Помощь Как вы защищаете свои сайты на Вордпресс?

[BSunV]

В связи с недавними событиями (а именно - взломом моих сайтов) выкурил массу мануалов и советов по безопасности вордпресс, но, честно говоря, в голове каша. Хотелось бы узнать как защищают свои сайты на Вордпресс уважаемые форумчане. Интересуют вопросы: какие плагины устанавливаете, как защищаете папку wp-admin ну и другие способы защиты.

 

[ksana]

Вот подробная инструкция, как защитить сайт на wordpress от автоматического взлома.

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

А от ручного взлома никак не защитишь.

 

[starclyde]

в allow from прописываете ваш IP адресс, если он у вас статический.

да ну **х.. А если например картинки беруться из каталога плага? А css/js...

Чем это картинкам то помешает и прочему ?

 

[LodeRunner]

У меня что-то не работает SSL с таким кодом в файле конфигурации:

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

На локалхосте Денвера все нормально работает, а на реальном хостинге выдает ошибку при попытке зайти в админку или на страницу логина. В чем может быть причина?


И еще вот очень хороший способ защиты конфигурационного файла, который я использую на сайтах на Joomla:
Создаем где-нибудь на хостинге за пределами папки сайта(за пределами public_html) файл name.conf и в него копируем весь текст из конфигурационного файла. А в конфигурационном файле все удаляем и вставляем такую строку:

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

Теперь вся конфигурация находится в файле name.conf, который лежит на хостинге за пределами папки с сайтом, и если злоумышленник как-то откроет конфигурационный файл, то никаких паролей от базы данных и прочего он не увидит.

Такой метод у меня работает на всех сайтах на Joomla, а вот на Wordpress сегодня попробовал так сделать, но почему-то не работает - выдает ошибку 500. В чем может быть причина? Это же php, так что Вордпресс должен понимать этот код. Не понятно...

 

[MRSten]

Самое уязвимое занятие в любой системе это человек.
1. Необходимо ежедневно мониторить все тематические багтреки по всему что вы юзаете(движек,ось,все что дополнительно прикручивали).
2. Постоянно мониторить логи.
3. Регулярно делать бекапы.
И вы будете практически неуязвимы.

 

[Rastypasty]

Самое уязвимое занятие в любой системе это человек.
1. Необходимо ежедневно мониторить все тематические багтреки по всему что вы юзаете(движек,ось,все что дополнительно прикручивали).
2. Постоянно мониторить логи.
3. Регулярно делать бекапы.
И вы будете практически неуязвимы.

А теперь представь что у тебя проекты на 5 разных cms'ках

 

[Рачей]

А теперь представь что у тебя проекты на 5 разных cms'ках

у меня 20 сайтов одновременно с сервера льют данные на бекапсервер. каждый в разное время, кто-то раз в неделю кто-то раз в сутки а есть и раз в час...

<?php
require( dirname( __FILE__ ) . 'путь к файлу name.conf' );
?>

и что это дает?)))

 

[MRSten]

А теперь представь что у тебя проекты на 5 разных cms'ках

Я по другую сторону барикад.Просто зачем потом обижаться что сетка на 5 разных cms слегла в 1н день.

 

[lordBlack]

пропишите защиту через htaccess (только имейте ввиду некоторые плугины откажутся работать, править придется или htaccess или сам плугин)

#Включаем отслеживание сим-ссылок
Options +FollowSymLinks
#Запускаем url_rewriting
RewriteEngine On
#Блокируем все ссылки, содержащие <script>
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
#Блокируем все скрипты, которые пытаются изменить переменные PHP Globals:
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
#Блокируем все скрипты, которые пытаются изменить переменную _REQUEST:
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
#Перенаправляем все подобные на страницу с ошибкой 403 - запрещено
RewriteRule ^(.*)$ index.php [F,L]

почле чего на htaccess ставим права 0600 или 0444 и меняем владельца на апач или нободи, а лучше на рута. чтоб исправить не могли))))

 

[ZM2007]

Пробовали искать в каталоге Wordpress по слову security?

На данный момент я рекомендую Better Wordpress Security он заставит вас сделать с блогом почти все, что можно сделать, чтобы он был защищен. там и префиксы и изменения пользователей и тп.