Безопасность WordPress
Права доступа к файлам WordPress и контроль целостности
Слишком мягкие права на файлах превращают мелкую уязвимость в полный захват сайта: файлы, доступные всем на запись, позволяют одной дыре переписать весь сайт. Правильный владелец, жёсткие права, отключённые редакторы и контроль целостности делают код WordPress проверяемым и не дают заражению расползтись.
Главное
- Выставить 755 на каталоги, 644 на файлы, 600 на wp-config.php; права 777 не ставить нигде.
- По возможности добиться, чтобы файлы принадлежали учётной записи пользователя, а не пользователю веб-сервера.
- Отключить редакторы тем и плагинов через DISALLOW_FILE_EDIT.
- Закрыть wp-config.php и .htaccess от прямого обращения через веб.
- Следить за контрольными суммами файлов ядра и сигналить о неожиданных изменениях.
- Запретить выполнение PHP в каталогах загрузок.
- Проверять права после миграций и восстановлений.
- Разделять учётные данные SFTP по сайтам и ограничивать пользователя его каталогом.
Частые вопросы
Откуда постоянно всплывают права 777?
Из небрежных установщиков и плохих инструкций в интернете. Для нормальной работы WordPress они не нужны никогда.
Не сломают ли жёсткие права обновления?
Обновление в один клик требует правильно настроенных путей для записи. Выставите владельца один раз — и обновления будут работать безопасно.
Как заметить подменённые файлы?
Сверка контрольных сумм с wordpress.org плюс уведомления об изменениях при записи.
Что с каталогом загрузок?
Он по определению доступен для записи, поэтому для него задают запрет на выполнение кода и проверку на вредоносное ПО.
Как мы берём на себя безопасность wordpress
Это то, чем мы занимаемся каждый день: Усиление защиты, очистка от вредоносного ПО и постоянная защита сайтов на WordPress: плагины, темы, входы и целостность файлов. Наша услуга Безопасность WordPress и Обслуживание сайтов закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.