Parimad .htaccessi lõigud WordPressi turvalisuse parandamiseks

WordPressi turvalisus on algajate blogijate seas üks kõige kahjustatumaid tegureid. Järelevalveta WordPressi installimisel on üsna palju potentsiaalseid haavatavusi, mis jäetakse järelevalveta. Enamik WordPressi installijuhenditest selgitab kiiret ja hõlpsat võimalust WordPressi installimiseks mõne minutiga. Kuid nad jätavad tähelepanuta mõned olulised turvategurid. Näiteks peetakse kataloogide sirvimist ja „admin” kasutajanime kasutamist tõsisteks turvaaukudeks. Täna vaatame 10 .htaccess-koodilõiku, mis aitavad parandada teie WordPress-ajaveebi turvalisust. Enne alustamist vaatame lähemalt, mis on htaccess-fail.


Mis on .htaccess-fail?

Htaccess-fail on valikuline konfiguratsioonifail Apache veebiserveri jaoks, mida saab tõlgendada iga kataloogi jaoks. Selles failis saate salvestada mitmesuguseid sätteid, näiteks: kaitsta parooliga kataloogi, blokeerida IP-sid, blokeerida fail või kaust avaliku juurdepääsu eest jne. Traditsiooniliselt on .htaccess-fail olemas WordPressi aluskataloogis. See salvestab püsilinki struktuuri vaikimisi.

NÕUANNE: Enne juhendajaga alustamist varundage kindlasti praegune .htaccess-fail (kui see on olemas) pilvesalvestusteenuses nagu Dropbox. Kui teatud koodijupp teie saiti rikub, pöörduge tagasi viimase teadaoleva töötava .htaccess-faili juurde. Alustagem.

1. Blokeeri halvad robotid

halvad robotid

.Htaccess-faili üks parimaid kasutusvõimalusi on võime keelata mitmel IP-aadressil teie saidile juurdepääsu. See on kasulik teadaolevate rämpsposti saatjate ja muu kahtlase või pahatahtliku juurdepääsu tõkestamisel. Kood on:

# Blokeerige üks või mitu IP-aadressi.
# Asendage IP_ADDRESS_ * IP-ga, mida soovite blokeerida


et luba, keela
keelata saidilt IP_ADDRESS_1
keelata alates IP_ADDRESS_2
luba kõigilt

Kus IP_ADDRESS_1 on esimene IP, mida soovite oma saidile juurdepääsu takistada. Saate lisada nii palju IP-sid, kui soovite. Pole vahet, mida kasutajaagendid (brauserid) 0Need IP-aadressid kasutavad, ei pääse nad serverist ühele failile juurde. Veebiserver keelab automaatselt kogu juurdepääsu.

2. Keela kataloogide sirvimine

häkkida keelata kataloogide sirvimine

See on üks WordPressi saidi kõige vähem kahjustatud turvavead. Vaikimisi võimaldab Apache veebiserver kataloogide sirvimist. See tähendab, et kõik veebiserveri juurkataloogi (mõnikord nimetatakse kodukataloogiks) olevad failid ja kaustad on külastajale hõlpsasti kättesaadavad ja juurdepääsetavad. Te ei soovi seda, kuna te ei soovi, et inimesed sirviksid teie meediumipilte või teie teema- või pistikprogrammifaile.

Kui valin juhuslikult 10 isiklikku või ettevõtte veebisaiti, kus töötab WordPress, siis 6-8 neist pole kataloogide sirvimine keelatud. See võimaldab kedagi hõlpsalt nuusutada ümber wp-sisu / üleslaadimised kausta või mõnda muud kataloogi, millel pole vaikeseadet indeks.php faili. Tegelikult on ekraanipilt, mis te näete, ühe minu kliendi saidilt, enne kui ma parandust soovitasin. Koodilõik kataloogide sirvimise keelamiseks:

# Keela kataloogide sirvimine
Valikud Kõik -Indexid

3. Luba wp-sisust ainult valitud failid

shutterstock_108312266

Nagu te teate wp-sisu kaust sisaldab enim teie teemasid, pistikprogramme ja kõiki meediumide üleslaadimisi. Te ei soovi, et inimesed sellele piiranguteta juurde pääseksid. Lisaks kataloogide sirvimise keelamisele saate keelata ka juurdepääsu kõigile failitüüpidele, salvestage mõni fail. Sisuliselt saate selliste failide nagu JPG, PDF, DOCX, CSS, JS jt valikuliselt blokeerida, ja ülejäänud osadest keelata. Selleks kleepige see koodilõik oma .htaccess-faili:

# Keela juurdepääs kõigile failitüüpidele, välja arvatud järgmised
Tellimus keelata, lubada
Keeldu kõigist

Luba kõigilt

Peate looma koodiga uue .htaccess-faili ja kleepima selle kausta wp-sisu kausta. Ärge pange seda baasinstalli kataloogi – muidu see ei tööta. Samuti saate loendisse lisada mis tahes failitüüpi, lisades sõna “rar” järele “|”. Ülaltoodud loend sisaldab vajalikke faile – XML, CSS ja JavaScripti, tavalisi pildi- ja dokumendivorminguid ning lõpuks enim kasutatud arhiivivorminguid.

4. Piirake kogu juurdepääsu WP-sisaldab

shutterstock_135573032

wp-sisaldab kausta sisaldab ainult faile, mis on tingimata vajalikud WordPressi põhiversiooni käitamiseks – üks ilma pistikprogrammide või teemadeta. Pidage meeles, et vaikimisteema asub endiselt wp-sisu / teema kataloog. Seega ei tohiks ükski külastaja (sealhulgas teie) nõuda juurdepääsu saidi sisule wp-kaasa kausta. Juurdepääsu saate keelata järgmise koodilõigu abil:

# Blokeeri wp-sisaldab kausta ja faile

RewriteEngine sisse lülitatud
RewriteBase /
RewriteRule ^ wp-admin / sisaldab / - [F, L]
RewriteRule! ^ Wp-sisaldab / - [S = 3]
RewriteRule ^ wp-sisaldab / [^ /] + \. Php $ - [F, L]
RewriteRule ^ wp-sisaldab / js / tinymce / langs /.+ \. Php - [F, L]
RewriteRule ^ wp-sisaldab / teema-compat / - [F, L]

5. Luba wp-adminile juurdepääs ainult valitud IP-aadressidel

shutterstock_140373169

wp-admin kaust sisaldab WordPressi juhtpaneeli käitamiseks vajalikke faile. Enamasti ei vaja külastajad juurdepääsu WordPressi juhtpaneelile, välja arvatud juhul, kui nad soovivad kontot registreerida. Hea turvameede on võimaldada vaid mõnele valitud IP-aadressile juurde pääseda wp-admin kausta. Võite lubada nende inimeste IP-d, kes vajavad juurdepääsu WordPressi juhtpaneelile – toimetajad, kaastöötajad ja muud administraatorid. See koodilõik võimaldab ainult fikseeritud IP-dele juurdepääsu wp-admin kausta ja keelab juurdepääsu muule maailmale.

# Piirake sisselogimisi ja administraatori IP-d

tellida eitada, lubada
keelata kõigilt
lubada alates 302.143.54.102
luba alates IP_ADDRESS_2

Looge kindlasti uus .htaccess-fail ja kleepige see kausta wp-admin, mitte aga baaspaigalduskataloogi. Kui see on viimane, ei saa keegi teine ​​peale teie oma saiti sirvida – isegi mitte otsingumootorid! Seda te kindlasti ei soovi. Selle meetme paar langust on järgmine:

  • Kui teie sait lubab või reklaamib uue kasutaja registreerimine, kasutajate arvu jälgimine oleks peaaegu võimatu. Näiteks kui soovite WPExploreris alla laadida meie fantastilisi tasuta teemasid, peate registreeruma.
  • Inimesed, kellel on dünaamilised IP-aadressid (enamasti PPP- või PPPoE-protokolle kasutavad ADSL-lairiba kasutajad) on nende IP-d muutunud iga kord, kui nad logivad välja ja logivad sisse oma ISP-le. Kindlasti oleks ebapraktiline jälgida kõiki neid IP-sid ja lisada need htaccess-faili.
  • Mobiilne lairiba: Olenemata sellest, kas kasutate 3G või 4G, sõltub teie IP-aadress praegusest kärjetornist, millega olete ühendatud. Oletame, et reisite – teie IP muutub pidevalt iga paari miili kaugusel, mille te lähtekohast kaugete. Jällegi on htaccess-faili jälgimine peaaegu võimatu.
  • Avalikud WiFi levialad: Volituste kasutamine Interneti-ühenduse kaudu avaliku Wi-Fi-leviala abil on suur ei-ei, sest pisikese tarkvaraga laps saab iga teie sisestatud tähemärgi välja tõmmata. Rääkimata sellest, igal WiFi levialal on kordumatu IP-aadress.

Õnneks saab kõiki neid puudusi (välja arvatud esimene) VPN-i abil kõrvaldada. Kui seate oma VPN-i ühenduse looma ainult ühe IP-aadressi abil, saate selle lihtsalt oma htaccess-faili lisada ja kõik teie probleemid lahendatakse.

6. Kaitske wp-config.php ja .htaccess kõigi eest

WordPress-pood-turvalisus-shopping-näpunäited

wp-config.php fail sisaldab teie WordPressi saidi kõige tundlikumaid juurdepääsu mandaate. See sisaldab muude sätete hulgas andmebaasi nime ja juurdepääsu mandaate ning mitmesuguseid muid kriitilisi andmeid. Ärge mingil juhul soovite, et teised inimesed seda faili uuriksid. Ja muidugi, soovite keelata üldsuse juurdepääsu kogu selle turvalisuse allikale – .htaccess fail ise. Juurdepääsu saidile saate keelata wp-config.php järgmise koodiga:

# Keela juurdepääs wp-config.php failile

et luba, keela
keelata kõigilt

Kõigile htaccess-failidele juurdepääsu keelamiseks (pidage meeles, et mõned võivad asuda wp-adminis ja muudes kaustades) kasutage seda koodilõiku:

# Keela juurdepääs kõigile .htaccess-failidele

et luba, keela
keelata kõigilt
rahulda kõiki

7. Keeldu pildi Hotlinkist

pildi kuuma linkimine

Üks lahedamaid .htaccess-faili häkkereid saadab see sisukaabitsad, mis jooksevad sabaga jalgade vahel. Kui keegi kasutab teie saidi pilti, kulub teie ribalaius ja enamasti pole teile selle eest krediiti. See koodilõik kõrvaldab selle probleemi ja saadab selle pildi, kui tuvastatakse hotlink.

# Takistage pildi kuuma linkimise skripti. Asendage viimane URL mis tahes soovitud pildi lingiga.
RewriteEngine sisse lülitatud
RewriteCond% {HTTP_REFERER}! ^ $
RewriteCond% {HTTP_REFERER}! ^ Http (s)?: // (www \.)? Yourwebsite.com [NC]
RewriteCond% {HTTP_REFERER}! ^ Http (s)?: // (www \.)? Yourotherwebsite.com [NC]
RewriteRule \. (Jpg | jpeg | png | gif) $ http://i.imgur.com/MlQAH71.jpg [NC, R, L]

8. Brauseri vahemälu lubamine

veebibrauserite loend

See .htaccess-häkk, tuntud ka kui kliendi poolt vahemäluna salvestamine, lubab teie WordPressi saidil brauseri vahemällu salvestamise soovitatud võimalusi. Saate seda kasutada ka teistes projektides – HTML-saitidel jne.

# Seadistage brauseri vahemälu

Aegub aktiivselt sees
ExpiresByType image / jpg "juurdepääs 1 aasta"
ExpiresByType image / jpeg "juurdepääs 1 aasta"
ExpiresByType image / gif "juurdepääs 1 aasta"
ExpiresByType image / png "juurdepääs 1 aasta"
ExpiresByType text / css "juurdepääs 1 kuu"
ExpiresByType rakendus / pdf "juurdepääs 1 kuu"
ExpiresByType text / x-javascript "juurdepääs 1 kuu"
ExpiresByType'i rakendus / x-shockwave-flash "juurdepääs 1 kuu"
ExpiresByType pilt / x-ikoon "juurdepääs 1 aasta"
ExpiresDefault "juurdepääs 2 päeva"

9. Suunake lehele Hooldus

shutterstock_93288208

Veebihostide rändamise või mõne hooldusülesande täitmise ajal on alati soovitatav luua staatiline HTML-fail „Hoolduse jaoks alla”, et teavitada oma külastajaid veebisaidi uuendamisest või hooldustoimingutest. Looge lihtsalt hooldus.html-fail (või mõni muu failinimi) ja laadige see üles WordPressi installikataloogi. Kleepige järgmine fragment oma .htaccess-faili. Kui toiming on lõppenud, kustutage need read või kommenteerige need kindlasti, et naasta üldisesse toimingusse. Kommenteerimiseks lisage iga rea ​​algusesse number #.

# Suunake kogu liiklus faili hooldus.html
RewriteEngine sisse lülitatud
RewriteCond% {REQUEST_URI}! /Maintenance.html$
RewriteCond% {REMOTE_ADDR}! ^ 123 \ .123 \ .123 \ .123
RewriteRule $ / Maintenance.html [R = 302, L] 

10. Kohandatud vealehed

404 mall

Saate ka .htaccess-faili konfigureerida kasutajasõbralike kohandatud tõrkelehtede jaoks selliste vigade jaoks nagu 403, 404 ja 500. Kui olete oma vealehe – oletame näiteks viga.html – ette valmistanud, laadige see oma WordPressi aluskataloogi. Seejärel lisage kohandatud tõrke lehe lubamiseks oma .htaccess-faili järgmine koodilõik:

# Kohandatud vealeht tõrgete 403, 404 ja 500 jaoks
ErrorDocument 404 /error.html
ErrorDocument 403 /error.html
ErrorDocument 500 /error.html

Järeldus:

Täna oleme teie WordPressi saidi tugevdamiseks õppinud mõnda lahedamat htaccess-häkki. Ma soovitaksin teil iga moodulit ükshaaval proovida. Varundades .htaccess-faili varundamist enne ja pärast iga mooduli testimist. Seda seetõttu, et .htaccess-fail on väga kriitiline. Puudub märk või number on vales kohas”Võib teie saidi terviklikkuse hävitada. Kui pääsete oma WordPressi juhtpaneelile juurde sageli liikvel olles, on soovitatav valikulisi IP-sid mitte lubada wp-admin kausta.

Teile üle – mida te sellelt postituselt võtate? Kas arvate, et see on htaccess-faili redigeerimisega vaeva väärt? Kas teate paremat turvanõuannet? Meile meeldiks teid kuulda.

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map