Italiano
Español
RomânăДолжен ли WordPress добавлять опции для улучшения безопасности или оставить это разработчикам плагинов?
Судя по страстным ответам на этот вопрос, ответ очевиден: "Ничего не менять!" или "оставить это разработчикам плагинов, WP и так достаточно безопасен"...
Похоже, я сильно ошибся с этим вопросом? Видимо, я задел за живое, хотя такой цели не было. Тем не менее, вот реальный случай из практики...
Я только что получил письмо от клиента, у которого взломали 12 сайтов, потому что злоумышленник подобрал его пароль. Его комментарии открыли мне глаза на некоторые очень простые опции, которые можно добавить в ядро WordPress, чтобы сделать сайты менее уязвимыми к подобным атакам.
Самое простое, что может сделать пользователь - изменить стандартное имя пользователя. Я предполагаю, что более 90% работающих WP-сайтов имеют профиль "admin", который может использоваться или нет, но очевидно имеет полные права. Для злоумышленника это уже полдела!
Но ядро WP тоже можно улучшить очень простыми мерами безопасности. Насколько сложно было бы добавить...
- Блокировку после неудачных попыток входа (настраиваемое пользователем значение)
- Регулировку времени между неудачными попытками входа (настраиваемое значение в секундах)
- Ограничение по диапазону IP (список IP-адресов, с которых разрешён вход)
Это лишь несколько идей, которые пришли в голову. Уверен, у вас есть и лучшие предложения.
И суть моего вопроса не в том, что должны делать "пользователи" для улучшения безопасности - это совсем другой вопрос. Я спрашиваю, какие шаги может предпринять WP, чтобы предоставить некоторые НАСТРОЙКИ, ничего обязательного, но то, что сейчас заполняют разработчики плагинов, хотя это должно быть частью каждой стандартной установки WP (ИМХО).
Планируются ли подобные улучшения в ближайших релизах WP?
@t3los: у большинства сайтов на WordPress есть только один администратор. Именно к логину администратора я предлагаю добавить дополнительные опции защиты. Я предлагаю это именно как опцию, так же как и изменение постоянных ссылок. Спасибо за предложенные идеи.
Scott B
@Scott B - Что бы вы предложили для дополнительной защиты учетных записей администраторов?
t31os
@t3los: я думаю, что трех мер, которые я перечислил в вопросе, будет достаточно для начала. И это были бы вещи, которые я мог бы просто "рекомендовать" клиентам включить. Ничего обязательного. И когда я говорю, что у большинства сайтов есть один администратор, то обычно это ЕДИНСТВЕННЫЙ пользователь, имеющий доступ к панели управления WordPress, по моему опыту.
Scott B
@t3los: Просто чтобы уточнить насчёт администраторов. У меня ~1 тыс. клиентов, которые все используют WP (и более 10 тыс. установок WP среди этих клиентов). Более 95% из них имеют ровно 1 пользователя в таблице Users, и почти в 100% этих случаев это администратор.
Scott B
Да, но, как я уже говорил, есть вероятность, что некоторые меры могут негативно сказаться на опыте законного пользователя (и практически не помешают опытному хакеру). Однако переименование основного аккаунта всегда стоит сделать, как описано в документации по усилению защиты WordPress: http://codex.wordpress.org/Hardening_WordPress, которая является хорошим источником информации по защите сервера (по крайней мере, это хорошая отправная точка).
t31os
В большинстве случаев это небольшие сайты с одним администратором. Предлагаемые мной опции не являются обязательными и будут определяться пользователем как дополнительный уровень безопасности. В случае с моим клиентом любая из 3 предложенных мной опций, вероятно, предотвратила бы простой взлом пароля администратора. Я не могу сказать, что хакер просто "переключился бы на другой сайт", однако взлом был осуществлен слишком легко.
Scott B
@Scott B чем включение необязательной опции отличается от установки плагина, который делает то же самое? Я понимаю вашу точку зрения, что это могло бы быть включено в ядро. Но я также понимаю, что это не то, что WordPress обязан делать, и это не то, что нельзя сделать уже сейчас.
Rarst
Это зависит от уровня подготовки пользователя. Конечно, они должны знать эти вещи, но большинство считают само собой разумеющимся, что WP уже защищает их сайты от простого взлома паролей. Поэтому, если бы они знали, насколько легко взломать пароль администратора в стандартной установке WP, возможно, они последовали бы вашему совету и нашли бы и установили соответствующий плагин. Но большинство узнает об этом, когда уже слишком поздно.
Scott B
спасибо за предложение использовать "Login Lockdown". Я подумаю над тем, чтобы порекомендовать его своим пользователям. Хотя, мне кажется, эта функция должна быть встроена в ядро как опция в настройках.
Scott B
+1 за полезное предложение (забыл указать это в своем первоначальном комментарии).
Scott B