Ekstra sikkerhed til WordPress: rettigheder, wp-config og .htaccess

Opdateringer, en stærk adgangskode og totrinsbekræftelse er grundlaget for et sikkert WordPress-site. Hærdning (hardening) kommer oven i det: du indstiller sitet, så et sikkerhedshul eller en overtaget konto kan gøre mindre skade. Her kan du læse, hvilke indstillinger det drejer sig om, og hvordan du sætter dem op på dit hostingabonnement.

Hvad der allerede sker på serveren

En del er allerede klaret på vores servere. xmlrpc.php er lukket som standard (WordPress: adgang til xmlrpc.php virker ikke), farlige PHP-funktioner er slået fra (PHP-sikkerhed: deaktiverede funktioner), og der kører en firewall til webtrafik og en malwarescanner. Se Web Application Firewall og Imunify360: scan din hjemmeside for malware. Trinene nedenfor udfører du selv, på dit eget site.

Alle filer redigerer du i DirectAdmin med File Manager. Filer, der begynder med et punktum, som .htaccess, kan du først se, når du viser skjulte filer: se Vis og rediger skjulte filer som .htaccess. Lav først en kopi af hver fil, og læg kopien uden for public_html.

1. Ingen redigering af kode fra administrationen

Åbn wp-config.php i domains/example.com/public_html, og indsæt denne linje over linjen med "stop med at redigere" (That's all, stop editing!):

define( 'DISALLOW_FILE_EDIT', true );

Editorerne til tema- og pluginfiler forsvinder så fra administrationen. Den, der overtager en administratorkonto, kan derfor ikke med et par klik indsætte ondsindet kode i dit tema. Installation og opdatering af plugins virker stadig som normalt. Sæt i samme fil WP_DEBUG til false, så fejlmeddelelser aldrig vises på de besøgendes skærm.

2. Ingen PHP i mappen uploads

I wp-content/uploads hører billeder og dokumenter hjemme, ikke PHP. En indtrænger, der via et sikkerhedshul kan uploade en fil, forsøger netop at placere en PHP-fil der og hente den frem. Opret i wp-content/uploads en fil .htaccess med:

<Files *.php>
Require all denied
</Files>

Kontrollér derefter, at dit site, dine formularer og dit mediebibliotek stadig virker.

3. Ingen mappeoversigt

Er der ingen index.php eller index.html i en mappe, kan en webserver vise en liste over alle filer. Indsæt øverst i .htaccess i public_html:

Options -Indexes

Du tester det ved at hente en mappe uden indeksfil, for eksempel https://example.com/wp-content/uploads/. Du bør så se en fejlside (403 eller 404), ikke en liste.

4. Rettigheder for filer og mapper

Brug aldrig 777: så må alle på serveren skrive i den mappe. Siger en vejledning, at det er nødvendigt for at få upload til at virke, ligger årsagen et andet sted. Ændring af rettigheder: se Rettigheder for filer og mapper (chmod).

5. Ingen rester i webmappen

Alt i public_html kan hentes via nettet. Ryd derfor op:

• kopier af wp-config.php, som wp-config.php.bak eller wp-config.old. De indeholder din databaseadgangskode og sendes som almindelig tekst;
• backups som backup.zip eller database.sql;
• en mappe .git fra en udvikler;
• wp-content/debug.log;
• testfiler som info.php med phpinfo().

Vil du gøre en enkelt fil utilgængelig, så se Bloker filer via .htaccess.

6. Headers og login

• Sikkerhedsheaders fortæller browseren, hvordan den skal håndtere dit site. Se HSTS og sikkerhedsheaders til din hjemmeside.
• Loginsiden begrænser du til din egen IP-adresse med Beskyt wp-login.php i WordPress.
• Totrinsbekræftelse for administratorer: se Opsæt totrinsbekræftelse i WordPress.

At skjule WordPress-versionen er oprydning, ikke sikkerhed: angrebsprogrammer afprøver bare et sikkerhedshul. Kun opdatering lukker hullet.

Hvad med et sikkerhedsplugin?

Et sikkerhedsplugin samler ofte en firewall, en scanner og loginbeskyttelse. En firewall i et plugin virker først, når WordPress allerede kører; firewallen på serveren stopper forespørgsler tidligere. Et plugin er altså et supplement, især til totrinsbekræftelse og begrænsning af loginforsøg. Brug højst ét: to sikkerhedsplugins side om side kommer ofte i konflikt.

Læs mere

• Hardening WordPress (developer.wordpress.org, engelsk)

Vil du lære mere? Følg det gratis WordPress-kursus, lektion 7.4 Hærd sitet: rettigheder, headers og sikkerhedsplugins.