Securizare site WordPress: măsuri care opresc atacurile

Majoritatea proprietarilor se gândesc la securizare site WordPress abia după atac. Boții scanează constant domenii cu module neactualizate. Dacă vrei prevenție, nu teorie: login, permisiuni, backup extern și WAF. Dacă ești deja infectat, vezi ghidul de devirusare site.

1. Securizarea accesului la panoul de administrare

Cea mai frecventă cale de atac pentru botneți este încercarea repetată de ghicire a parolelor (Brute Force) pe adresa standard /wp-login.php. Iată primii pași pentru a opri aceste tentative:

• Autentificarea cu doi factori (2FA): Solicitarea unui cod temporar generat pe telefon împiedică accesul chiar dacă parola a fost aflată.
• Limitarea încercărilor eșuate (Limit Login Attempts): Blocarea automată a adreselor IP care introduc parole greșite de mai mult de 3-5 ori.
• Schimbarea numelui de utilizator 'admin': Folosirea numelui implicit oferă atacatorilor jumătate din datele necesare autentificării.

2. Configurarea corectă a permisiunilor și a fișierului wp-config.php

Hardening-ul la nivel de fișiere este crucial. Poți bloca executarea de scripturi PHP dăunătoare adăugând directive speciale de securitate în fișierele de configurare ale serverului.

Dezactivarea editorului de cod din Dashboard

Dacă un atacator obține acces la un cont de admin, prima sa acțiune este să editeze o temă direct din panoul WordPress. Poți opri această opțiune adăugând următoarea linie în wp-config.php:

define('DISALLOW_FILE_EDIT', true);

3. Permisiunile fișierelor pe server (CHMOD)

Setarea unor permisiuni prea permisive (precum 777) permite oricărui script de pe server să modifice codul site-ului. Regula standard de securitate WordPress recomandă:

• Directoare (Foldere): Permisiune setată la 755 sau 750.
• Fișiere: Permisiune setată la 644 sau 640.
• wp-config.php: Permisiune restrictivă setată la 600 sau 440.

4. Strategia de Backup Off-Site

Nicio soluție de securitate nu oferă protecție de 100%. Prin urmare, cea mai importantă plasă de siguranță este un sistem automatizat de backup stocat pe un server extern (Cloud), complet izolat de găzduirea principală.

Regula de aur a lui Calin: Un backup păstrat pe același server cu site-ul poate fi corupt sau șters în cazul unei infectări masive. Backup-urile trebuie să fie întotdeauna externe.