Wyczaruj sobie spokój

• 58.8% spośród CMSów to WordPress
  (10 września 2015, w3techs.com)
• 8 804 tys. pobrań WP 4.3
  (10 września 2015, wordpress.org/download/counter)

• spamerskie linki
• przekierowania
• rozsyłanie spamu
• ataki DDoS
• zarażanie innych
• itd.

(https://sucuri.net/security-reports/brute-force/)

Przy wyborze warto zadać sobie te pytania:

• Jakie ma opinie obecnych użytkowników?
• Czy support jest dostępny?
• Jakiej wersji PHP używa?
• Jaką ma politykę backupów?
• Czy zapewnia separację różnych domen?
• Czy zapewnia mechanizm blokujący ataki DDoS?
• Czy umożliwia łączenie SFTP?

Pewnych rzeczy hosting za nas nie zrobi. Zakładając konto koniecznie:

• nie ułatwiaj zgadnięcia loginu (inny niż domena)
• ustaw mocne hasło dla konta w hostingu

Im większy bałagan na serwerze, tym łatwiej na nim ukryć malware. Kilka prostych zasad:

• Osobna baza dla każdej strony
• Każda strona z separacją
• Wymyśl strukturę katalogów
• Nie traktuj serwera jako przechowalni plików

Są wygodne, ale:

• chcesz się wyróżnić, a nie upodobnić
• chcesz mieć pewność co do plików instalacji
• chcesz mieć kontrolę

• stwórz osobną bazę dla każdej strony
• najlepiej bez dostępu zdalnego
• w której db_name != db_user
• z mocnym hasłem

• wymyśl trudny prefiks tabel
• wybierz unikalną nazwę użytkownika (nie admin!)
• i ustaw mu mocne hasło

(https://wordpress.org/about/stats/)

Ataki na WordPressy kończą się sukcesem dzięki:

• 29% - podatnościom motywu
• 22% - podatnościom wtyczek

(wpwhitesecurity.com)

Pobranie płatnego motywu za darmo może być kuszące, ale może być bardzo kosztowne.

• Motywy i wtyczki instaluj tylko z zaufanych źródeł…
• … bo nie masz żadnej pewności (ani gwarancji), co pobierzesz z innego źródła

Wykonuj własne, niezależne backupy:

• zdalnie lub w chmurze
• często
• automatycznie

BackWPup Free, itp.

W pliku wp-config.php znajdziemy:

define('AUTH_KEY',         '9hZu6i?:b/)?v;]na|TzKx57lR~cOjAy.SCLA?RQ+Qx#X%fX$ ;|&P^L[L4% Nr<');
define('SECURE_AUTH_KEY',  'YCzK7vP{6]SW}K^]iBSIpCa[a7o2h5y$&h2;u,C-U}b 2)Nd?Q~Oz6Taz9;|hwIS');
define('LOGGED_IN_KEY',    'A,M:cKmeUH#t%VT~2!QqN4*KK5`MucN*!UE_i|<nIj,Enr<S0F@P|Kv?9u{_spM;');
define('NONCE_KEY',        '/I%<]LIk5o1KQ]*^CD=8!>M~9AwfG:^}{cpmHy mR%J9*Qeqi4KQ]~xS]rb}Yz(m');
define('AUTH_SALT',        'Yz+A#xDo&D^&-]r!*Ngi`+<vz@~4]#{mcFvl:1V+At#=WG8CN5]Z3CtC#sNZB~52');
define('SECURE_AUTH_SALT', ';):V+|pH~8*AAQirZ0_5e{cO#A$tO%-P-?o^g)ju(Ykp+5|Rx;HkR OSs!aOR[4&');
define('LOGGED_IN_SALT',   '.$2@h.9K|qKe/r5S|-I~%<O]11!?|AygP9$5.&ZS&vanj}9r#;~sqCw{C#>?]sy-');
define('NONCE_SALT',       '6?T^;T/!V?3TX!-M_c~ju;H1/(}]!8/66NAsnFCj^|U-{0vSr>)R.WB!MbD-SMl(');

Wygenerujmy własne:
https://api.wordpress.org/secret-key/1.1/salt/

W pliku wp-config.php znajdź:

define('DB_NAME', 'moja_baza');
define('DB_USER', 'moj_user');
define('DB_PASSWORD', 'moje_haslo');
define('DB_HOST', 'moj_host');
define('DB_CHARSET', 'utf8');
define('DB_COLLATE', '');

require_once "wp-config-db.php";

To powinien zrobić hosting, ale…

define('WP_DEBUG', false);

define('WP_DEBUG', false);

if ( ! WP_DEBUG ) {
	ini_set('display_errors', 0);
}

Wydaje się wygodny, ale i tak nie powinieneś go używać.

define('DISALLOW_FILE_EDIT', true);

Te pliki nigdy nie powinny zostać podejrzane.

<FilesMatch "wp-config.*\.php|\.htaccess|readme\.html">
    Order allow,deny
    Deny from all
</FilesMatch>

Usuń wersję z sekcji head:

remove_action('wp_head', 'wp_generator');

function my_secure_generator( $generator, $type ) {
	return '';
}
add_filter( 'the_generator', 'my_secure_generator', 10, 2 );

…i plikach w katalogu głównym (poprzedni slajd)

function my_remove_src_version( $src ) {
	global $wp_version;

	$version_str = '?ver='.$wp_version;
	$offset = strlen( $src ) - strlen( $version_str );

	if ( $offset >= 0 && strpos($src, $version_str, $offset) !== FALSE )
		return substr( $src, 0, $offset );

	return $src;
}
add_filter( 'script_loader_src', 'my_remove_src_version' );
add_filter( 'style_loader_src', 'my_remove_src_version' );

W pliku .htaccess w katalogu głównym dodaj:

<Files wp-login.php>
	AuthType Basic
	AuthGroupFile /dev/null
	AuthName "Czego tu szukasz"
	AuthUserFile /sciezka-do-htpasswd/.htpasswd
	require valid-user
</Files>

ErrorDocument 401 default

Możesz wyłączyć XMLRPC całkowicie filtrem:

add_filter('xmlrpc_enabled', '__return_false');

<Files xmlrpc.php>
	Order deny,allow
	Deny from all
</Files>

Uwaga: XMLRPC czasem się przydaje (pingbacki, aplikacje mobilne, itp.).

W katalogu wp-admin dodaj plik .htaccess:

AuthType Basic
AuthGroupFile /dev/null
AuthName "Czego tu szukasz"
AuthUserFile /sciezka-do-htpasswd/.htpasswd
require valid-user

<FilesMatch "admin-ajax\.php|admin-post\.php">
    Order allow,deny
    Allow from all
    Satisfy any
</FilesMatch>

Uwaga: Jeśli nie ograniczasz dostępu do wp-admin, to zablokuj wp-admin/install.php

W katalogu wp-includes dodaj plik .htaccess:

<FilesMatch "\.(?i:php)$">
	Order allow,deny
	Deny from all
</FilesMatch>
<Files wp-tinymce.php>
	Allow from all
</Files>
<Files ms-files.php>
	Allow from all
</Files>

W szczególności uploads. Dodaj plik .htaccess:

<FilesMatch "\.(?i:php)$">
	Order allow,deny
	Deny from all
</FilesMatch>

Uwaga: Tym możesz zepsuć niektóre wtyczki lub motywy. Choć w takim przypadku warto się zastanowić czy na pewno chcesz z nich korzystać ;)

Zabezpieczać można w nieskończoność, ale część zabezpieczeń jest już trudniejsza we wdrożeniu.

• SSL, przynajmniej dla panelu administracyjnego
• Podwójna autentykacja (Rublon, Google Authenticator, itp.)

I jeszcze rozwiązania dla tych z większym dostępem do serwera:

• odpowiednie uprawnienia do plików (uwaga: aktualizacje!)
• monitoring zmian plików (z poziomu serwera)
• monitoring podejrzanego kodu (nie tylko w plikach *.php)
• lepsze uprawnienia do plików (szczegóły), ale uwaga, bo to ma swoje skutki uboczne...

Niektórych porad nie warto wdrażać w życie.

• Nie używaj "kombajnów" do bezpieczeństwa
  • są dziurawe,
  • dają fałszywe poczucie bezpieczeństwa
• Nie zmieniaj ścieżki wp-admin
  • nie będziesz bezpieczniejszy, bo /admin i /login
  • wp-login i xmlrpc są szybsze niż 404
  • i tak je już zabezpieczyliśmy