Ekstra sikkerhet for WordPress: rettigheter, wp-config og .htaccess

Oppdateringer, et sterkt passord og tofaktorautentisering er grunnlaget for et sikkert WordPress-nettsted. Herding (hardening) kommer i tillegg: Du setter opp nettstedet slik at et sikkerhetshull eller en overtatt konto gjør mindre skade. Her leser du hvilke innstillinger det gjelder, og hvordan du setter dem opp på webhotellet ditt.

Dette skjer allerede på serveren

En del er allerede ordnet på serverne våre. xmlrpc.php er stengt som standard (WordPress: tilgang til xmlrpc.php fungerer ikke), farlige PHP-funksjoner er slått av (PHP-sikkerhet: deaktiverte funksjoner), og det kjører en brannmur for nettrafikk og en skadevareskanner. Se Web Application Firewall og Imunify360: skann nettstedet ditt for skadevare. Stegene nedenfor gjør du selv, på ditt eget nettsted.

Alle filer redigerer du i DirectAdmin med File Manager. Filer som begynner med punktum, som .htaccess, ser du først når du viser skjulte filer: Se Vis og rediger skjulte filer som .htaccess. Lag først en kopi av hver fil, og legg kopien utenfor public_html.

1. Ingen koderedigering fra administrasjonspanelet

Åpne wp-config.php i domains/example.com/public_html og legg denne linjen over linjen med «slutt å redigere» (That's all, stop editing!):

define( 'DISALLOW_FILE_EDIT', true );

Redigeringsverktøyene for tema- og utvidelsesfiler forsvinner da fra administrasjonspanelet. Den som overtar en administratorkonto, kan da ikke legge inn skadelig kode i temaet ditt med noen få klikk. Installering og oppdatering av utvidelser fungerer som før. Sett WP_DEBUG til false i samme fil, slik at feilmeldinger aldri vises på skjermen til de besøkende.

2. Ingen PHP i uploads-mappen

I wp-content/uploads hører bilder og dokumenter hjemme, ikke PHP. En inntrenger som kan laste opp en fil via et sikkerhetshull, prøver nettopp å legge en PHP-fil der og åpne den. Lag en fil .htaccess i wp-content/uploads med:

<Files *.php>
Require all denied
</Files>

Sjekk deretter at nettstedet, skjemaene og mediebiblioteket ditt fortsatt fungerer.

3. Ingen mappeoversikt

Finnes det ingen index.php eller index.html i en mappe, kan en webserver vise en liste over alle filene. Legg dette øverst i .htaccess i public_html:

Options -Indexes

Du tester ved å åpne en mappe uten indeksfil, for eksempel https://example.com/wp-content/uploads/. Du skal da se en feilside (403 eller 404), ikke en liste.

4. Rettigheter for filer og mapper

Bruk aldri 777: Da kan alle på serveren skrive i den mappen. Sier en veiledning at det trengs for at opplasting skal fungere, ligger årsaken et annet sted. Endre rettigheter: Se Rettigheter for filer og mapper (chmod).

5. Ingen rester i webmappen

Alt i public_html kan hentes via nettet. Rydd derfor opp i:

• kopier av wp-config.php, som wp-config.php.bak eller wp-config.old. De inneholder databasepassordet ditt og sendes ut som vanlig tekst;
• sikkerhetskopier som backup.zip eller database.sql;
• en .git-mappe fra en utvikler;
• wp-content/debug.log;
• testfiler som info.php med phpinfo().

Vil du gjøre én enkelt fil utilgjengelig, se Blokker filer via .htaccess.

6. Headere og innlogging

• Sikkerhetsheadere forteller nettleseren hvordan den skal håndtere nettstedet ditt. Se HSTS og sikkerhetsheadere for nettstedet ditt.
• Innloggingssiden begrenser du til din egen IP-adresse med Sikre wp-login.php i WordPress.
• Tofaktorautentisering for administratorer: Se Sett opp tofaktorautentisering for WordPress.

Å skjule WordPress-versjonen er opprydding, ikke sikkerhet: Angrepsprogrammer prøver bare ut et sikkerhetshull uansett. Bare oppdatering tetter hullet.

Hva med en sikkerhetsutvidelse?

En sikkerhetsutvidelse samler ofte en brannmur, en skanner og innloggingsbeskyttelse. En brannmur i en utvidelse virker først når WordPress allerede kjører. Brannmuren på serveren stopper forespørsler tidligere. En utvidelse er altså et supplement, særlig for tofaktorautentisering og begrensning av innloggingsforsøk. Bruk høyst én: To sikkerhetsutvidelser side om side kolliderer ofte.

Les mer

• Hardening WordPress (developer.wordpress.org, engelsk)

Vil du lære mer? Ta det gratis WordPress-kurset, leksjon 7.4 Herd nettstedet: rettigheter, headere og sikkerhetsutvidelser.