ГлавнаяОбеспечение безопасности вашего веб-сайта — это не одноразовая вещь. Это не переключатель, который можно переключить на «БЕЗОПАСНОСТЬ» и больше не беспокоиться об этом. Веб-безопасность построена на уровнях. Смысл каждого слоя в том, чтобы сделать его немного более трудным для хакеро. Наша цель — создать ровно столько слоев, чтобы они сдались и перешли на сайт с меньшим количеством слоев.
Что такое «Безопасность WordPress»?
Многие владельцы веб-сайтов, с которыми я разговаривал, думают, что безопасность WordPress — это подключаемый модуль, который они устанавливают, или услуга, которую они покупают. Нет ничего более далекого от правды. Безопасность — это образ мышления, а не что-то конкретное. Это то, о чем вы должны думать при каждом решении, которое вы принимаете в отношении своего веб-сайта.
- Хотите новую тему? Какова репутация разработчиков темы с точки зрения безопасности?
- Хотите добавить новый плагин? Насколько это безопасно? Были ли в нем сообщения об уязвимостях?
- Хотите нанять нового подрядчика? Что другие говорят об их работе? Безопасен ли их код?
Каждое решение, которое вы принимаете, должно быть связано с вопросом «Как это повлияет на безопасность моего сайта?» Если вы не можете точно сказать, что ответ на этот вопрос — либо увеличить её, либо хотя бы не повредить, то вам нужно переосмыслить решение.
Другая аналогия, которую я часто использую, заключается в том, что безопасность — это не одно конкретное действие, а ряд слоев, которые вы накладываете на свой сайт.
- Верхний уровень — сетевой брандмауэр.
- Следующий уровень — это брандмауэр вашего приложения (в WordPress это обычно плагин).
- Следующий уровень — это надежные пароли.
- Следующий уровень — двухфакторная аутентификация.
- Следующий уровень — это перемещение вашего каталога wp-admin на другой путь.
- Следующий уровень не использовать имя для входа «admin».
- Следующий — отключить XML-RPC
Ни одна из этих вещей сама по себе не сделает ваш сайт безопасным. Однако все они вместе могут сделать ваш сайт безопасным, так что злоумышленники перейдут на менее безопасный сайт. Еще одна хорошая новость заключается в том, что в настоящее время вы можете легко защитить свой веб-сайт, разместив его у надежного хостинг-партнера.
Вы можете заметить, что установка SSL-сертификата отсутствует в списке выше. Это связано с тем, что в наши дни наличие SSL-сертификата — это то, что мы называем «маст хев». Это означает, что это не мера безопасности, это то, что вы должны делать при настройке любого веб-сайта. Он улучшает вашу безопасность и ваш рейтинг в поисковых системах. Поскольку теперь они бесплатны, нет абсолютно никаких причин для работы любого веб-сайта без сертификата. Более того, на hosting-cloud вы можете устанавливать бесплатные SSL-сертификаты Let’s Encrypt сразу после создания веб-сайта.
Каковы лучшие плагины безопасности WordPress для защиты каждого уровня вашего сайта WordPress?
Настройка многоуровневой аутентификации, описанной выше, у большинства людей займет некоторое время. Как упоминалось ранее, в наши дни почти все может быть выполнено нетехническими владельцами сайтов. При этом, если вы нервничаете по этому поводу или не уверены в своей способности выделить время, чтобы сделать все правильно, наймите кого-то, кому вы доверяете, чтобы он сделал это за вас.
Сетевой брандмауэр
Если вы используете авторитетного хостинг-партнера, такого как Hosting-Cloud, то мы самостоятельно настраиваем брандмауэр. Если вы не уверены, предоставляет ли вам эту услугу ваш хостинг-партнер, спросите у него. Если вы не получите четкого ответа «Да, мы предоставляем вам брандмауэр сетевого уровня», рассмотрите возможность поиска нового хостинг-партнера.
Брандмауэр приложений
В экосистеме WordPress «Брандмауэр приложений» обычно означает плагин. Есть несколько хороших с солидной репутацией на выбор. Обычно я не рекомендую конкретные плагины, потому что, как только я это делаю, кто-то пишет мне, что есть другой, который по его мнению лучший. Тем не менее, поскольку многие пользователи просили меня порекомендовать плагины безопасности, я собираюсь нарушить свое правило и дать несколько рекомендаций. Важно отметить, что они не в определенном порядке.
Кстати, большинство этих плагинов делают гораздо больше, чем просто брандмауэр приложений.
- Malware scanning
- Security audits
- Security hardening
- Website firewall
Некоторые из компаний, разрабатывающих эти плагины, также обеспечивают удаление вредоносных программ и очистку взломанных сайтов. Если вы ищете душевное спокойствие, это отличная функция.
Jetpack
Jetpack — это универсальный плагин. У него много функций, и большая часть из них не связана с безопасностью. Однако в него встроены некоторые функции безопасности. Если у вас уже установлен Jetpack, рассмотрите возможность приобретения функций безопасности.
Если у вас в настоящее время не установлен Jetpack и вам не нужны какие-либо другие функции, это может быть не лучшим решением.
Sucuri Security
Sucuri существует уже продолжительное время и имеет отличную репутацию. В дополнение к брандмауэру веб-приложений Sucuri предлагает множество других функций:
- Удаление вредоносного ПО и очистка от взлома
- Усовершенствованная защита от DDoS-атак
- Частота сканирования вредоносных программ и взломов
Эти три функции важны и охватываются их базовым уровнем. В целом, Sucuri — это хорошо продуманное предложение, которое может стать важным подсопрьем в области безопасности любого веб-сайта.
iThemes Security Pro
Раньше я пользовался им. В настоящее время я им не пользуюсь, но в то время, когда я им пользовался, он был одним из лучших, если не лучшим, на рынке. (Важно отметить, что я не думаю, что плагин каким-либо образом деградировал, мои потребности изменились.)
Единственное, что я помню об этом плагине, это то, что его административная страница сложна. Убедитесь, что вы выделили несколько часов в течение пары дней, чтобы прочитать и понять каждый доступный вам вариант, чтобы вы могли принимать правильные решения. Этот совет в равной степени применим к каждому плагину безопасности.
В отличие от других плагинов, iThemes предоставляет вам все функции на любом ценовом уровне. Разница в цене зависит от количества сайтов, которые вы хотите защитить.
Надежные пароли
Хотя для этого слоя доступны плагины, поддержка надежных паролей, к счастью, встроена в ядро WordPress. Я настоятельно рекомендую вам применять надежные пароли для всех пользователей, у которых уровень безопасности выше, чем у гостя или подписчика. Если они могут чем-то управлять, у них должен быть как минимум надежный пароль.
WP 2ФА
Двухфакторная аутентификация (2FA) — одна из новейших технологий, появившихся в Интернете, но очень важная. Логины и пароли можно украсть онлайн, а телефон – нет. Добавляя 2FA в качестве уровня вашей безопасности, вы лишаете возможности доступа к вашему сайту для посторонних только потому, что они получили доступ к вашему логину и паролю.
Один плагин, который я использовал на протяжении многих лет для реализации 2FA, — это WP 2FA . Если у вас уже есть брандмауэр приложения, реализующий 2FA, используйте его. Но если вы этого не сделаете, WP-2FA — хороший выбор.
…и остальные
Однако с другими слоями вам все еще нужна помощь. Я пробовал комбинации десятков различных плагинов для их реализации, и каждый раз что-то шло не так. Хотя мне нравится концепция «один плагин — одна функция». Иногда плагины не очень хорошо работают друг с другом, и тогда у вас получается беспорядок.
SiteGround выпустил встроенный плагин безопасности WordPress. Он объединяет множество уровней безопасности в один плагин.
SiteGround Security : универсальный плагин для безопасности WordPress
Это новичок в группе, но он неплохой плагин безопасности.
SiteGround Security поставляется с множеством функций безопасности. Каждую из них можно включить или выключить, не беспокоясь об остальных функциях. Мои любимые 4 функции плагина:
- Двухфакторная аутентификация
- Отключение XML-RPC
- Отключение имени входа «admin»
- Блокировка и защита системных папок
Я пробовал устанавливать автономные плагины, которые реализовали каждую из этих функция. Каждый раз я заканчивал тем, что в конце концов удалял плагин, потому что либо он не выполнял свою работу так, как я хотел, либо становился заброшенным и задерживал обновление моей системы.
Всего комментариев: 0