Дошли слухи о том, что WordPress далеко не идеал безопасности. Хоть обновления выходят достаточно часто, но в систему все равно умудряются пролезть. Но судя по тому, что официальный плагин «jetpack» от WordPress заявил, что за 2 дня с момента его установки меня пытались сломать 32 раза, то я решил обезопаситься.
Честно, не представляю как работает WordPress и в статье «Ссылки и ревизии статей в WordPress» уже упоминал о том, что обычно работаю с 1С-Битрикс. Поэтому выбрал самый надёжный метод — поставил пароль на главные файлы/папки управления, через которые можно проникнуть. Посчитал что к таким особо уязвимым относятся файл wp-login.php и папка /wp-admin/.
При закрытии паролем файла/папки необходимо выполнить два действия: создать файл с логином-паролем, указать какие папки надо закрыть. На Linux для создания файла с паролем необходимо использовать команду
htpasswd -c /etc/htpasswd/alexgur.ru/.htpasswd user_name
Объяснение по порядку:
- Ключ «-c» означает создание файла при его отсутствии. Значение всех параметров можно посмотреть в документации htpasswd
- Обратите внимание на директорию для хранения файла: «/etc/htpasswd/alexgur.ru/.htpasswd». Она находится вдалеке от сайта, поэтому достать файл и подобрать пароль будет крайне сложно. Не стоит класть файл с паролем в корневую папку сайта.
- «user_name» необходимо заменить на логин (думаю, не стоит ставить тут свой логин от входа в административную часть WordPress — лучше придумать другой).
- После ввода команды попросят задать пароль и подтвердить
Теперь осталось только указать какие папки и файлы хотим защитить этим паролем. Записываем в конец файла .htaccess (в корневой сайта) следующие строки:
<Files «wp-login.php» >
AuthUserFile /etc/htpasswd/alexgur.ru/.htpasswd
AuthName «Authentication Required»
AuthType Basic
Require valid-user
</Files>
Этот файл находится отдельно от панели администратора. Поэтому защищать его надо индивидуально, через .htaccess в корневой папке сайта. Теперь подробнее что же здесь написано:
- Внутри <Files «…» > пишем на какой файл/папку будет распространяться правило
- AuthUserFile — путь к файлу, где хранится пароль, который был создан ранее
- AuthName «…» — текст на табличке, которую увидит пользователь с просьбой авторизоваться
- AuthType Basic — тип аутентификации. Для простой аутентификации значение: Basic
- Require valid-user — разрешает доступ всем пользователям, прошедшим проверку
Попробуйте запустить браузер в режиме «инкогнито» и загрузить страницу сайта /wp-login.php. Если увидите требование к авторизации, то всё сделано верно.
Далее необходимо защитить панель администратора. Создаём файл .htaccess в папке /wp-admin/ со следующим содержанием:
AuthUserFile /etc/htpasswd/alexgur.ru/.htpasswd
AuthName «Authentication Required»
AuthType Basic
Require valid-user
Теперь при входе в панель администратора будет появляться запрос на ввод логина/пароля.