Здравствуйте, друзья! Многие блоггеры даже не подозревают, что их «детище», творение, может быть уничтожено безвозвратно. Особенно это часто происходит при наборе неплохой посещаемости. В этой статье вы узнаете как максимально эффективно защитить свой, сайт на ВордПресс.
В данной статье рассмотрим основные советы по защите, применяя их, вы увеличите безопасность вашего Интернет-ресурса в разы. Так что же включает в себя защита сайта на wordpress?
Необходимо выполнить следующее:
1). Установите плагин . Этот плагин предотвращает попытки взлома блога путём перебора паролей. В Login LockDown есть специальные настройки, например, можно установить лимит на неправильный ввод пароля. Т.е. если злоумышленник введёт пароль неправильно, например, 3 раза, то плагин заблокирует IP на определённое время, которое вы также установите.
2). Измените стандартный логин Admin для входа в админку . После установки блога на движке WordPress, у вас для входа в админку будет стоять стандартный логин admin . Его можно изменить двумя способами:
- Создать нового пользователя с правами администратора, старого с логином admin удалить;
- Воспользоваться панелью phpMyAdmin хостинга, на котором расположен ваш ресурс.
Чтобы сменить пароль в phpMyAdmin, нужно (пояснения к phpMyAdmin хостинга ) :
1. В панели phpMyAdmin выбрать вкладку wp_users , поставить галочки в чек-боксах перед user_login и user_pass и нажать на кнопку "О б зор " .
2. В принципе user_pass можно и не выбирать, это для наглядности примера. Ваш пароль и пароли других пользователей зашифрованы в MD5, поэтому отображаются некорректно.
После нажатия на кнопку "Обзор " , ищите логин admin и нажимаете "Изменить "
3. Далее изменяете логин admin на новый и, если у вас пароль не сложный, можете сразу его изменить: напротив user_pass выбирайте MD5 и замените шифр типа $P$BMHPz4RSlCUCSTUCiL0gliIMlHth2P/ на новый пароль. После сохранения он будет зашифрован и примерно также выглядеть. Кстати, если вам не хочется, чтобы отображался никнейм в виде admin (мне больше нравится видеть своё имя и фамилию), то можете изменить его в строке user_nicename . Всё, после этого нажмите кнопку "Ок " .
3). Своевременно обновляйте блог . Недавно прочитал статью про уязвимость на ВордПресс с помощью которой злоумышленник мог завладеть правами админа с понятным исходом. Достаточно было ввести специальный код в поле комментариев! И всё, блог захвачен! WordPress третьей версии подвержен этому багу. Только обновив до четвёртой, вы спасёте свой блог, хотя четвёртая версия вышла не так давно .
4). Удалите файлы Readme.txt и License.txt . При помощи данных файлов хакер может узнать версию движка, как следствие, взлом блога.
5). Удалите информацию о версии WordPress . Необходимо удалить в файле header.php строку:
” />
Для этого в конце кода в файле function.php добавьте строку:
Также в файле search.php необходимо заменить строку:
Это не даст злоумышленникам находится на вашем сервере.
Также для запрета просмотра каталогов сайта в файле .htaccess пропишите строку:
7). Проверьте, видны ли папки и файлы в директориях wp-content и wp-content/plugins/ . Для этого в окно Вашего браузера введите два адреса:
Если при переходе по этим адресам вы видите папки и файлы — это нужно немедленно исправить. Исправить это очень просто: создайте в каждой из директорий пустой файл index.php , проверьте, после перехода должна открываться пустая страница.
8). Уберите блок, высвечивающийся после неправильного ввода логина или пароля . Его нужно обязательно убрать! Он подсказывает злоумышленникам правильность вводимых данных.
Конкретно написано, что неправильно ввёл пароль. Улавливаете?
Чтобы этих подсказок не всплывало, добавьте следующий код в файл functions.php :
add_filter ("login_errors",create_function ("$a", «return null;»));
А теперь мы видим следующее:
9). Делайте резервное копирование базы данных . Это один из самых важных пунктов. Для этого вам поможет плагин , можно поставить даже на ежедневную отправку базы данных на свой почтовый ящик.
На этом я остановлюсь, этого достаточно для основной защиты блога от взлома. Может кто-нибудь ещё знает хорошие способы защиты блога от взлома? Пишите, обсудим.
Новость №1
Для старта « » осталось набрать двух участников. Так, что успейте войти в первую десятку, так как именно первые 10 участников получат приз без напряга!
Новость №2
В добавилось ещё 3 комплекта. Я не так давно решил прикупить несколько реселлерских комплектов по очень дешёвой цене 900р, предлагалось 90 комплектов. Оплатил заказ, ссылку выслали, зашёл на страницу для скачивания, а ссылки не работают!!! Вот так, ни одна из ссылок для скачивания не работала. Написал претензию на возврат денег в систему , деньги вернули в течение 5 суток.
Так, что, друзья, если вам предлагают купить кучу комплектов по плёвой цене — это не значит, что они там есть. Покупайте лучше у тех, кого знаете, либо свяжитесь с автором. А то получится такая же не очень приятная ситуация, как у меня.
А вы уже подписались на рассылку новостей с блога?
Р.S.
Кто-нибудь работает на сайтах из ? Я на Воркзилле 4000р заработал за эту неделю без особого «напряга», только на заданиях типа «Оставить отзыв», «Помощь по сайту», «Перевести аудио в текст». Я думаю такие задания может выполнить каждый.
С уважением, Александр Сергиенко
Здравствуйте читатели и посетители блога сайт!
В этой статье отведу особое место очень важной теме. Сегодня буду рассказывать о том, как защитить свой блог под управлением популярной от взлома недоброжелателей.
Как защитить wordpress от взлома? В чём заключается ?
Нужна ли Вам защита wordpress?
Согласно статистике, основная масса начинающих вебмастеров даже не думают об этом. , сайты, нашпиговывают их плагинами, пишут кучу статей.
Озарение наступает позже, когда их драгоценный раскрученный ресурс с хорошей посещаемостью просто взламывают злоумышленники.
Цель у взломщиков может быть разная: от размещения на Вашем блоге различной рекламы до полного присвоения блога себе или полного удаления.
И если Вы читали внимательно мою предыдущую статью о том, и уже применяете эти знания на практике, то Вы будите в выигрыше. Вы всегда сможете его восстановить.
Однако, зачем тратить свое драгоценное время на восстановление своего ресурса, когда его можно просто заранее обезопасить. Сэкономленное время и нервы Вы сможете направить на , оптимизации блога или изучения новой и полезной информации. Это будет намного эффективнее.
Так что советую Вам изучить данную статью и сразу же применить полученные знания по защите WordPress на практике.
В том случае если у Вас молодой блог, и Вы считаете, что никто не будет его взламывать, то может Вы и правы.
Но ведь когда то он будет более узнаваем и посетителей станет больше. Он окажется лакомым куском для взломщиков. Это может произойти в любой день, поэтому предлагаю Вам сейчас же, без отлагательств обезопасить свой блог.
Методики, которые я буду описывать, просты в применении и эффективны. Все описанные способы опробованы мной на практике, действуют и дали положительный результат.
Какова же реальная ? Итак, начнем.
Способы защиты wordpress от злоумышленников
1. Измените стандартный логин в WordPress на свой .
По умолчанию WordPress предлагает Вам для авторизации в системе логин admin, который нельзя изменить в самой административной панеле блога. Вам нужно его изменить на любой другой.
Для этого необходимо войти в панель управления вашего хостинг-провайдера, кликнуть по вкладке Mysql и затем зайти в Php My Admin. Логин и пароль для входа предоставляет .
При входе на главной странице в левой колонке кликаем по . Нам откроется список всех таблиц нашей базы. Нажимаем на пункт под названием wp_users. Обратите внимание на верхнюю панель Php My Admin- должна быть открыта вкладка «Обзор»!
После этого в строке админ нажимаем на Изменить и в появившемся полях меняем логин admin в двух местах на свой.
Не забудьте после этого нажать кнопку Ок, которая находится в нижней части таблицы(на скриншоте не указана):
2. Придумайте и создайте надежный пароль для входа в админку сайта .
Стоит заметить, что существуют различные плагины, которые ограничивают попытки ввода пароля в админку. Например не более трех раз. После этого они блокируют доступ на определенное время.
Один из таких плагинов Login LockDown или Limit Login Attempts.
Однако, постоянные читатели моего блога знают, что я не люблю плагины из-за того, что в них много лишнего, они дополнительно и созданы незнакомыми мне людьми.
Я всеми силами стараюсь заменять кодами на своем блоге и Вам советую поступать также. Хотя выбор каждый делает сам.
Вместо этих плагинов, я предлагаю придумать надёжный пароль к админке сайта, состоящий из цифр, букв и знаков препинания.
У меня, например, пароль к админке состоит из более чем 20 знаков. Так будет надежнее. Поменять пароль проще простого. Вы можете это осуществить в админпанеле своего блога.
Зайдите в меню админки слева во вкладку Пользователи и в выпадающем списке выберите пункт Ваш профиль:
Опуститесь вниз этой страницы и найдите раздел Обо мне. Там будет два поля: Новый пароль и Повторите новый пароль. В этих полях введите свой пароль и не забудьте внизу нажать кнопку Обновить профиль. Вот и всё.
3. Удалите ненужные файлы .
В корне Вашего сайта есть два файла readme.html и license.txt. Они Вам не пригодятся, однако для взломщиков будут весьма полезны.
Они, как раз сообщат нехорошим парням версию Вашей системы WordPress и много другой нужной им информации для взлома.
Также зайдите в админпанель в меню слева во вкладку Внешний вид и в выпадающем списке выберите Редактори откройте файл header.php.
С помощью поиска найдите строчку:
и удалите ее. Она показывает версию Вашей системы WordPress.
Вызвать поиск можно нажав две клавиши Ctrl+F. Откроется окошко поиска. Вот туда и нужно ввести эту строку. Затем нажать Enter.
Если похожая комбинация есть в коде файла, она подсветится. Если такой строчки нет, будет написано: Ничего не найдено. В таком случае можете успокоиться. Ничего делать не нужно
4. Делайте резервное копирование базы данных и файлов
Хочу только уточнить, что я уже не пользуюсь плагином wordpress database backup, а копирую базу данных вручную с Php MyAdmin.
Автоматизация конечно хорошо, но безопасность важнее. Мне не составляет труда потратить 2-3 минуты на копирование базы. Себе я больше доверяю, нежели плагину.
Надеюсь Вы сможете экспортировать свою базу данных из Php на свой компьютер. Если не знаете как это сделать-задавайте вопросы, помогу!
5. Закройте обзор своих директорий.
Зайдите в файл.htaccess в корне Вашего сайта через Фтп-клиент. Подробно как это осуществить, читайте ту же статью о Резервном копировании сайта.
И пропишите дополнительную строку:
Options All -IndexesЭта команда позволит закрыть обзор директорий.
Затем проверьте директории:
1. http://ваш блог/wp-content/ 2. http://ваш блог/wp-content/plugins/Пропишите их поочерёдно в адресную строку браузера. После их открытия в браузере не должно быть видно файлов и папок этих директорий.
Если что-то есть, то необходимо исправить ситуацию. Откройте их через Фтп клиент и отредактируйте.
Для этого создайте в каждом из директорий пустой файл index.php. Это простой текстовый файл с расширением.php. Создайте его с помощью Блокнота или Notepad++ и закачайте в директории на сервер.
После нововведений, при открытии каждой из директорий через браузер, должна появляться пустая страница!
6. Смените стандартную страницу входа в админпанель.
В настоящее время участились атаки мошенников по подбору логина и пароля к панели администрирования системы wordpress. Нехорошие парни используют десятки тысяч IP- адресов!
Эта стратегия дает им огромное преимущество. Мы уже ранее поменяли стандартный логин и придумали надежный пароль к своей админпанеле.
Ну а теперь зададим еще одну задачу для хакеров — отыскать наш адрес входа в панель администрирования.
Стандартный адрес страницы входа в панель WordPress: ваш блог/wp-login.php или ваш блог/wp-admin . Мы создадим сейчас свой адрес входа.
Опять же можно это сделать проще- с помощью плагинов, но это не для меня. Тяга к программированию и различным экспериментам не даст мне воспользоваться ими.
Итак, как же изменить адрес входа в админку WordPress вручную? Найдите файл wp-login.php в корневой папке блога.
Осуществляйте все действия по порядку:
- Измените название самого файла wp-login.php на любое другое(например, open.php)
- Скопируйте это название в буфер проводника и откройте переименованный файл open.php и с помощью текстового редактора Notepad ++ замените все слова wp-login.php на open.php.
- Затем откройте другой файл wp-includes/general-template.php и замените все wp-login.php на open.php.
После таких операций адресная строка входа в админпанель сменится с http://ваш блог/wp-login.php на http://ваш блог/open.php
И ещё хочу напомнить, что если Вы до сих пор пользуетесь стандартным виджетом «Мета» - то удалите его, потому как при наведении на эту ссылочку «Войти» виден адрес страницы входа, а значит все усилия по изменению адреса входа напрасны.
Но это ещё не всё. Вы поменяете адрес входа в админку, но нсли мошенник введёт в адресную строку http://ваш блог/wp-admin, то его перенаправит (осуществится редирект) на тот адрес входа в админ-панель, который Вы создали.
Поэтому нам нужно сделать редирект с http://ваш блог/wp-admin на гланую страницу Вашего блога. Читайте далее.
7.Сделайте редирект с wp-admin на Ваш блог.
Сделать это не сложно. Откройте в панели администрирования слева в меню Внешний вид, затем выберите Редактор. Выберите файл для редактирования. В данном случае нас интересует файл Функции темы (functions.php)
Между и ?> Вам нужно вставить следующий код:
add_action("init", "blockusers_init"); function blockusers_init() { if (is_admin() && ! current_user_can("administrator") && ! (defined("DOING_AJAX") && DOING_AJAX)) { wp_redirect(home_url()); exit; } }Потом просто нажмите внизу кнопку «Обновить файл». Вот и всё. Редирект мы сделали.
- проверьте все установленные плагины и удалите неиспользуемые;
- сразу же и плагинов как только приходит информация об обновлении;
- создайте сложный пароль на панель управления хостингом и базу данных;
- закачивайте файлы на сервер только через панель управления и Php My Admin, а не через Фтп-клиенты;
И ещё одна полезная рекомендация. Если Вы считаете, что не справитесь с этим и Вам нужна помощь в защите своего ресурса, то пишите на почту суперпрограммисту, моему партнёру и просто отличному специалисту — Дмитрию Горунину: [email protected]
Ну вот в принципе и всё! Надеюсь был полезен. До встречи в новых статьях!
Не забудьте подисаться на обновления сайта внизу этой статьи, чтобы не пропустить полезную информацию.
Эта статья посвящена безопасности сайта на движке wordpress. Как максимально от взлома? Надо сделать всего 7 шагов.
Здравствуйте, уважаемый читатель. Такова уж человеческая натура, как в побасенке говорится – пока гром не грянет, мужик не перекрестится. Вы создали свой блог, установили движок wordpress, плагины, пишите посты, раскручиваете свой сайт и больше ни о чем не беспокоитесь? Напрасно.
И, если Вы думаете, что молодой сайт никому не нужен, то опять же заблуждаетесь.
Ведь как только Вы заявите себя в поисковых системах, Ваш блог тут же станет интересным для срытого размещения ссылок, скриптов и других разнообразных шпионских штучек. Зачем? Вариантов достаточно много –
заработать денег, потренироваться для улучшения профессиональных навыков, для развлечения просто, наконец.
Обидно будет потерять свое детище или найти кучу проблем по восстановлению своего ресурса из-за собственной легкомысленности.
Не теряйте время, в самом начале создания сайта побеспокойтесь о его безопасности. Хочу дать Вам предложить сделать несколько шагов по защите wordpress.
Первый шаг.
Запретить регистрацию пользователей на блоге, это очень даже обезопасит Ваш блог. Имейте в виду, если на Ваше сайте нет формы регистрации, роботам это не помешает регистрироваться. Сделать это просто – в консоли админпанели wordpress в общих настройках надо снять галочку – любой может зарегистрироваться. Я сама столкнулась с этим – за 2 дня на моем блоге внезапно зарегистрировалось 240 человек. Явно – это были роботы.
Второй шаг.
Попробуйте набрать в адресной строке браузера и пройти по этим адресам
- http://ваш блог/wp-content/
- http://ваш блог/wp-content/plugins/
Если Вы наблюдаете через браузер файлы и папки этих директорий, то это просто супер плохо. Немедленно создавайте в каждой из этих директорий пустой файл index.php. Надеюсь, Вы понимаете, что этот файл создается в текстовом редакторе и затем просто меняется расширение. Теперь, после ввода этих адресов в браузере, Вам будет открываться пустая страница.
Третий шаг.
Изменить логин и пароль для входа в панель управления хостингом на более сложные. А лучше всего менять пароль раз в 3 месяца хотя бы. Наверно не надо объяснять почему. Ведь это полный доступ к Вашему ресурсу. И если кто-то проберется сюда, то все другие Ваши старания защитить wordpress от взлома напрасны.
Четвертый шаг.
Защитить вход в админпанель wordpress. Для этого надо установить 2 плагина –
- Login LockDown или Limit Login Attempts – для предотвращения многократных попыток входа в админпанель. Если кто-то станет подбирать комбинации логин-пароль для проникновения и это не получиться у него с N-ного количества раз, то вход автоматически заблокируется на некоторый промежуток времени. Число попыток и значение промежутка времени блокировки можно устанавливать самому в настройках плагина.
- Плагин для защиты Вашего блога от XSS-атак – UpdraftPlus Backup and Restoration for WordPress или WP Database Backup.
Пятый шаг.
В корне Вашего блога есть файлы readme.html и license.txt, надо удалить их. В этих файлах содержится информация о версии вашего движка wordpress и еще разные полезные вещи для взлома, а Вам они совершенно не нужны.
Шестой шаг.
Поменять логин и пароль для входа в админпанель. Пароль я советую менять раз в месяц. Самый простой способ из админпанели – во вкладке пользователи выбрать профиль и изменить. А вот изменить логин admin, который стоит по умолчанию для входа, через саму админпанель сделать невозможно. Необходимо зайти в панель управления хостингом и затем в phpMyAdmin.
Затем выбрав базу и в ней вкладку wp_users, жмем в строчке admin – изменить.
Теперь в обоих выделенных на рисунке местах user_login и user_nicename необходимо изменить значение admin на Ваше имя(Вами придуманное). Тут же необходимо сразу изменить пароль. Было бы неплохо, если бы он составлял 20-30 знаков – буквы и цыфры.
В таблице в поле user_pass надо удалить все ее содержимое и написать свой пароль, при этом в выпадающем списке выбираем MD5.
Не забудьте нажат OK, чтобы изменения вступили в силу.
Седьмой шаг.
Желательно назначить пароль на папку wp-admin.
Для этого надо зайти в панель управления, затем файловый менеджер, public_html, далее имя Вашего домена и в настройках папки wp-admin нажать Protect. Затем ввести имя пользователя и 2 раза пароль. Этим способом можно воспользоваться, если Ваш хостинг допускает это. Хостинг sprinthost предоставляет такую возможность.
И еще несколько советов
- Желательно скачивать плагины с официального сайта wordpress.org. Плагин вполне может стать источником заражения вирусами.
- Систематически проверяйте свой сайт на вирусы, ну, например, на ресурсах iritec.ru и antivirus-alarm.ru.
- Настройте права доступа на папки – 755, на файлы – 644, для cache и uploads – 777.
- Обязательно регулярно делайте данных блога.
- Чтобы избавиться от назойливых комментаторов рекомендую .
Теперь Вы знаете что делать, чтобы от взлома. Ни в коем случае не расслабляйтесь. Обязательно надо защищаться! До безопасности сайта всего 7 шагов.
Статьи по теме:
- Как защитить текст от копирования.
Эта статья посвящена безопасности сайта на движке wordpress. Как максимально защитить wordpress от взлома? Надо сделать всего 7 шагов. Здравствуйте, уважаемый читатель. Такова уж человеческая натура, как в побасенке говорится – пока гром не грянет, мужик не перекрестится. Вы создали свой блог, установили движок wordpress, плагины, пишите посты, раскручиваете свой...
Надежда Трофимова [email protected] Administrator Блог сайтВозможно Вас также заинтересует:
Постраничная навигация wordpress – 33 варианта
В продолжение статьи Постраничная навигация wordpress с помощью WP-Pagenavi предлагаю вам 33 цветные варианта.
Все для безопасности сайта. Требуется срочное обновление WordPress.
Защита сайта на WordPress – важная задача, как для новичка, который запустил свое детище несколько дней-недель назад, и для собственника seo-империи.
К сожалению, вы не в полной мере сможете противостоять взлому блога, работающего на WordPress, так как это самый популярный движок из-за чего многим, даже начинающим хакерам, известны дыры в коде, уязвимости в дополнениях.
Если Вы являетесь обладателем молодого ресурса, придется противостоять немногим недоучкам-взломщикам или людям, которые делают первые шаги в этой сфере. Если Ваш блог начинает набирать обороты, то Вами начинают интересоваться конкуренты.
Первое
Когда Вы создавали аккаунт на хостинге, придумайте и запишите логин и пароль от него в тетради, а не в блокноте, и не сохраняйте документ в моих документах под названием «Мои пароли». Логин создастся один раз при регистрации, его не возможно сменить, Вы только можете создать новый аккаунт и перенести свои блоги, заказать перевод средств.
Когда придумываете пароль и логин используйте как можно больше неповторяющихся букв и цифр, лучше всего вперемешку, не забывайте о возможности изменять регистр.
Скачивайте установочный дистрибутив на официальном сайте wordpress, обходите стороной сборки. Логин и пароль к админ-панели WordPress можете задать при установке движка на хостинг. На момент написания статьи администратор блога может сменить только пароль в своем профиле. Логин меняется путем редактирования базы данных. Об этом я написал очень подробную инструкцию, ее прочтете здесь.
В качестве логинов не используйте банальные слова: admin, administrator, собственное имя, фамилию, отчество, прозвище, игровой или сетевой ник, дату рождения, имена близких родственников, либо простых их комбинации. Обычно такую информацию можно получить, посетив Ваши страницы в социальной сети.
При формировании пароля можете использовать латинский буквы, кириллицу, цифры.
Второе
Изменить префикс таблиц БД возможно двумя способами:
- во время установки WordPress на хостинг
- на работающем блоге.
Третье
Не позволяйте регистрироваться на вашем блоге посетителям. Пока Ваш ресурс малоизвестен, интерес со стороны обычных посетителей к нему минимален. А вот злоумышленники смогут на нем потренироваться. Когда настанет время дать избранным больше прав, используйте другие методы предоставления закрытой информации, чем банальная регистраций: закрытый раздел, платный доступ.
Четвертое
Используйте самую новую версию CMS WordPress, вовремя обновляйтесь: через 2 – 3 дня после появления нового релиза. Благо движок оповестит об этом вовремя, а после появления версии 3.7, он это сделает в автоматическом режиме.
Удаляйте файлы readme.html и license.txt, они находятся, в корне Вашего сайта(рядом с каталогом wp-admin).
Обновите все установленные плагины. Они сами Вас уведомят о возможности это сделать. Не используйте много дополнений, если у Вас есть выбор между установкой плагинов и интеграцией PHP-кода в код шаблона или движка, отдайте предпочтение второму варианту. К примеру, существуют плагины, выводящие кнопки социальных сетей, формы комментирования от Facebook, VK и так далее. Найдите им альтернативу.
Постарайтесь не устанавливать плагины, которые добавляют свой код в общий код страницы, к примеру это делает общеизвестный плагин All in One SEO Pack .
Перед установкой тем Wordpess убедитесь, что в ней нет скрытых ссылок с помощью плагина TAC , не устанавливайте слишком «тяжелый шаблон». Он может представлять опасность для Вашего сайта.
Пятое.
Наберите в вашем браузере адреса:
- http://ваш блог/wp-content/
- http://ваш блог/wp-content/plugins/
Если отображаются названия подкаталогов, которые находятся в каталоге wp-content, значит кто-то удалил файл index.php. Их можете найти в скачанном дистрибутиве на официальном сайте WordPress. можете просто создать пустой файл index.php.
Шестое
Когда человек наберет в адресной строке браузера адрес админ-панели Вашего блога, в форму авторизации впишет неправильный пароль или логин, то вверху появляется сообщение об ошибке на красном фоне.
Откройте functions.php программой Notepad++, он размещен в каталоге Вашей установленной темы. В самом вверху или в низу впишите такую строку:
Она обязательно должна находиться между. После внесенного изменения при ошибочной авторизации на блоге WordPress мы сможем увидеть только красный фон, без уведомления, где именно была допущена ошибка.
Седьмое.
Во время установки движка или обновлении ввести сложные секретные коды в wp-config.php
Они предназначены для аутентификации посетителя, после изменения ключей происходит сброс всех cookies, и посетителю придется заново вводить пароль и логин.
Восьмое.
Поместите в файл.htaccess ниже размещенный код:
order allow,deny
deny from all
order allow,deny
deny from all
Он закроет доступ к файлу wp-config.php и.htaccess.
Девятое.
В каталоге wp-admin отредактируйте файл.htaccess, вставив в него такой код
order deny,allow
deny from all
allow from 95,133,141,149
Замените 95,133,141,149 на свой ip, его поможет определить http://2ip.ru/.
Десятое.
Если публикуете заметки с помощью программы Windows Live Writer , не позволяйте ей запоминать логин и пароль, каждый раз вводя из вручную. То же касается и файлового менеджера, к примеру FileZillla , или Microsoft Word .
Когда выполняете вход в админ панель блога, не позволяйте браузеру запоминать пароль, время от времени чистите куки, удаляйте историю. Выделите для работы с Вашим блогом один браузер, серфите по интернету с помощью любого другого браузера.
Одиннадцатые
$wp_version = "3.6";
Вместо числа 3.6, которое указывает на версию используемого движка, впишите свои. К примеру, я могу их заменить на 3,72. Тогда движок мне укажет о необходимости обновляться сражу же после того, как появиться WordPress 3.73. Потенциальные взломщики, просматривая код страницы, не получат от этого ничего.
или в файл в functions.php шаблона поместить строку:
remove_action ("wp_head", "wp_generator");
Двенадцатое
Установите плагин anti-xss-attack — защитит блог от XSS-атак. Суть его работы в следующем: когда проходят посетители по адресу админки появляется белый экран, в верху которого появляется ссылка. Чтобы перейти на страницу входа в админ панель нужно по ней кликнуть. Многие этого не смогут сделать.
Установите плагин Login LockDown — он позволяет ограничить количество неудачных ввода логина и пароля, а так же время пребывания на страницы авторизации. Если кто-то(или Вы) не успели пройти успешную авторизацию на блоге, плагин пресекает попытки дальнейшего входа в админку блога. Его альтернатива — плагин Limit Login Attempts.
Тринадцатое
Заказывайте бекап файлов и БД на хостинге хотя бы раз в 3 – 4 дня, если конечно Вы часто пишите. Если же публикуется 1 заметка в неделю, то и бекапить блог можно раз в неделю.
Четырнадцатое
- Установите плагин WordPress WP-DB-Backup, http://wordpress.org/extend/plugins/wp-db-backup/ Он позволяет настроить авто рассылку резервных копий базы данных на электронный ящик или сохранить ее на жесткий диск.
- WP-DBManager — http://wordpress.org/plugins/wp-dbmanager/ позволяет наладить получение резервной копи БД , оптимизировать блог, но он обладает более расширенными настройками.
- wp Time Machine (for Backups) — http://wordpress.org/plugins/wp-time-machine/ позволяет создавать резервную копию файлов и БД и отправлять ее на Dropbox, Amazon"s S3, указанный FTP-host.
Здравствуйте уважаемые читатели сайт! Этот пост посвящен защите популярного блога на движке wordpress. Как защитить wordpress от взлома? Я уверен, что многие вебмастера об этом даже не задумываются. Установил блог, напичкал его плагинами и все, пишем статьи, раскручиваем и не беспокоимся.
Я тоже так думал, пока однажды один мой сайт с посещаемостью почти в 300 чел. в сутки не взломали мошенники и не заменили логин и пароль для входа в админку. Теперь сразу после создания сайта или блога я в первую очередь задумываюсь о его защите от хакеров и прочих редисок.
Поверьте, как только ваш ресурс станет популярен, его тут же захотят взломать много различных не хороших дяденек.
Перед тем как читать данный пост, советую вам ознакомиться с новой статьей про защиту блога на wordpress . В ней обратите внимание на новый видеокурс по защите блога, который является сегодня самым лучшим среди того, что вообще есть по защите блога на рынке.
Итак, вот вам 6 советов по защите вашего блога wordpress от взлома.
Совет первый .
Установите 2 важных плагина для защиты входа в админку wordpress.а) Anti-XSS attack
б) Login LockDown или Limit Login Attempts
Плагин Anti-XSS attack будет защищать ваш блог от XSS-атак.
Плагин Login LockDown или Limit Login Attempts — это плагины, которые предотвращают многократные попытки входа в админку. Если злоумышленник начнет набирать различные логины и пароли в вашей админки, для того чтобы проникнуть в нее и у него не получиться это с 3-х раз, то система автоматически запретит ему вход на определенное время.
Количество попыток и время блокировки вы устанавливаете сами в настройках плагинов, они почти одинаковые по функциям. Качаете их, закидываете в папку wp-content/plugins, активируете, настраиваете по вашему вкусу и готово!
Совет второй. Поменяйте логин и пароль для входа в админку. По умолчанию в настройках блога стоит логин admin. Но его можно изменить. Через саму админку это сделать не возможно, поэтому идем в панель управления хостингом и заходим в phpMyAdmin:
После заходим в таблицу нашей базы и выбираем пункт wp_users. На вкладке «Обзор» выбираем admin и жмем «правка»:
Теперь в двух местах нам нужно изменить значение admin на какое-либо другое и нажать «ОК». Так же необходимо изменить пароль. Советую изменить пароль на очень длинный, где-то 20-25 символов, включая цифры и буквы.
Меняется пароль так же в этой таблице в поле user_pass. Удалите все те иероглифы, которые там есть и напишите свой новый пароль, только в выпадающем списке нужно выбрать MD5 и нажать «OK».
Третий совет. В корне вашего блога удалите файлы readme.html и license.txt. Они вам не нужны, они нужны мошенникам, для того чтобы узнать версию вашего движка вордпресс и еще много чего полезного для взлома.
Так же в файле header.php темы вашего блога удалите строку
Эта строка так же показывает версию wordpress.
Совет четвертый. Установите плагин wordpress database backup. Он нужен для защиты вашей базы данных. В настройках плагина вы можете поставить функцию ежедневной отправки бекапа базы данных на свой почтовый ящик. Установили и можете не беспокоиться за свою базу.
Совет пятый. Наберите в вашем браузере адреса:
1. http://ваш блог/wp-content/
2. http://ваш блог/wp-content/plugins/
Если после вызова данных директорий вашего блога вы можете наблюдать через браузер находящиеся в них файлы и папки, то это ОЧЕНЬ и ОЧЕНЬ плохо. Немедленно создайте в каждой из этих директорий пустой файл index.php. Теперь после ввода этих адресов в адресную строку браузера, вам должна открыться чистая пустая страница.
Ко всему прочему как дополнение можете прописать в файле.htaccess дополнительную строчку:
Options All -Indexes
Совет шестой. В файле function.php в конце кода пропишите строку:
А так же в файле search.php замените строку
Это запретит различным хакерам и мошенникам лазить по вашему серверу. Если у вас такого файла в папке с темой нет, то значит ни чего менять не нужно.
Ну вот в принципе и все!!! Это наверное самые основные способы защиты блога wordpress.
Как дополнение еще советую вам проверить весь список ваших используемых плагинов, если какие-то просто так установлены и вы ими не пользуетесь, то удалите их. Так же следите за обновлениями блога wordpress и плагинов, установленных на вашем блоге. Обновляйтесь по чаще, так как старые версии могут содержать дыры.
По возможности соединяйтесь и закачивайте файлы на сервер через панель управления хостингом, а не через FTP, это более безопасно. Да кстати, советую так же сделать сложные логин и пароль для входа в панель управления хостингом. Если злоумышленники проникнут туда, то вся ваша защита wordpress пошла на смарку.
Так же запретите регистрацию пользователей на блоге, это намного обезопасит ваш блог. Ну вот теперь точно все!!! Теперь и вы знаете как защитить wordpress от взлома! Защищайтесь друзья!!!
P.S. Как вам статья? Советую , чтобы не пропустить информацию о новых бесплатных видеокурсах и конкурсах блога!
C уважением, Александр Борисов