Является ли WordPress «безопасной» CMS?
17 февраля 2023 г.Изучение потенциальных проблем безопасности веб-сайтов WordPress, а также десять практических советов по обеспечению безопасности вашей версии WordPress.
* WordPress — это безопасная система управления контентом, но она может быть уязвима из-за сторонних интеграций. * Более половины веб-сайтов в Интернете построены на WordPress, что делает его популярной мишенью для злоумышленников. * Базовое «ядро» WP защищено, но черные кодеры могут найти уязвимости в плагинах.
Много возникает... Безопасны ли веб-сайты WordPress?
Короткий ответ: Да. n Длинный ответ: да, но есть нюансы…
Давайте сделаем быстрое заявление об отказе от ответственности: мы в первую очередь являемся магазином WordPress на Skellator. Наш собственный сайт построен на нем. Это не единственная система управления контентом (CMS), которой мы свободно владеем или управляли, но мы часто рекомендуем ее, отдавая предпочтение ее гибкости, природе с открытым исходным кодом и простоте использования для передачи клиенту. Это дает клиентам комфортный уровень внутреннего контроля, не чувствуя себя прикованным к агентству наручниками за небольшие изменения (это проблема, которую некоторые агентства создают намеренно, но об этом в другой раз).
Нам часто задают вопрос «безопасен ли WordPress?». Это справедливый вопрос, и ответ обычно звучит «да, но…». Итак, давайте углубимся в это. Судя по объему, веб-сайты, созданные на основе WordPress, действительно подвергаются большему количеству угроз, чем другие системы, но…
Не все сайты WordPress создаются или управляются одинаково
Более половина веб-сайтов в Интернете построены на платформе WordPress, охватывая большие и малые организации. По своей природе будучи наиболее распространенной системой управления контентом, она обязательно станет наиболее целевой CMS для злоумышленников. Хакеры любят метод «распыляй и молись», поэтому имеет смысл сосредоточиться на программном обеспечении, которое работает на каждом углу (это просто математика, йоу).
«Ядро» WordPress, базовая готовая платформа CMS, невероятно безопасна — ее поддерживает огромная команда профессионалов в области безопасности мирового класса, сосредоточенная исключительно на безопасности WP. Предполагая, что ваш веб-менеджер поддерживает самые последние и лучшие версии, существует очень небольшая угроза безопасности для вашего экземпляра WordPress, но…
Обоюдоострый меч открытого исходного кода
WordPress – это одно из крупнейших приложений с открытым исходным кодом в Интернете. Это означает, что основная кодовая база публикуется для всеобщего обозрения и участия. Это делает невероятно простым создание функций и плагинов, а также упрощает поиск и раскрытие уязвимостей для черных кодеров. Все популярное программное обеспечение с открытым исходным кодом сталкивается с этой головоломкой, поэтому очень важно постоянно обновлять основные версии и обновления.
По своей природе поощряя инновации с открытым исходным кодом с помощью полезных подключаемых модулей и красивых тем, вы в конечном итоге защищены только как самая слабая сторонняя интеграция. На самом деле, практически все нарушения безопасности веб-сайтов на основе WordPress происходят из-за уязвимостей, обнаруженных в подключаемых модулях, поэтому очень важно тщательно проверить разработчиков и их примечания к выпуску, прежде чем внедрять код на ваш сайт.
Мудрый веб-менеджер будет устанавливать только те плагины, которые совместимы и протестированы с вашей (последней) версией ядра WP, желательно с обширной историей безопасной установки, и всегда будет применять их обновления, когда они доступны. Мы настоятельно рекомендуем вам делать это в тестовой среде, так как обновления могут иногда нарушать функциональность, и вам следует протестировать их перед развертыванием в рабочей среде (если вы обнаружите обновление, которое нарушает работу вашего веб-сайта, предупредите разработчика и сохраняйте бдительность в рабочей среде в отношении любых уязвимостей). .
Вот несколько практических советов по обеспечению безопасности вашего сайта WordPress…
10 советов по защите вашего веб-сайта WordPress
- Обновляйте программное обеспечение. Регулярно обновляйте ядро WordPress, плагины и темы, чтобы обеспечить исправление уязвимостей безопасности. Если вы работаете с экономичным сайтом, рассмотрите возможность автоматического выполнения этого действия всякий раз, когда доступны обновления.
- Шифруйте свой трафик. Включите SSL, чтобы посетители могли безопасно подключаться к вашему веб-сайту, предпочтительно используя хостинг-провайдера, который серьезно относится к своей безопасности (нам нравится WPEngine, но есть много отличных… и не очень так здорово… выбор).
- Тщательно проверяйте подключаемые модули, которые вы разрешаете. Используйте подключаемые модули и темы только из надежных источников и тщательно проверяйте их перед установкой. Также помните о «плагинах с тегами» и интеграциях, которые позволяют их использовать. Это интеграции, которые устанавливают дополнительные подключаемые модули в качестве «зависимостей», которые часто не нужны и увеличивают время загрузки, создавая потенциальные угрозы безопасности (посмотрите на вас, MonsterInsights).
- Используйте проверенный подключаемый модуль безопасности. Установите и настройте надежный подключаемый модуль безопасности для отслеживания действий и предоставления предупреждений о потенциально опасных действиях, таких как Wordfence или iThemes Security, чтобы добавить дополнительный уровень защиты.< /li>
- Ограничьте доступ к области администрирования. Не давайте доступ администратора всем бэкэнд-пользователям (чаще, чем вы думаете). Рассмотрите возможность ограничения доступа с помощью блокировки IP-адресов или двухфакторной аутентификации.
- Используйте надежные пароли. Используйте надежные и уникальные пароли для всех учетных записей пользователей, поощряя/принуждая к регулярному обновлению учетных данных.
- Ограничить количество попыток входа. Ограничьте количество попыток входа, чтобы предотвратить атаки методом грубой силы, отключив доступ после нескольких неудачных попыток.
- Регулярно создавайте резервные копии своего веб-сайта. Делайте регулярные моментальные снимки своего веб-сайта на определенный момент времени, чтобы вы могли быстро восстановить его в случае нарушения безопасности.
- Отключить редактирование файлов без прав администратора. Отключите редактор файлов на панели управления WordPress, чтобы предотвратить несанкционированное изменение кода пользователями без прав администратора.
- Будьте бдительны и почаще проверяйте панель управления. Если вы не разрешаете автоматическое обновление ядра/плагинов (на это есть множество причин), сделайте привычкой регулярно проверять , как минимум еженедельно, для просмотра и тестирования обновлений, которые необходимо развернуть.
Короче говоря, веб-сайт WordPress настолько безопасен, насколько вы его создаете и поддерживаете. Люди, кричащие о проблемах с безопасностью, не являются технически неправильными, но они также не рисуют полной картины. Поддерживая базовую структуру и все должным образом проверенные подключаемые модули в актуальном состоянии, а также следуя советам, изложенным выше, вы обезопасите себя от угроз так же, как и любая другая CMS.
Клиенты, которые задают нам этот вопрос, как правило, серьезно относятся к безопасности в первую очередь… и мы уверены, что если это самое главное, вы также можете быть уверены в том, что ваша сборка WordPress останется безопасной.
:::информация Также опубликовано здесь.
:::
Оригинал