.
  • Увімкніть протокол HTTPS.
  • Забезпечте резервне копіювання сайту.
  • Впровадьте керування доступом і дозволами на основі ролей.
  • Змініть URL-адресу входу у WordPress за замовчуванням.
  • Вимкніть функцію редагування файлів на інформаційній панелі WordPress.
  • Налаштуйте заголовки безпеки.
  • Вимкніть звіти про помилки PHP.
  • Вимкніть інтерфейс XML-RPC.
  • Проводьте регулярне навчання співробітників.

Для чого потрібен контрольний список безпеки WordPress

Ідея використання контрольного списку безпеки WordPress може здатися застарілою для корпоративних сайтів. Зрештою, існує безліч систем та інструментів для автоматизації критичних завдань. Однак навіть із ними можна легко пропустити деякі важливі моменти, особливо за умови великого сайту.

Наприклад, якщо ваш блог має невелику аудиторію, відсутність оновлень WordPress протягом певного часу, можливо, не викличе жодних проблем. Але якщо ви керуєте онлайн-бізнесом, що використовує багато плагінів WordPress і сторонніх інтеграцій, така недбалість може призвести до зламування сайту й вагомих втрат.

Мета контрольного списку безпеки полягає в тому, щоб ніщо не прослизнуло крізь щілини системи захисту, якими б малими вони не були.

Крім забезпечення оптимального функціонування вашого сайту, комплексний контрольний список безпеки WordPress враховує кілька додаткових, але не менш важливих аспектів:

  • Захист від онлайн-загроз: популярність системи WordPress робить її частою мішенню для хакерів. Контрольний список безпеки допоможе вжити заходів для захисту від низки кіберзагроз, як-от атак методом грубої сили, ін’єкцій SQL і міжсайтових сценаріїв.
  • Захист конфіденційних даних користувачів: якщо ваш сайт збирає та зберігає конфіденційну інформацію, як-от електронні адреси й облікові дані для входу, впровадження контрольного списку зменшує ризик несанкціонованого доступу.
  • Відповідність нормам: деякі нормативні акти зобов’язують дотримуватися суворих заходів безпеки для захисту даних користувачів. Контрольний список допоможе вам дотримуватися цих правил і запобігти потенційним санкціям.
  • Збереження вашої репутації: зламування вашого сайту може завдати серйозної шкоди репутації вашого бренду. Контрольний список безпеки допоможе зберегти довіру клієнтів, мінімізуючи ризик виникнення інцидентів.

Експерт із безпеки WordPress знає, що потрібно зробити для захисту вашого сайту. Проте навіть досвідченим професіоналам не завадить мати під рукою засіб, який допоможе їм нічого не пропустити.

Крім того, вам не доведеться витрачати сотні доларів на інструменти безпеки, які порадять ті самі дії, що й цей список.

Контрольний список із 13 пунктів для підвищення безпеки WordPress

Пункт 1: захистіть процедури входу

Захист облікових записів від зловмисних спроб входу є першим і надзвичайно важливим кроком у підтриманні високого рівня безпеки вашого сайту. Для цього необхідно виконати наведені нижче дії.

Використовуйте надійні паролі

Усі користувачі, які мають доступ до серверної частини вашого сайту WordPress, повинні використовувати надійні паролі для входу. Один-єдиний слабкий пароль може спричинити проблеми для всіх інших користувачів.

Для створення та відстеження надійних паролів можна використовувати менеджери паролів, як-от LastPass або 1Password.

Увімкніть двофакторну автентифікацію

Двофакторна автентифікація (2FA) вимагає від користувачів підтвердження входу в обліковий запис на іншому пристрої. Це один із найпростіших і найефективніших способів захисту вашого входу.

Якщо ви не впровадили 2FA у WordPress, можете зробити це за допомогою функції безпечної автентифікації Jetpack. Також можна використовувати плагіни WordFence (про який ітиметься далі) і miniorange для налаштування входу з корпоративним обліковим записом Google, Microsoft тощо.

Уникайте типових імен користувачів

«Admin» (адміністратор) є першим іменем користувача, яке зловмисники введуть під час спроби входу методом грубої сили. Якщо у вас уже є такий користувач, створіть новий обліковий запис адміністратора з іншим іменем користувача в панелі адміністратора WordPress і видаліть вбудованого користувача «admin».

Обмежте кількість спроб входу

Встановіть обмеження на кількість разів, коли користувач може вводити неправильні облікові дані. Це захистить ваш сайт від атак методом грубої сили, адже після певної кількості невдалих спроб входу користувач блокуватиметься.

Найпростіший спосіб обмежити спроби входу у WordPress — скористатися плагіном, як-от Jetpack або Wordfence.

Увімкніть автоматичний вихід

Будьте пильні щодо виходу з облікового запису, особливо якщо використовуєте загальнодоступний комп’ютер. Автоматичний вихід запобігає проникненню сторонніх осіб у ваш обліковий запис, якщо ви забудете вийти. Для цього можна використовувати плагін Inactive Logout.

Пункт 2: підтримуйте WordPress, теми та плагіни в актуальному стані

Оновлення WordPress, тем і плагінів гарантує використання найновіших версій із виправленнями безпеки та помилок. Це особливо важливо, оскільки хакери часто атакують застарілі версії з відомими вразливостями.

Для оновлення WordPress, тем і плагінів перейдіть до розділу Інформаційна панель → Оновлення на панелі адміністратора. На цій сторінці відображаються всі доступні оновлення для WordPress Core, а також усі ваші плагіни й теми:

Хоча автоматичні оновлення можуть здаватися зручним рішенням, вони несуть ризики. Автоматичні оновлення можуть призвести до конфліктів між плагінами, темами або власне WordPress, що може спричинити виведення сайту з ладу. Тому важливо робити резервні копії перед оновленням і ретельно перевіряти сумісність нових версій.

Також ми рекомендуємо проводити регулярне оцінювання всіх сторонніх інструментів, які ви встановили. Для тем і плагінів WordPress це передбачає перевірку оновлень і ознайомлення з останніми оглядами та примітками розробника щодо проблем безпеки. Зазвичай у вас не має бути проблем із плагінами або темами, якщо ви отримуєте їх з авторитетних джерел, як-от репозиторію WordPress.org.

Пункт 3: встановіть захисний плагін

Існує багато плагінів для безпеки WordPress, які можуть допомогти захистити ваш сайт. Більшість із них пропонують широкий спектр функцій, як-от двофакторну автентифікацію, брандмауери й інші засоби безпеки.

Встановлення надійного плагіну безпеки та використання моніторингу у WordPress може значно підвищити захист вашого сайту. Вибір інструмента залежить від функцій, які ви бажаєте впровадити, і вашого бюджету.

Wordfence

Wordfence — ефективний плагін для підтримання високого рівня безпеки WordPress. Він містить брандмауер для вебзастосунків, функцію сканування на наявність шкідливого програмного забезпечення, засоби захисту від атак методом грубої сили, двофакторну автентифікацію та багато інших можливостей.

Wordfence генерує детальні звіти й надсилає сповіщення про стан безпеки вашого сайту, даючи змогу вчасно реагувати на потенційні загрози. Також він забезпечує моніторинг файлів і ведення журналів активності, що допомагає відстежувати підозрілі дії та швидко виявляти можливі загрози.

Крім того, за допомогою Wordfence можна налаштувати сповіщення про безпекові інциденти й інші важливі події, гарантуючи, що всі сповіщення надходитимуть на актуальні поштові адреси. Ви можете встановити сповіщення для інформування про підозрілу активність або потенційні загрози, а також сповіщення про доступні оновлення для WordPress, тем і плагінів​.

Jetpack Security

Jetpack Security пропонує комплексні рішення для безпеки, зокрема повне резервне копіювання сайту, захист від атак методом грубої сили, ведення журналу активності, безпечну автентифікацію та захист від спаму.

Цей плагін забезпечує всебічний захист вашого сайту, роблячи його менш вразливим до різноманітних загроз. Jetpack Security також надає можливості моніторингу трафіку, що допомагає виявляти підозрілі дії, як-от спроби атак методом грубої сили або DDoS-атаки.

Щобільше, Jetpack Security дає змогу налаштувати сповіщення про безпекові інциденти, резервні копії та інші важливі події, гарантуючи, що всі сповіщення надходитимуть на актуальні поштові адреси. Регулярно перевіряйте й оновлюйте поштові адреси всіх користувачів вашого сайту, щоб вони отримували важливі повідомлення та сповіщення.

Пункт 4: використовуйте безпечну тему WordPress

Подібно до того, як вам не слід встановлювати схематичний плагін на своєму сайті, утримуйтеся від бажання використовувати першу-ліпшу тему WordPress, яка має гарний вигляд. Це може бути небезпечно, і ваш сайт може стати вразливим до серйозних загроз.

Щоб запобігти вразливостям, пов’язаним із темою, виберіть ту, яка відповідає стандартам WordPress. Перевірити відповідність вашої поточної теми вимогам WordPress можна, скопіювавши URL-адресу вашого сайту (або URL-адресу будь-якого сайту WordPress чи демоверсії будь-якої теми) та вставивши її в засіб перевірки W3C.

Якщо ваша тема не відповідає вимогам, знайдіть нову в офіційному каталозі тем WordPress. Усі теми в цьому каталозі гарантовано сумісні з програмним забезпеченням WordPress.

Зверніть увагу на частоту оновлень теми та дотримуйтеся таких критеріїв під час її вибору:

  • Частота оновлень: переконайтеся, що тема регулярно оновлюється. Регулярне оновлення означає, що розробники підтримують її в актуальному стані та виправляють потенційні вразливості.
  • Сумісність із плагінами: важливо, щоб тема була сумісною з основними плагінами WordPress. Це забезпечить коректну роботу всіх функцій вашого сайту.
  • Чистий код: перегляньте відгуки користувачів і перевірте, чи розробники дотримуються стандартів кодування WordPress. Чистий і оптимізований код забезпечує швидку роботу сайту й меншу кількість вразливостей.
  • Рівень підтримки: дізнайтеся, чи надають розробники теми технічну підтримку та чи активно відповідають на запити користувачів. Це може бути важливо в разі виникнення проблем.
  • Документація: хороша тема має постачатися з детальною документацією, яка допоможе вам налаштувати її під свої потреби та вирішити можливі питання.
  • Рейтинг і відгуки: перевірте рейтинги та відгуки інших користувачів. Це допоможе зрозуміти, наскільки тема надійна та зручна у використанні.
  • Безпека: вибирайте теми, які пройшли перевірку безпеки та не містять відомих вразливостей. Теми з офіційного каталогу WordPress зазвичай відповідають цим критеріям.
  • Можливості налаштування: важливо, щоб тема була гнучкою та її можна було налаштувати без втручання в код. Це забезпечить унікальний вигляд вашого сайту без ризику пошкодити його структуру.

Пункт 5: увімкніть протокол HTTPS

Сертифікат TLS дає змогу вашому сайту завантажуватися через протокол HTTPS. HTTPS шифрує дані, які передаються між вашим сервером і браузерами відвідувачів.

Це шифрування допомагає захистити конфіденційну інформацію, як-от облікові дані для входу й особисті відомості, від перехоплення хакерами. Сертифікати TLS також підвищують довіру до вашого сайту й можуть позитивно вплинути на рейтинг у пошуковій системі.

Отримати сертифікат TLS надзвичайно просто. Якщо ви використовуєте WordPress, можете зробити це вручну або скористатися спеціальним плагіном TLS.

Це не тільки покращить пошукову оптимізацію, але й безпосередньо повпливає на перше враження відвідувачів від вашого сайту. Google Chrome навіть попереджає користувачів, якщо сайт, на який вони переходять, не підтримує протокол TLS, що безпосередньо знижує трафік сайту.

Пункт 6: забезпечте резервне копіювання сайту

Зламування сайту завжди засмучує. Це сприймається як порушення вашого цифрового простору, і якщо в результаті ви втратите всі свої дані, засмутитеся ще більше. Однак цьому можна запобігти, переконавшись, що для вашого сайту створено резервну копію WordPress. У разі атаки (або будь-якого іншого інциденту), що призведе до втрати даних, ви зможете відновити до них доступ.

В ідеалі цей процес має бути автоматизований, наприклад за допомогою власне хостингу. У такому разі вам не потрібно буде щодня створювати резервну копію сайту вручну.

Пункт 7: впровадьте керування доступом і дозволами на основі ролей

За замовчуванням WordPress використовує базову рольову систему, яка дає змогу сегментувати користувачів на основі того, що їм дозволено робити на вашому сайті. Адміністратори є єдиними користувачами, які мають повний доступ до всіх функцій інформаційної панелі.

Обмеживши доступ і можливості користувачів, ви можете зменшити ризик несанкціонованих змін на вашому сайті та звести до мінімуму потенційну шкоду від скомпрометованих облікових записів. Іншими словами, жоден користувач не повинен мати роль, яка надає йому доступ до більшої кількості дозволів, ніж йому потрібно.

З повним переліком ролей і їхніх можливостей можна ознайомитися тут.

Регулярний аудит користувачів і дозволів допоможе підтримувати ваш сайт у безпеці. Якщо необхідно змінити роль користувача у WordPress, це можна зробити на вкладці «Користувачі».

Пункт 8: змініть URL-адресу входу у WordPress за замовчуванням

Для кожного встановлення за замовчуванням використовується однакова URL-адреса входу й адміністратора WordPress:

  • yourwebsite.com/wp-login.php
  • yourwebsite.com/wp-admin.php

Ця базова структура дає змогу легко запам’ятовувати URL-адреси, але також допомагає зловмисникам їх знаходити. Змінення URL-адрес за замовчуванням для обох сторінок допоможе запобігти атакам методом грубої сили на ваш сайт WordPress.

Якщо ви використовуєте сервер Apache, можете вручну змінити URL-адреси /wp-admin і /wp-login.php за замовчуванням, відредагувавши файл .htaccess у кореневому каталозі WordPress.

Для цього можна також використовувати плагіни, як-от WPS Hide Login.

Пункт 9: вимкніть функцію редагування файлів на інформаційній панелі WordPress

За замовчуванням WordPress дає змогу адміністраторам редагувати код своїх файлів безпосередньо за допомогою редактора коду. Це надає зловмисникам простий спосіб змінити ваші файли, якщо вони отримають доступ до вашого облікового запису.

Якщо плагін ще не вимкнув цю функцію, ви можете виконати легке кодування та зробити це самостійно. Додайте наведений нижче код у кінець файлу wp-config.php:

// Disallow file edits
define( 'DISALLOW_FILE_EDIT', true );

Пункт 10: налаштуйте заголовки безпеки

Заголовки безпеки — це відповіді сервера, які забезпечують додатковий рівень захисту для вашого сайту. Вони можуть запобігти таким атакам, як перехоплення натискань (клікджекінг) і впровадження коду, контролюючи спосіб завантаження та відображення сайту в браузері.

Типи заголовків безпеки:

  • Content-Security-Policy (CSP): CSP встановлює правила щодо джерел завантаження ресурсів (наприклад, сценаріїв, таблиць стилів і зображень), що допомагає запобігти таким атакам, як міжсайтовий сценарій (XSS).
  • X-Frame-Options: цей заголовок може запобігти використанню вашого сайту в атаках клікджекінгу, контролюючи дозвіл на завантаження вашого сайту у фреймі чи iframe.
  • HTTP Strict Transport Security (HSTS): HSTS змушує браузер використовувати лише безпечні з’єднання (HTTPS), що допомагає запобігти атакам типу «людина посередині» (MitM).
  • X-Content-Type-Options: цей заголовок запобігає атакам на основі MIME, вимикаючи MIME-сніфінг браузера.

Приклад заголовка безпеки в HTML-коді:

<head>

<title>Назва вашого сайту</title>

<meta http-equiv="Content-Security-Policy" content="default-src 'self';">

<!-- Інші метатеги, стилі, скрипти тощо -->

</head>

Щоб впровадити заголовки безпеки у WordPress, потрібно редагувати файл .htaccess. Деякі плагіни безпеки автоматично додають певні типи заголовків на ваш сайт, тому перед додаванням нових заголовків перевірте, які теги вже присутні в розділі <head>.

Пункт 11: вимкніть звіти про помилки PHP

Іноді, коли ви завантажуєте сайт, що використовує PHP, у браузері можуть з’являтися повідомлення про помилки, пов’язані з мовою. Ці повідомлення можуть бути корисними для вирішення проблем, але вони також можуть розкривати конфіденційну інформацію про ваш сайт.

У WordPress ці повідомлення про помилки можуть з’являтися на екрані, якщо ввімкнуто звіт про помилки або режим налагодження. Ви можете вимкнути ці повідомлення, відредагувавши файл wp-config.php у кореневому каталозі WordPress і додавши такий код:

ini_set('display_errors','Off');

ini_set('error_reporting', E_ALL );

define('WP_DEBUG', false);

define('WP_DEBUG_DISPLAY', false);

Так ви вимкнете звіт про помилки PHP та режим налагодження WordPress. Під час внесення змін переконайтесь у відсутності повторюваних рядків, що визначають статус WP_DEBUG, оскільки це може спричинити подальші помилки на вашому сайті.

Пункт 12: вимкніть інтерфейс XML-RPC

Починаючи з WordPress 3.5, XML-RPC є основним інтерфейсом API WordPress. Він дає змогу розробникам використовувати віддалені програми для оновлення WordPress.

Завдяки XML-RPC для публікації дописів у блогах можна використовувати мобільні програми. Він також робить можливим підключення сайту до сторонніх служб, як-от Zapier.

Ця функція WordPress допомагає іншим програмам «спілкуватися» з вашим сайтом. Але вона також створює лазівку в безпеці, якою можуть скористатися хакери.

Якщо хтось намагається зламати вашу сторінку входу, вони роблять окремі спроби для цього. За допомогою XML-RPC зловмисники можуть використовувати функцію system.multicall, щоб вгадати тисячі варіантів пароля лише за 20–50 запитів.

Вимкнення XML-RPC допоможе вам запобігти подібним кіберзагрозам.

Пункт 13: проводьте регулярне навчання співробітників

Людська помилка є однією з найпоширеніших причин порушення безпеки. Регулярне навчання співробітників найкращих практик безпеки, розпізнавання загроз і реагування на потенційні інциденти може значно знизити ризик компрометації.

Для безпечності сайту WordPress вам слід навчити своїх співробітників основ CMS і важливості таких заходів безпеки, як оновлення, двофакторна автентифікація та перевірка коду. Якщо працівники розуміють логіку кожного заходу безпеки, вони, найімовірніше, дотримуватимуться його.