Sicurezza WordPress
Permessi file e integrità WordPress
Permessi file laschi trasformano vulnerabilità minori in takeover completi: file scrivibili da tutti permettono a un singolo difetto di riscrivere l'intero sito. Ownership corretta, permessi stretti, editor disabilitati e monitoraggio dell'integrità mantengono il codice WordPress a prova di manomissione e contenuto.
Punti chiave
- Impostare cartelle 755, file 644, wp-config.php 600; mai 777 su nulla.
- Assicurare file di proprietà dell'utente account, non dell'utente webserver, dove possibile.
- Disabilitare gli editor di temi/plugin via DISALLOW_FILE_EDIT.
- Limitare l'accesso web diretto a wp-config.php e .htaccess.
- Monitorare i checksum dei file core e avvisare su modifiche inattese.
- Bloccare l'esecuzione PHP nelle directory uploads.
- Revisionare il drift dei permessi dopo migrazioni e restore.
- Separare le credenziali SFTP per sito con jail di directory.
Nota dal campo
L'ownership conta quanto gli ottetti: file dell'utente account con 644 battono sempre file dell'utente webserver, perché un processo PHP compromesso non può così riscrivere il proprio codice.
Domande frequenti
Perché il 777 continua a comparire?
Installer sciatti e brutti tutorial. Non è mai richiesto per il normale funzionamento WordPress.
Permessi stretti romperanno gli aggiornamenti?
Gli update one-click richiedono percorsi di scrittura configurati correttamente: imposti l'ownership giusta una volta e gli aggiornamenti funzionano in sicurezza.
Come rilevare file manomessi?
Monitoraggio checksum contro wordpress.org più alert sugli eventi di scrittura.
E la cartella uploads?
Scrivibile per design, quindi riceve regole no-execute più scansione malware.
Come Kinetikatech aiuta con sicurezza wordpress
A essere onesti, la maggior parte dei team arriva da noi dopo averci provato da sola: Hardening, rimozione malware e protezione continua per WordPress — plugin, temi, accessi e integrità. Il nostro servizio Sicurezza WordPress e Manutenzione siti esiste proprio per evitarLe di imparare sicurezza wordpress nel modo peggiore: pensiamo noi alla configurazione, al monitoraggio e alle sorprese delle 3 di notte.