Ustawienia

Zmiany, które warto wprowadzić.

  • Zablokuj edycję plików z panelu WordPress. Domyślnie administrator może edytować pliki motywu i wtyczek wprost z panelu — to wygodne, ale też pierwsze miejsce, którym posługuje się atakujący z przejętym kontem administratora, żeby wstrzyknąć złośliwy kod. Wyłączenie tej opcji nie przeszkadza w normalnej pracy, bo edycję kodu i tak robi się poza panelem.
  • Wyłącz debugowanie na środowisku produkcyjnym. Tryb debugowania potrafi wypisywać szczegóły błędów, w tym ścieżki plików i fragmenty kodu, widoczne publicznie — cenna wskazówka dla atakującego. Debugowanie powinno być włączone tylko na stagingu.
  • Wymuś unikalne, długie klucze bezpieczeństwa (salts). Klucze bezpieczeństwa WordPressa powinny być unikalne dla każdej instalacji i regenerowane po każdym podejrzeniu włamania — ich rotacja to jeden z pierwszych kroków w każdej naszej analizie powłamaniowej.
  • Ogranicz liczbę rewizji wpisów, jeśli baza rośnie zbyt szybko. To bardziej porządek niż bezpieczeństwo, ale ułatwia utrzymanie i przyspiesza backup oraz odtwarzanie.
  • Przenieś plik wp-config.php katalog wyżej, jeśli hosting na to pozwala — WordPress sam go tam odnajdzie, a plik staje się mniej dostępny dla prostych, automatycznych prób odczytu plików przez błędnie skonfigurowane skrypty.

Dlaczego to działa razem z resztą zabezpieczeń, nie zamiast nich.

Hardening wp-config.php ogranicza skutki włamania, ale nie zapobiega mu samodzielnie — nadal potrzebne są aktualne wtyczki, dobre hasła i WAF. To jeden z punktów pełnej checklisty bezpieczeństwa WordPress, a nie osobne rozwiązanie.