הקשחת וורדפרס ללא תוסף: 10 צעדים ידניים שכל מנהל חייב לדעת

סיכום

בעלי אתרי וורדפרס רבים מסתמכים על תוספי אבטחה כקו ההגנה היחיד שלהם, אך זה עלול ליצור תחושת ביטחון כוזבת. התקנת וורדפרס מוקשחת באמת דורשת תצורות ידניות שאף תוסף לא יכול להחליף. מאמר זה מציג 10 צעדי הקשחה קונקרטיים שלב אחר שלב שתוכלו ליישם מיידית ללא כל תוסף. מהגדרת הרשאות קבצים נכונות ועד השבתת XML-RPC, כל צעד מטפל בפרצה ספציפית. תלמדו כיצד לנעול את wp-config.php, להסיר גלישה בתיקיות ועוד. ביצוע צעדים אלה יקטין משמעותית את משטח התקיפה שלכם, גם אם תמשיכו להשתמש בתוספי אבטחה כשכבת הגנה נוספת. בסיום, יהיה לכם אתר וורדפרס מוקשח ידנית שעמיד הרבה יותר בפני התקפות נפוצות.

מבוא

התקנתם תוסף אבטחה פופולרי, הגדרתם חומת אש והרצתם סריקות קבועות. ובכל זאת, אתר הוורדפרס שלכם עלול עדיין להיות פגיע. תוספי אבטחה הם בעלי ערך, אך לעתים קרובות הם מפספסים את הפירות הנמוכים שהקשחה ידנית תופסת. הסתמכות בלעדית על תוספים היא כמו לנעול את דלת הכניסה אבל להשאיר את החלונות פתוחים. במאמר זה תלמדו 10 צעדי הקשחה ידניים שכל מנהל וורדפרס צריך לבצע, ללא קשר לתוספים שבהם הוא משתמש. צעדים אלה אינם דורשים מומחיות בתכנות וניתן לבצעם תוך פחות משעה. בואו נתחיל לבצר את האתר שלכם מהיסוד.

1. הגדרת הרשאות קבצים נכונות

אחת התצורות השגויות הנפוצות ביותר היא הרשאות קבצים ותיקיות רחבות מדי. באופן אידיאלי, כל הקבצים צריכים להיות 644 ותיקיות 755. קובץ wp-config.php רגיש במיוחד – הגדר אותו ל-440 או 400 לאחר ההתקנה. השתמש בלקוח FTP או במנהל הקבצים של השרת כדי להתאים הרשאות. אם אינכם בטוחים בהגדרות הנוכחיות שלכם, בצעו ביקורת מהירה באמצעות סקריפט או בדקו דרך שורת הפקודה עם find /path -type f -exec chmod 644 {} \; ו-find /path -type d -exec chmod 755 {} \;. שינוי פשוט זה מונע ממשתמשים לא מורשים לקרוא או לשנות קבצים קריטיים.

2. השבתת עריכת קבצים מלוח הבקרה

כברירת מחדל, וורדפרס מאפשרת למנהלים לערוך קבצי ערכת עיצוב ותוספים ישירות מלוח הניהול. אם תוקף מקבל גישה לחשבון מנהל, הוא יכול להזריק קוד זדוני. השבת תכונה זו על ידי הוספת השורה הבאה לקובץ wp-config.php שלך:

define('DISALLOW_FILE_EDIT', true);

זה לא משפיע על היכולת שלך להעלות ערכות עיצוב או תוספים – זה רק מסיר את עורך הקבצים המובנה. השתמש ב-IDE או ב-FTP לעריכות לגיטימיות.

3. השבתת גלישה בתיקיות

אם גלישה בתיקיות מופעלת, כל אחד יכול לראות את כל הקבצים בתיקיית wp-content/uploads שלך, שעלולה לחשוף נתונים פרטיים. מנע זאת על ידי הוספת שורה זו לקובץ .htaccess (Apache) או תצורה מקבילה:

Options -Indexes

עבור Nginx, הוסף autoindex off; בבלוק השרת. בדוק על ידי ביקור בכתובת URL של תיקייה; אתה אמור לראות שגיאה 403 אסור במקום רשימת קבצים.

4. השבתת XML-RPC

XML-RPC הוא פרוטוקול ישן המשמש לפרסום מרחוק ו-trackbacks. הוא וקטור נפוץ להתקפות כוח גס והגברת DDoS. אלא אם אתה זקוק לו בהחלט (למשל לתוסף Jetpack או אפליקציה ניידת), השבת אותו לחלוטין. הוסף זאת ל-.htaccess שלך:

# חסימת בקשות xmlrpc.php של וורדפרס
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

לחלופין, השתמש בתוסף או בחומת האש של השרת כדי לחסום גישה. לאחר ההשבתה, בדוק שהאתר שלך עדיין עובד – רוב התוספים המודרניים כבר אינם מסתמכים על XML-RPC.

5. הסרת ערכות עיצוב ותוספים שאינם בשימוש

כל ערכת עיצוב או תוסף נוסף מגדילים את משטח התקיפה שלך. גם אם הם מושבתים, קוד מיושן עדיין יכול להיות מנוצל. מחק כל ערכת עיצוב שאינך משתמש בה באופן פעיל, והסר תוספים שאינם נחוצים עוד. זה חשוב במיוחד עבור תוספים נטושים שאינם מקבלים עוד עדכונים. למדריך ניקוי שלב אחר שלב, ראה את המאמר שלנו על הסכנה הנסתרת של תוספי וורדפרס נטושים.

6. שינוי קידומת טבלאות מסד הנתונים

כברירת מחדל, וורדפרס משתמשת ב-wp_ כקידומת הטבלאות במסד הנתונים. זה ידוע ברבים ומקל על התקפות SQL injection. שנה את הקידומת למשהו ייחודי במהלך ההתקנה. אם האתר שלך כבר באוויר, אתה עדיין יכול לשנות אותה – אם כי זה דורש יותר מאמץ. השתמש בתוסף כמו "Change Table Prefix" או בצע זאת ידנית דרך phpMyAdmin:

1. ייצא את מסד הנתונים שלך.
2. שנה שם לכל הטבלאות באמצעות קידומת חדשה (לדוגמה, mysec_).
3. עדכן את wp-config.php עם הקידומת החדשה.
4. עדכן את טבלאות options ו-usermeta שבהן נעשה שימוש בקידומת הישנה.

תמיד גבה לפני ביצוע פעולה זו.

7. הגבלת ניסיונות התחברות

התקפות כוח גס הן הדרך הנפוצה ביותר שבה תוקפים מקבלים גישה. לורדפרס אין מגבלת ניסיונות התחברות מובנית. יישם זאת ידנית על ידי הוספת קוד לקובץ functions.php של ערכת העיצוב שלך, או יותר טוב, השתמש בתוסף חובה (must-use plugin). לחלופין, ספק האירוח שלך עשוי להציע זאת דרך לוח הבקרה. אם אתה מעדיף תוסף, בחר בתוסף קל וכתוב היטב. לאסטרטגיה רחבה יותר לטיפול בפרצות, עיין ב-תהליך תיקון אבטחת וורדפרס שלנו.

8. שינוי שם משתמש מנהל

לעולם אל תשתמש ב-"admin" כשם משתמש – זה הניחוש הראשון בכל התקפת כוח גס. אם כבר יש לך חשבון עם שם משתמש זה, צור חשבון מנהל חדש עם שם ייחודי, ולאחר מכן מחק את הישן. כמו כן, שקול להשתמש בכתובת דוא"ל כדי להתחבר במקום שם משתמש.

9. חיזוק מלחים ומפתחות מסד הנתונים

וורדפרס משתמשת במלחים ומפתחות כדי להצפין הפעלות משתמש ועוגיות. אם אלה נפגעים, תוקפים יכולים לזייף הפעלות. צור מלחים חזקים חדשים באמצעות מחולל המלחים של וורדפרס. העתק את הפלט והחלף את השורות המתאימות בקובץ wp-config.php. בצע זאת מעת לעת, במיוחד לאחר אירוע אבטחה.

10. הפעלת עדכונים אוטומטיים לליבה

שמירה על ליבת וורדפרס מעודכנת היא קריטית. הפעל עדכונים אוטומטיים עבור מהדורות משניות וראשיות על ידי הוספת שורה זו ל-wp-config.php:

define('WP_AUTO_UPDATE_CORE', true);

עבור מהדורות ראשיות, ייתכן שתרצה לבדוק תחילה באתר staging, אך אל תעכב עדכוני אבטחה. שלב זאת עם בדיקות ידניות קבועות של עדכוני תוספים וערכות עיצוב.

סיכום

הקשחה ידנית היא הבסיס לאתר וורדפרס מאובטח. 10 צעדים אלה מטפלים בפרצות נפוצות שסורקים ותוספים מתעלמים מהן לעתים קרובות. על ידי יישומם, אתה מקטין את משטח התקיפה שלך ומשיג שקט נפשי. זכור שאבטחה היא תהליך מתמשך – בקר מחדש בתצורות אלה מעת לעת. לגישה מקיפה, ראה את מדריך ביקורת אבטחת וורדפרס פרואקטיבי שלנו. התחל היום עם צעד אחד, ובנה משם. אבטחת האתר שלך תלויה בפעולות שאתה נוקט כעת.