Ghid pentru protejarea fișierelor sensibile în WordPress. Protejarea fișierelor sensibile în WordPress este esențială pentru securitatea generală a website-ului dumneavoastră.

Implementând regulile de mai sus și monitorizând constant fișierele critice, reduceți riscurile de compromitere și mențineți siguranța datelor și reputația online.

Ghid pentru protejarea fișierelor sensibile

WordPress este una dintre cele mai utilizate platforme web, dar popularitatea sa o face și o țintă frecventă pentru atacuri cibernetice.

Fișierele sensibile precum wp-config.php, .htaccess, error_log sau directoarele de tip /wp-content/uploads conțin informații critice care trebuie protejate pentru a preveni compromiterea website-ului.

În acest articol, prezentăm cele mai bune practici pentru protejarea acestor fișiere esențiale.

1. Protejarea fișierului wp-config.php

Fișierul wp-config.php conține datele de conectare la baza de date și cheile de securitate WordPress.

Pentru a-l proteja, adăugați următorul cod în .htaccess:

<files wp-config.php>
  order allow,deny
  deny from all
</files>

Alternativ, puteți muta fișierul cu un nivel mai sus în ierarhia directorului public, unde WordPress îl va recunoaște automat.

2. Ascunderea fișierelor .htaccess și .htpasswd

Fișierele ascunse (începând cu punct, ex: .htaccess) nu ar trebui să fie accesibile publicului. Blocați-le astfel:

<Files ~ "^\.ht">
  Order allow,deny
  Deny from all
</Files>

3. Interzicerea listării directoarelor

Prin activarea listării directoarelor, atacatorii pot vedea conținutul acestora.

Pentru a preveni acest lucru, adăugați în .htaccess:

Options -Indexes

4. Protejarea fișierului xmlrpc.php

Acest fișier este adesea abuzat pentru atacuri brute-force și DDoS.

Dacă nu aveți nevoie de funcționalitatea sa, îl puteți bloca:

<Files xmlrpc.php>
  order deny,allow
  deny from all
</Files>

5. Limitarea accesului la fișierele de log și backup

Fișierele precum error_log sau backup.zip nu trebuie să fie accesibile online.

Căutați și ștergeți aceste fișiere dacă nu sunt esențiale sau mutați-le într-un director protejat.

6. Protejarea fișierului readme.html

Fișierul readme.html conține informații despre versiunea WordPress folosită.

Eliminați-l sau blocați accesul la el cu următoarea regulă:

<Files readme.html>
  order allow,deny
  deny from all
</Files>

7. Prevenirea execuției de fișiere PHP în directoarele încărcate

Pentru a împiedica execuția fișierelor PHP încărcate în /wp-content/uploads, creați un fișier .htaccess în acel director cu următorul conținut:

<FilesMatch "\.php$">
  Order Deny,Allow
  Deny from all
</FilesMatch>

8. Utilizarea permisiunilor corecte pentru fișiere și directoare

Setați permisiuni sigure la nivel de sistem de fișiere:

• Fișiere: 644
• Directoare: 755
• wp-config.php: 600

9. Dezactivarea editorului de teme și pluginuri

Editorul integrat WordPress poate fi folosit de atacatori dacă reușesc să se autentifice.

Dezactivați-l prin adăugarea în wp-config.php:

define('DISALLOW_FILE_EDIT', true);

10. Scanarea periodică a fișierelor sensibile

Folosind pluginuri de securitate precum Wordfence sau Sucuri Security, puteți monitoriza fișierele critice și primi alerte la orice modificare neautorizată.