WordPress Security hakkında bilmeniz gerekenler
Zor ders WordPress’in Güvenliği Hakkında Konuk Blogları Güvenliği Hakkında Bugün Isaac Castillo tarafından yazılmıştır. Isaac, San Antonio merkezli bir WordPress ve WooCommerce geliştirme şirketi olan Echo Design Solutions’ın kurucusudur. Isaac ve ekibi kısa süre önce site sahibinin WordPress güvenlik ihlallerinden kurtulmasına yardımcı oldukları bir projeyi tamamladı. Bu deneyimden öğrenilen birçok değerli ders var ve Isaac bunu bizimle paylaşmayı kabul etti. Bu ipuçlarının sizin için yararlı olduğunu umuyoruz.
İstişare uygulamalarımın çoğu, site sahiplerini WordPress güvenlik uzlaşmasından kurtarmaya ve bunun bir daha gerçekleşmemesini sağlamaya adanmıştı. Aslında, son zamanlarda yukarıdaki örnekte olduğu gibi kara listeye alınan müşterilerle çalışmaya başladım. Genel güvenlik açığı türleri ve bu müşteri ve diğerleriyle çalışan en iyi iyileştirme yöntemleri hakkında çok şey öğrendim. Bu yüzden WordPress sitenizi nasıl güvence altına alabileceğinizi ve tüm bu kötülerden kaçınabileceğinizi göstermek için deneyimimi sizinle paylaşacağım. Aşağıda açıklanan en iyi güvenlik uygulamasının savaşta test edildiğini ve iyi çalıştığını sakinleştirebilirsiniz. Kayıt için, onlarla çalışmaya başladığımızdan beri bu müşterinin güvenlik sorunu yoktur. Tekrar Öğrenin
Müvekkilim aradığım ilk şeyi kurtarmak için çağrılmaya çağırılan bir şeylerin yanlış olduğunu bulmak için tüm siteleri iyi gözlemlemekti. Birinin siteye yüklediği ilaçları geliştiren erkeklerin bazı resimlerini buldum. Bu elbette müvekkilim için kötü bir haber, olması gerektiği kadar kötü olmasa da. Güvenlik açığının tam olarak nerede olduğunu belirlemek zordur, bu nedenle siteyi en iyi uygulamayı takip ederek sistematik olarak kilitlemeye başlarım. Bir sonraki şeyi güvence altına almak bir sonraki şeyi sitedeki tüm eklentileri devre dışı bırakmaktı. Daha sonra hangi eklenti istemcilerini gerçekten kullandıklarını ve sonra güncellediklerini ve etkinleştirdiklerini sordum. Geri kalan her şeyi sildim.
Gerektiğinden daha fazla eklenti yüklü sitelerde ne sıklıkta çalıştığımı her zaman şaşırttı. Çoğu zaman yetim eklentisi site sahibi tarafından asla güncellenmemiştir. Bu, kötü insanlar için çok büyük bir saldırı vektörü yaratır. Yani, sitenizde yüklü bir yetim eklentiniz varsa, lütfen kendinize yardım edin. WordPress güvenliğini hemen artırmak için mümkün olan en kısa sürede devre dışı bırakın ve silin. Ayrıca güvenilir bir eklenti kullandığınızdan emin olmanız gerekir. WordPress çok iyidir, çünkü sitenize işlev eklemeyi seçmek için çeşitli eklentiler vardır. Pek çok seçenekle, iyi yazılmayan ve bir güvenlik deliği olan bazılarını da bulacaksınız. WordPress, bir eklentinin kullanıcı tarafından ne kadar iyi değerlendirildiğini görmenizi sağlayan bir sıralama sistemi vardır. Birçok WordPress kullanıcısı tarafından yüksek kabul edilen bir eklenti seçtiğinizden emin olun. Son olarak, tüm eklentilerinizin güncel olduğundan emin olun. Özellikle eklenti güncellemesini kontrol etmek için haftada en az bir kez WordPress sitenize girmeye alışın ve ardından mevcut olanı yükleyin. Bu bir alışkanlığı yapmak, WordPress güvenliği açısından büyük bir fark yaratabilir.
WordPress’in çekirdeğini güvence altına almak, hatırlanması gereken başka bir şey, WordPress’in çekirdeğinin de geliştirilmesi gerektiğidir. Bu özel proje, mevcut sürüm 4.3’deyken 3.5 sürümünde. İki sürüm arasında birçok güvenlik iyileştirmesi ve hata meydana gelmiştir. Bu yüzden yaptığım bir sonraki şey, müşterinin WordPress’in çekirdeğini 4.3’e tamamlamak.
WordPress Core’u güncellemeye devam ettiğinizden emin olmanın ne kadar önemli olduğunu vurgulayamıyorum. İyi haber şu ki, Pressiable gibi birçok WordPress barındırma sağlayıcısı, WordPress Core’u sizin için otomatik olarak güncelleyecektir. Yani, bu hizmeti sunan bir ev sahibi ile çalışmıyorsanız, hemen ana bilgisayara geçmeyi düşünmelisiniz. Sitenize erişimi kilitleme Şimdi WordPress yönetici hesabından başlayarak site erişim noktasını kilitleme zamanı. Güvenli bir kullanıcı adı ve şifre yapmayı düşünmeyen bir istemci sitesi ne sıklıkta bulduğuma şaşıracaksınız. Bu müşteri bir istisna değildir. Güçlü bir şifre üretmeme yardımcı olmak için kullandığım araçlardan biri bir Norton şifre üreticisidir. Bu aşamadaki bir diğer denge, diğer erişim yollarını güvence altına almaktır. İşte kontrol listenize eklemeniz gereken öğelerin kısa bir listesi:
CPanel/Host Erişim
FTP erişimi
Veritabanı erişimi
Tüm bu erişim noktaları için benzersiz bir kullanıcı adı ve güçlü bir şifre oluşturduğunuzdan emin olun. WordPress veritabanı önekini Değiştir Tüm istemci sitelerimde yaptığım bir şey, WordPress tarafından kullanılan tablo önekini varsayılan olarak değiştirmektir. Bu, wp-config.php adresinde “WP_” yazan bir çizgidir. Genellikle müşterilerimin her biri için bazı benzersiz sayısal öneklere dönüştürüyorum. Bu, kötü insanların verilere doğrudan veritabanından erişmesini/değiştirmesini zorlaştırır.
WP-Config.php Taşı Başka bir genel saldırı vektörü, wp-config.php dosyalarını değiştirmeyi içerir. Bu dosyayı başka bir dizine taşımaya karar verdim. Yapılandırma dosyası, kamuya bakan dizinin üzerinde bir dizin yaşayabilir. Genellikle klasöre html, www, public veya public_html denir. WP-Config.php dosyamı sitenin kökü ile aynı seviyede olacak şekilde hareket ettirdim. WordPress önce geçerli dizinde arayacaktır. Orada bulamazsanız, WordPress dizin yapısında bir seviyede yükselecek ve kök site dizine ulaşana kadar orada ve böylece arayacaktır. Bu dosyayı hareket ettirmek bir tarayıcı aracılığıyla halka erişilemez hale getirecektir. Düzeltiyorum. Htaccess Son adımım, mobil cihazda müşterinin sitesini kontrol etmek. Mobil cihazlarda bazı nedenlerden dolayı, müşterimin sitesi casino uygulamasını indirmeye devam ediyor. Hemen .htaccess dosyasını kontrol ettim ve tehlikeye atıldığından emindim. Bu olabilir, çünkü uzun süre daha uzun ve daha az güvenli bir WordPress versiyonu çalıştırırlar. Bunu düzeltmek, yeni bir .htaccess dosyası oluşturarak ve hücresel deneyimlerinin artık rahatsız olmamasını sağlamak için test ederek basit bir sorundur. Neyse ki mutlu bir son, müvekkilimin işinin normale dönmesi uzun sürmedi. Ayrıca, WordPress’in güvenliğini koruyacak bir konumda olmadıklarını da fark ediyorlar. Bu nedenle, sitelerini güvende tutmak için sürdürülebilir bakım paketlerimizden birine kaydolmaktan mutluluk duyarlar. O zamandan beri her şey yolunda gitti.
