Logowanie do bazy danych, do serwera poprzez FTP i do panelu administratora. Każdy z tych procesów wymaga loginu i hasła, potencjalnie będąc furtką dostępu do Twojej strony. To tylko kilka z wielu możliwości zwiększenia bezpieczeństwa, warto jednak być przezornym na każdym kroku.
Instalując WordPress poprzez serwerowy autoinstalator, nazwa bazy danych zazwyczaj jest ustalana automatycznie i zapisywana w pliku konfiguracyjnym WordPress. Często, mając możliwość ustalenia tych nazw samemu, wybierane są proste nazwy skojarzone z nazwą strony – by były intuicyjnie powiązane 🙂
Potencjalny napastnik może próbować również dostać się do Twojej bazy danych. Czy to przez phpMyAdmin, czy innymi źródłami, może próbować odgadnąć hasło/login do bazy.
Kiedy uda mu się dostać, może wykraść dane użytkowników, usunąć Ci bazę albo umieścić niechciany kod.
Wszelkie dane konfiguracyjne, dostępu do bazy danych mieszczą się w pliku wp-config.php. Nazwa bazy, nazwa użytkownika, hasło i host. Wszystkich sugerowanych poniżej zmian możesz dokonać właśnie w tym pliku
Na screenie poniżej, przykład pliku konfiguracyjnego, z podstawionymi już bezpiecznymi nazwami i hasłem.
Silne, bezpieczne i długie hasła oraz nazwy można tworzyć generatorem haseł np: passwordsgenerator.net
W panelu zarządzania swoim hostingiem odnajdź bazę danych, z której aktualnie korzysta Twoja strona WordPress i zmień ją.
Nazwę wygeneruj np. powyższym generatorem.
Często nazwa bazy danych ma prefix z nazwą Twojego konta.
Ilość znaków nazwy bazy bywa ograniczona.
A dozwolone znaki, to co najwyżej litery i cyfry.
Jeśli stawiasz nowego WordPressa, to od razu, podczas tworzenia nowej bazy, zadbaj o jej nazwę.
W pliku konfiguracyjnym wp-config.php zmień nazwę przy parametrze DB_NAME
Nic nie stoi na przeszkodzie, by podobnie jak hasła, zmieniać co jakiś okres tę nazwę
Na niektórych hostingach, np. zenbox.pl, jest możliwość zdefiniowania hostów z których można łączyć się z bazą. Domyślnie dodany jest localhost, co oznacza, że z zewnętrznej strony nie udałoby się połączyć z bazą. Jeśli masz bardziej skomplikowaną strukturę przechowywania danych, np. strona u jednego dostawcy a baza u innego, to warto mieć na uwadze taką opcję.
Analogicznie jak przy zmianie nazwy bazy, zmień nazwę użytkownika, który loguje się podczas łączenia. Utwórz nazwę generatorem i podmień w pliku konfiguracyjnym parametr DB_USER
Pamiętaj, że tutaj również nazwa może być poprzedzona prefixem i narzucony będzie pewnie limit ilości znaków.
Prawa dostępu
Tworząc nowego lub edytując użytkownika można również zwrócić uwagę jakie posiada on prawa dostępu do bazy, czy może podejmować wszystkie możliwe akcje? Czy ten użytkownik potrzebuje praw, do tworzenia nowych baz albo do usuwania tabel?
Hasło, prawdopodobnie będzie mogło być dłuższe i zawierać inne znaki typu: $@#`*). Zadbaj zatem o odpowiednio długie i bezpieczne hasło.
Podmień je w pliku konfiguracyjnym – parametr DB_PASSWORD.
Jak każde hasło, warto je często i regularnie zmieniać. Jak często? To już zależy od Ciebie, zapisz sobie w kalendarzu by nie zapomnieć.
Dostęp do strony przez FTP daje nieskończone możliwości, można uzyskać dostęp do bazy, do wszystkich plików, można wstrzyknąć złośliwy kod, usunąć stronę…
W przypadku tego połączenia, również warto zadbać o konta użytkowników, hasła i sposób logowania.
Dla konkretnej strony, utwórz osobne konto FTP z dostępem tylko do tego katalogu, w którym znajduje się strona. Konto z dostępem do całego serwera daje oczywiście większy dostęp i w razie jego stracenia – potencjalnie większe szkody.
Jeśli do serwera dostęp ma więcej osób, tym bardziej uzasadnione jest tworzenie każdemu z nich osobnego konta. Pozwoli to choćby zlokalizować źródła wycieku danych.
Czasem zdarza się, że na krótki czas chcemy dać komuś dostęp do serwera. Komuś z supportu, dostawcy innych usług powiązanych, albo webmasterowi.
Nigdy nie udostępniaj tym osobom swojego konta.
Co ważniejsze, nie podawaj im konta z dostępem do całego serwera.
Jeśli zajdzie potrzeba takiego dostępu kogoś z zewnątrz, utwórz im osobne konto, z dostępem tylko do katalogu w którym mieści się strona. A jeśli to będzie wystarczające, to z dostępem tylko do konkretnego katalogu strony.
Po zakończeniu prac, kiedy dostęp nie jest już potrzebny, usuń trwale konto.
Najgorszy scenariusz mógłby brzmieć następująco. Jakaś wtyczka WP wyrzuca Ci błąd i szukasz na oferii kogoś kto to naprawi. Znajdujesz kogoś, podajesz mu swoje konto ftp z dostępem do całego serwera. Trafiłeś na uczciwego podwykonawce, który zapisał Twoje hasło w kliencie ftp, połączył się zrobił co trzeba i działa. Zapisane hasło nie było przez niego używane, bo po co, aż do momenty, kiedy Twój podwykonawca złapał na komputerze wirusa. Domyśl się, co mogło się zdarzyć później 🙂
Jeśli tylko możesz, to łącz się do serwera poprzez SFTP, czyli szyfrowany protokół.
Poniżej screen z przykładowej konfiguracji w FileZilla
Na screenie powyżej, widać ustawiony typ logowania na Pytaj o hasło. Oznacza to, że nie podajemy od razu hasła i nigdzie go nie zapisujemy. A przy próbie każdego połączenia, program za każdym razem będzie Cię pytał o podanie hasła.
Rozwiązanie zapewne niewygodne, ale to wpis o bezpieczeństwie, a nie o ułatwianiu sobie życia 🙂 (Pytanie, gdzie wtedy zapiszesz to hasło? ale to osobny temat 🙂 )
Nie wszystkie programy przechowują zapisane hasła w sposób szyfrowany – i to jest główny powód, by hasła nie zapisywać. A jeśli dane nie są zaszyfrowane, to znaczy, że gdzieś w plikach konfiguracyjnych leżą one na Twoim komputerze.
Tak samo jak w przykładach powyżej. Niechaj nazwa użytkownika FTP nie będzie tak prosta do odgadnięcia. A hasło stwórz generatorem, niech będzie długie i skomplikowane.
Wszystkie hasła, warto często i regularnie zmieniać. Tym bardziej te które są dla Ciebie najważniejsze… a takim powinno być do które daje dostęp do serwera.
Niektórzy dostawcy hostingu umożliwiając skonfigurowanie konta FTP, w taki sposób, aby można się było łączyć przez nie tylko z określonych IP. Jeśli masz taką możliwość i stały nr IP, to śmiało, skorzystaj z tej opcji.
Panel administratora WordPress, to kolejne miejsce dostępu do strony. W osobnym artykule wspominałem o ukrywaniu dostępu do tej podstrony oraz zmianie domyślnej nazwy użytkownika.
To, że nie warto używać jako nazwy użytkownika admin chyba zostało już wyjaśnione.
Niemniej tworząc nowych użytkowników, warto mieć na uwadze, by te nazwy nie były krótkie, banalne i łatwe do odgadnięcia. Analogicznie podając adres email, warto zadbać o to, by te adresy nie były powszechnie znane.
Przypomnę do panelu admina logujesz się używając nazwy użytkownika (ewentualnie email) i hasła. Jeśli email lub login będą znane napastnikowi, to pozostanie mu odgadnąć tylko hasło. Przyznasz, że to spore ułatwienie?
Od kilku wersji wstecz WordPress samodzielnie generuje całkiem bezpieczne hasła dla nowo tworzonych kont. Jeśli nie nadpiszesz tego hasła jakimś własnym, krótkim i prostym to już sukces.
Jeśli jednak czujesz niedosyt, możesz samodzielnie stworzyć super bezpieczne hasło korzystając z generatora i nadpisać to, które zaproponował ci WordPress.
Tak jak w pozostałych przypadkach tutaj również warto, zmieniać regularnie hasło
Dwuetapowe logowanie polega w kroku pierwszym na podaniu standardowych danych logowania (nazwa użytkownika, hasło). W drugim kroku pojawia się ekran do wpisania hasła potwierdzającego. Hasło to może być wysłane SMSem na Twój telefon, albo wyświetlić się w podpiętej aplikacji na smartphonie.
W omawianej wtyczce iThemes Security, dwuetapowe logowanie dostępne jest aktualnie tylko w wersji pro, a ta kosztuje. Współpracuje m.in. z takimi aplikacjami: Authy, Google Authenticator, FreeOTP Authenticator, Toopher.
Istnieje jednak sporo darmowych rozwiązań – wtyczek WordPress, która również pozwalają na 2-etapowe logowanie.
Wspominałem już wyżej, że hasło warto zmieniać często i regularnie. Problemem może być dyscyplina i pamięć.
W tym wypadku, podobnie jak wyżej, jest wiele wtyczek, które pomogą rozwiązać problem. iThemes Security tę funkcjonalność ma dostępną w wersji pro.
Na szczęście w tym wypadku, nie musisz ryzykować instalacją dodatkowej wtyczki, wystarczy, że naprawdę regularnie, samemu będziesz zmieniać hasło dostępu do WordPressa (a także FTP i bazy danych). Wprowadź sobie harmonogram, zapisz w kalendarzu, utwórz wydarzenia cykliczne – nie do wszystkiego konieczne są wtyczki.
Domyślnie, WordPress pozwala się logować używając hasła oraz nazwy użytkownika lub adresu email. Mając do wyboru nazwę użytkownika lub email, zwiększamy prawdopodobieństwo zdobycia lub odgadnięcia jednego z nich.
Kolejnym małym krokiem do poprawy bezpieczeństwa WordPressa jest ograniczenie możliwości logowania tylko poprzez nazwę użytkownika. Całkiem szybko można to załatwić za pomocą wtyczki iThemes Security wybierając konfigurację modułu WordPress Tweaks.
Na samym dole okna jest funkcja Login with Email Address or Username
Z listy opcji wybierz Username only i zapisz. Od tej pory, będziesz mógł zalogować się do swojego WordPressa tylko za pomocą nazwy użytkownika.
Loginy, nazwy użytkowników, nazwa bazy powinny mieć odpowiednio długą nazwę i bardziej skomplikowaną niż te generowane domyślnie.
Hasła dobrze tworzyć używając generatora i regularnie je zmieniać.
Nikomu bez potrzeby, nie udostępniać swoich danych logowania. A w ostateczności utworzyć osobne konto o ograniczonym dostępie.
Nie tylko dane logowania do WP są istotne, ale również do konta FTP i bazy danych
Moje 7, najlepszych, sprawdzonych
sposobów na efektywną pracę zdalną
Do wdrożenia jeszcze dziś!
