5 Tips untuk Menguatkan Login WordPress Anda

Tidak kira saiz laman web anda, kehilangan data tapak anda atau tidak dapat mengakses laman web anda sendiri boleh menjadi pengalaman yang berpanjangan. WordPress, yang menguasai lebih daripada 25% daripada Web, merupakan salah satu laman web yang paling disasarkan untuk penggodam.

Dalam jawatan kami yang terdahulu, kami telah menunjukkan kepada anda sebilangan petua dan helah yang telah menutup hampir semua perkara untuk mendapatkan laman web WordPress anda. Namun, sentiasa ada ruang untuk penambahbaikan. Dalam siaran ini, kami akan melihat beberapa petua lagi untuk membantu anda membuat laman WordPress anda lebih keras untuk dilanggar.

1. Kata Laluan Bashing Kata Laluan

WordPress telah dimulakan pada tahun 2003 apabila PHP dan Web pada umumnya masih dalam masa awal mereka. Facebook tidak ada lagi, PHP bahkan tidak mempunyai OOP (Pemrograman berorientasikan Objek) terbina dalam; Oleh itu, WordPress mewarisi warisan yang tidak lagi ideal hari ini - termasuk bagaimana ia menyulitkan kata laluan.

WordPress hingga ke hari ini masih menggunakan MD5 hashing. Pada asasnya, apa yang dilakukan adalah untuk menjadikan anda 123456 kata laluan menjadi seperti e10adc3949ba59abbe56e057f20f883e.

Walau bagaimanapun, sejak komputer kini lebih canggih dari 10 tahun yang lalu ini hashed Kata laluan kini boleh dengan mudah diterbalikkan ke dalam bentuk terdedah hampir dengan serta merta.

PHP mempunyai penyulitan asal sejak 5.5 dan Jika WordPress anda berjalan dalam PHP5.5 atau ke atas, terdapat plugin berguna yang disebut wp-password-bcrypt yang membolehkan anda untuk merangkul utiliti asli ini dalam PHP.

Pasang dan aktifkan plugin melalui Komposer atau melalui MU-Plugins. Simpan kembali kata laluan anda dan anda semua ditetapkan.

2. Dayakan Perlindungan WordPress.com

Kekuatan brute adalah percubaan penggodam yang biasa di mana penyerang cuba masuk ke laman web anda dengan meneka banyak kata laluan yang mungkin, biasanya kata-kata yang terdapat dalam kamus. Ini adalah sebab mengapa anda harus menetapkan kata laluan yang sukar ditebak.

Automattic, orang-orang di belakang WordPress.com, telah memperoleh salah satu plugin WordPress yang paling popular yang boleh mengatasi serangan kekerasan. Ia dipanggil BruteProtect, dan ia disepadukan dengan Jetpack.

Berdasarkan pengalaman kami, ia ada sangat membantu kami pertempuran serangan brute force lebih daripada hampir satu juta kali.

Untuk mendapatkannya, anda perlu memasang versi terbaru Jetpack dan sambungkan tapak web anda ke WordPress.com. Kemudian dayakan “Lindungi” modul, dan putih menyenaraikan alamat IP anda sendiri juga.

Kini anda perlu berasa lebih selamat.

3. Sembunyikan URL Masuk Anda

WordPress sangat terkenal untuk halaman log masuk, wp-login.php. Oleh itu, penggodam tahu halaman yang tepat untuk mengarahkan serangan kekerasan mereka. Anda boleh menjadikannya lebih sukar untuk mereka menyembunyikan URL masuk WordPress anda.

Mujurlah, terdapat beberapa plugin yang menyediakan utiliti ini:

• iThemes Security
• WPS Sembunyikan Log masuk

4. Lumpuhkan “Lupa kata laluan”

The “Lupa kata laluan” utiliti dalam borang login adalah cara masuk untuk penyerang, yang biasanya melalui suntikan SQL untuk mendapatkan kelayakan login anda. Sekiranya terdapat hanya beberapa orang yang mempunyai akses ke kawasan admin, mungkin lebih baik untuk mematikannya.

Untuk berbuat demikian, buat muat naik fail baru - namakannya lupa-password.php.

Mula-mula kita menukar URL kata laluan yang hilang:

 fungsi lostpassword_url () return site_url ('wp-login.php');  add_filter ('lostpassword_url', 'lostpassword_url'); 

Alih keluar pautan. Malangnya, WordPress tidak menyediakan cangkuk yang betul untuk melakukan ini secara rapi add_filter fungsi. Oleh itu, kami melakukannya dengan JavaScript.

 fungsi lostpassword_elem ($ halaman) ?>   
Akhir sekali, kami mengarahkan semula “Kata Laluan Hilang” URL ke skrin log masuk.
 
 fungsi lostpassword_redirect () if (isset ($ _GET ['action'])) if (in_array ($ _GET ['action'], array ('lostpassword', 'retrievepassword' login.php ', 301); keluar;  add_action ('init', 'lostpassword_redirect'); 
 
5. Dayakan HTTPS
 
HTTPS memberikan tapak anda satu lapisan tambahan keselamatan dengan penghantaran data. Ia juga boleh memberi anda peningkatan dalam ranking carian Google. Dan sekarang anda boleh mendapatkan sijil HTTPS yang sah secara percuma melalui inisiatif kaum Let's Encrypt.
 
Untuk laman web WordPress anda boleh dengan mudah mendapatkan Let's Encrypt sijil dengan WP Encrypt. Oleh itu, tidak ada sebab mengapa anda tidak perlu menggunakan HTTPS di laman web anda hari ini.
 
 
Mengakhiri
 
Saya suka meninggalkan anda dengan peringatan bahawa walaupun semua percubaan ini, laman web kami masih boleh dikenakan serangan, hacks dan dikompromi oleh penggodam melalui cara di luar pemahaman kita. Malah syarikat besar seperti Dropbox dan LinkedIn telah menjadi mangsa ancaman keselamatan.
 
Sebagai usaha terakhir, ingat untuk sentiasa membuat sandaran fail dan pangkalan data laman web anda bila boleh.