Ar trebui WordPress să adauge opțiuni pentru a îmbunătăți securitatea sau să lase această responsabilitate dezvoltatorilor de plugin-uri?

Presupun că nu ai avut de-a face niciodată cu o bază de utilizatori considerabil de mare pentru ceva cu securitate strictă la autentificare? Nu e frumos... :)

Modificările la autentificare pe care le propui vor:

1. A avea un impact mic asupra securității, deoarece majoritatea hack-urilor provin din versiuni învechite și securitate slabă a serverului, nu din încercări brute de autentificare.

2. Genera mai mult feedback negativ de la utilizatori decât au făcut-o sau vor face vreodată problemele de securitate.

Ideea este că WordPress funcționează doar ca parte a unui stack de server web. Există doar atât de multe lucruri pe care le poate face în privința securității, iar măsurile generale vor face mai mult rău decât bine în majoritatea cazurilor.

WordPress se ocupă de tot ce poate și este bazat pe plugin-uri pentru a adăuga și configura ceea ce ai nevoie în mod specific. Este greu să mergi mai departe de atât.

Dacă clientul tău a avut 12 site-uri hackuite, atunci unul din două lucruri trebuie să se întâmple: fie are nevoie de un hosting mai bun, fie trebuie să înceteze să creeze vulnerabilități de securitate pe site-urile sale.

WordPress nu trebuie să facă niciunul din lucrurile sugerate deoarece fie le au deja (poți alege propriul nume de utilizator admin la instalare), fie cazul de utilizare nu o impune. După cum a menționat t31os, deși aceste măsuri ar putea fi utile, ele ar putea fi folosite și de hackeri ca armă împotriva administratorilor.

Nu sunt suficiente persoane care au nevoie sau doresc aceste măsuri de securitate pentru a justifica includerea lor ca opțiuni în nucleul WordPress.

Tehnic, ele sunt deja o opțiune în nucleu:

Mergi la Pluginuri --> Adaugă nou, caută 'Login Lockdown' și instalează.

WordPress este cea mai populară și utilizată platformă de blogging. Acesta suportă orice tip de website, de la un simplu blog până la un site de afaceri complet. Douăzeci și șase la sută din toate site-urile web din întreaga lume utilizează WordPress. Ca urmare a acestei popularități, hackerii și spammerii au arătat un interes deosebit pentru a sparge securitatea site-urilor operate cu WordPress.

Doar în ianuarie 2017, WordFence a raportat o medie de 26 de milioane de atacuri brute force împotriva site-urilor WordPress pe zi. În același raport, au înregistrat atacuri mai complexe și direcționate, cu o medie de 4,7 milioane pe zi pentru aceeași perioadă. Sunt foarte mulți oameni și roboți cu intenții rele. Securitatea site-ului tău WordPress este o problemă importantă, iar un loc bun pentru a începe securizarea este pagina de login. Așadar, să începem să facem pagina de login a site-ului tău WordPress un pic mai sigură.

1. Nu utilizați „admin” ca nume de utilizator Acesta este probabil cel mai simplu pas de bază pentru securitatea WordPress pe care îl poți lua ca utilizator WordPress. Nu te costă nimic, iar instalarea îl face ușor de realizat. Majoritatea atacurilor de astăzi vizează punctele de acces wp-admin / wp-login folosind o combinație de „admin” și o anumită parolă în ceea ce este cunoscut sub numele de atacuri brute force. Logica ar dicta că dacă eliminați „admin”, veți opri și atacul.

Pur și simplu creați un nou utilizator în WordPress la Utilizatori > Utilizator nou și faceți acel utilizator cu drepturi de Administrator. După aceea, ștergeți utilizatorul „admin”. Nu vă faceți griji cu privire la postările sau paginile pe care utilizatorul „admin” le-a creat deja. WordPress vă va întreba frumos: „Ce ar trebui făcut cu conținutul deținut de acest utilizator?” și vă va oferi opțiunea de a șterge tot conținutul sau de a-l atribui unui nou utilizator, cum ar fi cel pe care tocmai l-ați creat.

2. Utilizați o parolă puternică

Forțarea paginilor de login este una dintre cele mai comune forme de atacuri web pe care site-ul tău este probabil să le înfrunte. Dacă ai o parolă sau un nume de utilizator ușor de ghicit, site-ul tău va fi aproape sigur nu doar o țintă, ci în cele din urmă o victimă.

Experimentați cu parolele site-ului și schimbați-le regulat. Îmbunătățiți rezistența lor adăugând litere mari și mici, numere și caractere speciale. impune parole puternice pentru toți utilizatorii tăi

3. Limitați încercările de login Aceasta este o tehnică incredibil de simplă pentru a opri atacurile brute force pe pagina de login chiar în locul lor. Un atac brute force funcționează prin încercarea de a obține numele de utilizator și parola corecte prin încercarea mai multor combinații în mod repetat.

Dacă IP-ul care perpetuează atacul este urmărit, atunci puteți bloca încercările repetitive de brute force și puteți păstra site-ul securizat. setați Limit Login Attempts pentru a preveni atacurile brute force.

4. Păstrați-vă actualizat Un procent foarte mare dintre hack-urile site-urilor au provenit din versiuni de plugin-uri vulnerabile și neactualizate.

Fiecare produs software bun este susținut de către dezvoltatorii săi și este actualizat din când în când, dar WordPress este actualizat foarte frecvent. Aceste actualizări sunt menite să remedieze erori și uneori au patch-uri de securitate vitale.

Așadar, actualizați-vă WordPress, plugin-urile și temele în mod regulat.

5. Faceți backup-uri regulate ale site-ului Indiferent cât de securizat este site-ul tău, există întotdeauna loc pentru îmbunătățiri. Dar, la finalul zilei, păstrarea unui backup în afara site-ului este poate cel mai bun antidot, indiferent ce se întâmplă.

Dacă ai un backup, poți restaura întotdeauna site-ul tău WordPress la o stare funcțională oricând dorești. Există câteva plugin-uri care te pot ajuta în acest sens.

Plugin-ul WP All Backup vă ajută să creați Backup și să restaurați Backup-ul ușor cu un singur clic. Backup-uri manuale sau automate și, de asemenea, stocarea backup-ului într-un loc sigur - dropbox, FTP.

Creează un Backup al întregului site: adică baza de date, WP Core curent, toate temele, plugin-urile și încărcările.

WP ALL Backup oferă administratorilor WordPress abilitatea de a migra, copia sau clona un site de la o locație la alta. Dacă trebuie să mutați WordPress sau să faceți backup WordPress, acest plugin vă poate ajuta să simplificați procesul.

6. Setați parole puternice pentru baza de date O parolă puternică pentru utilizatorul principal al bazei de date este obligatorie - cel pe care WordPress îl utilizează pentru a accesa baza de date.

Ca întotdeauna, utilizați litere mari și mici, numere și caractere speciale pentru parolă.

7. Configurați blocarea site-ului și interziceți utilizatorii O funcție de blocare pentru încercările de login eșuate poate rezolva o problemă uriașă, adică nu mai există încercări continue de brute force. Ori de câte ori există o încercare de hacking cu parole greșite repetitive, site-ul se blochează și ești notificat despre această activitate neautorizată.

Plugin-ul WP User WordPress are un mecanism pentru încetinirea atacurilor brute force, Limit Login Attempts, Notificare la blocare, Expresie regulată pentru parole, Google reCAPTCHA, Jurnal de login, Aprobare/Respingere Utilizator, Aprobare automată/prin email a utilizatorului.