Sicurezza e .htaccess - Proteggi la tua installazione WordPress

AGGIORNAMENTO: Quando ho pubblicato la mia risposta inizialmente ho mancato il fulcro della domanda; la mia risposta riguardava la sicurezza generale di .htaccess ed è ora elencata sotto la doppia linea (guarda in basso se ti interessa.) Sfortunatamente non ho esperienza specifica con la protezione di /wp-admin/ utilizzando .htaccess, quindi elencherò semplicemente le due risorse che approfondirò quando e se ne avrò bisogno:

• Hardening WordPress with .htaccess
• AskApache Password Protection, For WordPress

Il primo raccomanda quanto segue (e qui c'è alcuna discussione al riguardo.)

<Files ~ "\.(php)$">
AuthUserFile /etc/httpd/htpasswd
AuthType Basic
AuthName "restricted"
Order Deny,Allow
Deny from all
Require valid-user
Satisfy any
</Files>

Il secondo contiene molte informazioni, specialmente nei commenti, ma ammetto che fornirti una lista da leggere non è la risposta che cercavi.

Mi dispiace non essere stato più utile su questo argomento.

========================================

Tipicamente WordPress ha solo quanto segue che gestisce l'elaborazione dei permalink e non è correlato alla sicurezza:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Recentemente ho trovato il plugin WP htacess Control che gestisce molto di .htaccess per te e mi piace molto. Dopo aver modificato le sue impostazioni, ha aggiunto le seguenti opzioni:

# WPhtC: Disable ServerSignature on generated error pages
ServerSignature Off

# WPhtC: Disable directory browsing
Options All -Indexes

# WPhtC: Protect WP-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>

# WPhtC: Protect .htaccess file
<files ~ "^.*\.([Hh][Tt][Aa])">
order allow,deny
deny from all
</files>

Ha anche aggiunto queste opzioni che riguardano le prestazioni piuttosto che la sicurezza:

# WPhtC: Setting mod_gzip
<ifModule mod_gzip.c>
mod_gzip_on Yes
mod_gzip_dechunk Yes
mod_gzip_item_include file \.(html?|txt|css|js|php|pl)$
mod_gzip_item_include handler ^cgi-script$
mod_gzip_item_include mime ^text/.*
mod_gzip_item_include mime ^application/x-javascript.*
mod_gzip_item_exclude mime ^image/.*
mod_gzip_item_exclude rspheader ^Content-Encoding:.*gzip.*
</ifModule>

# WPhtC: Setting mod_deflate
<IfModule mod_deflate.c>
AddOutputFilterByType DEFLATE text/html text/plain text/xml application/xml application/xhtml+xml text/javascript text/css application/x-javascript
BrowserMatch ^Mozilla/4 gzip-only-text/html
BrowserMatch ^Mozilla/4.0[678] no-gzip
BrowserMatch bMSIE !no-gzip !gzip-only-text/html
Header append Vary User-Agent env=!dont-vary
</IfModule>

Oltre a questo, ci sono alcuni plugin che non ho provato ma che si concentrano sulla sicurezza e che interagiscono con .htaccess - potresti provarli ciascuno solo per vedere cosa fanno al file .htaccess:

• WP Super Secure and Fast htaccess (anche)
• BulletProof Security
• Silence is Golden Guard
• WP-BlockYou
• Stealth Login
• HTTP Authentication
• AskApache Password Protect

Oltre a ciò, se vuoi conoscere la risorsa (IMO) #1 per la sicurezza di Apache relativa a WordPress puoi trovarla su AskApache.com; questo tizio è davvero hardcore! Il suo blog non risolverà il tuo problema di "troppe informazioni" ma almeno puoi considerarlo una risorsa autorevole!

Ecco alcuni esempi (anche se non tutti sono direttamente correlati a WordPress, tutti sono applicabili):

• Advanced WordPress wp-config.php Tweaks
• Example .htaccess for WordPress
• Advanced WordPress 404
• Mod_Security .htaccess tricks
• .htaccess Plugin Blocks Spam, Hackers, and Password Protects Blog

Spero che questo sia utile.