iThemes Security — Better WP Security. Настройка плагина

Home / Работаем с сайтом / Безопасность сайта / iThemes Security — Better WP Security. Настройка плагина

09.09.2013 by Денис

iThemes Security = Better WP Security — это плагин комплексной безопасности WordPress. Он представляет собой чек-лист возможных уязвимостей сайта с отображением проблем в защите сайта. Поговорим об оптимальных настройках плагина.

Установка iThemes Security (Better WP Security).

Не будем подробно останавливаться на установке плагина. Для этого достаточно в админ. панели WordPress перейти в «Плагины» --> «Добавить новый» --> в строку поиска вписать --> «Better WP Security» и нажать «Поиск плагинов». Далее нажимаете кнопку «Установить» и затем «Активировать плагин».

Переходим к настройкам плагина: стоит отметить настройки первостепенной важности и менее значимые параметры, а также безопасные настройки и настройки, которые могут в теории нарушить работу сайта.

Настройка iThemes Security (Better WP Security).

Первостепенные настройки плагина Better WP Security.

Мы установили и активировали плагин. Теперь слева в административном меню у нас появилась кнопка «Безопасность».

Нажимаем на эту кнопку и видим вот это:

Плагин Better WP Security предлагает нам создать резервную копию базы данных. Нажимаем «Создать резервную копию базы».

Также рекомендую Вам выполнить резервное копирование с помощью специализированного плагина — прочтите статью. Полный бекап сайта тут точно не помешает.

После выполнения резервного копирования возвращаемся к плагину защиты WordPress Better WP Security и видим такое окно:

Нам предлагают «Защитить мой сайт от базовых атак». Это безопасная опция и при нажатии данной кнопки Вы не рискуете что-либо нарушить в работе сайта. Потому давайте нажмем кнопку «Защитить мой сайт от базовых атак».

Better WP Security — Статус системы.

После этого нам отображают чек-лист безопасности нашего сайта, вот такая картина будет для только что установленного сайта на WordPress:

Мы видим, что многие пункты из этого чек-листа требуют исправления. Но не все пункты можно безопасно исправить, требуется индивидуальный подход.

Вверху страницы Вы видите вкладки: Dashboard, Пользователь, Away, Ban, Dir, Backup, Prefix, Hide, Detect, Login, SSL, Tweaks, Logs.

Все настройки сгруппированы по этим вкладкам. Далее мы подробно рассмотрим каждый пункт настройки.

Какие пункты можно исправить без риска испортить сайт?

1. Вы не применяете надежные пароли.

Вкладка Tweaks --> Strong Password Tweaks

Первый пункт сообщает нам о том, что необходимо использовать надежные пароли. Нажимаем исправить:

Суть этого твика в том, что вы указываете группу пользователей, начиная с которой требуется использовать сильные пароли (много символов, разного регистра, включать в пароль цифры и другие символы).

Включение сильных паролей требуется если на сайте несколько пользователей с правами администратора или есть админ и редакторы. Если же Вы один имеете доступ в админ. панель, то просто проверьте Ваш пароль — если он надежный, можете пропустить эту опцию.

2. Your WordPress header is still revealing some information to users.

Вкладка Tweaks --> Header Tweaks

Второй пункт настроек Better WP Security предлагает нам убрать из кода header.php (Заголовка) всю лишнюю информацию. Что там лишнего?

Мета-тег генератор — сообщает версию системы WordPress, может быть использован злоумышленниками для взлома системы (сбор информации по уязвимостям версии).
Заголовки Windows Live Writer — он никем почти не используется, смело убираем.
Заголовки RSD — тоже нам не нужны, отключаем. Эти заголовки нужны только тем, кто добавляет статьи в блог с помощью программ-клиентов для планшетов и мобильных телефонов. Если же вы пишете статьи обычно через браузер — смело удаляйте заголовки RSD.

Выбираем все три чекбокса и сохраняем изменения.

3. Не администраторы могут видеть доступные обновления.

Вкладка Tweaks --> Панель настроек

Этот пункт настроек позволяет запретить отображение доступных обновлений плагинов, тем, системы для не администраторов, имеющих доступ в панель управления (например, для редакторов статей).

4. The admin user still exists.

Вкладка Пользователь

Обычно по умолчанию в системе WordPress администратор имеет логин admin. Это небезопасно, такие админки проще взломать. Нужно изменить имя пользователя администратора. Для этого кликаем на данный пункт настроек Better WP Security.

Вводим новое имя пользователя для администратора и меняем ID.

5. A user with id 1 still exists.

Вкладка Пользователь

ID администратора мы уже изменили — см. чуть выше.

6. Ваш префикс таблиц не должно быть wp_.

Вкладка Prefix

Стандартный префикс таблиц базы данных WordPress wp_. В целях безопасности изменим его. Используйте только латинский алфавит и цифры.

Нажмите на кнопку «Изменить префикс таблиц базы данных» и новый префикс будет сгенерирован автоматически.

Предупреждение гласит: сделайте бекап перед применением настройки префикса базы данных.

7. Вы не планировали регулярного резервного копирования базы данных WordPress.

Вкладка Backup

С помощью этого пункта настроек Better WP Security вы можете задать регулярное автоматическое резервное копирование базы данных.

Отмечаете чекбокс «Включить архивацию по расписанию», устанавливаете интервал и настраиваете отправку бекапов на e-mail.

Примечание: бекап на электронную почту может не приходить, поэтому не полагайтесь на эту опцию. Если резервные копии перестали приходить, зайдите в настройках Better WP Security на вкладку Logs (Логи) и в блоке «Очистить базу данных» отметьте все чекбоксы, затем нажмите кнопку «Удаление данных». Может помочь решить проблему с отправкой бекапов на почту.

Помните: лучше проводить резервное копирование с помощью специальных плагинов. Делайте бекапы перед внесением изменений на сайте, перед обновление и установкой плагинов и после добавления новых статей. Бекапы скачивайте и храните в надежном месте.

Прочтите статью о способах резервного копирования сайта на WordPress.

8. Доступность админки 24 часа 7 дней в неделю.

Вкладка Away

Этот пункт не имеет критического значения — его рассмотрим в статье по дополнительным настройкам.

9. You are not blocking known bad hosts and agents with HackRepair.com's blacklist.

Вкладка Ban

Этот пункт позволяет блокировать хакреские агенты и «плохие» хосты.

Поставьте галочку в чекбокс «Enable Default Banned List» и нажмите кнопку «Add Hosts and Agents Blacklist» и хакерские агенты будут автоматически добавлены в черный список.

Если Вы читали в сети, что плагин добавляет в черный список Яндекс-бота, то на официальном сайте есть информация, что, начиная с версии плагина 3.4.2 Яндекс удален из списка плохих хостов. Проблемы нет, можете проверить в сервисе Яндекс-вебмастер.

10. Ваш логин защищен от перебора / Your login area is not protected from brute force attacks.

Вкладка Login

Необходимо защитить вход в систему от перебора комбинаций логин-пароль. Для этих целей лучше установите капчу (наберите в плагинах добавление нового и поищите captcha).

Мы настроим защиту так, чтобы нельзя было подобрать пароль к админке WordPress — ограничим число попыток входа, включим черный список для защиты от брутфорса и уведомление на e-mail о попытках входа в админку.

Пояснения к параметрам:

Enable Login Limits — включение лимита попыток входа в админку сайта.
Max Login Attempts Per Host — максимальное число попыток входа в админку для хоста (IP-адреса).
Max Login Attempts Per User — максимальное число попыток входа в админку для имени пользователя (логина). Эта опция важна, т.к. хакеры обычно атакуют с множества компьютеров и баном по IP тут не обойтись. Однако если они узнают Ваш настоящий логин админа, то Ваша учетная запись админа может быть временно заблокирована.
Login Time Period (minutes) — период времени, на который запоминается неверный логин, введенный пользователем.
Lockout Time Period (minutes) — период времени, на который блокируется доступ к сайту при превышении числа попыток авторизации (ввода пароля и логина)
Blacklist Repeat Offender — это черный список IP адресов, с которых был достигнут предел попыток входа на сайт.
Blacklist Threshold — количество временных блокировок IP-адреса, прежде чем занести его в постоянный бан-лист.
Уведомления по электронной почте — пришлет Вам (админу сайта) на почту уведомление о блокировке хоста или пользователя.
Адрес электронной почты — тот самый email, куда будут отсылаться письма.

11. Ваша WordPress админка не скрыта.

Вкладка Hide

Этот пункт позволяет скрыть адрес вашей админки, но он не критичен — его рассмотрим в статье по дополнительным настройкам.

Серверные параметры безопасности — Server Tweaks.

12. Your .htaccess file is NOT secured.

Вкладка Tweaks --> Server Tweaks

Этот пункт настроек плагина Better WP Security позволяет защитить файл .htaccess от несанкционированного доступа.

Данные настройки включают такие параметры:

Защита файлов от несанкционированного доступа
Отключение листинга директорий (просмотра всех файлов и папок в директории)
Фильтрация небезопасных запросов в адресной строке
Фильтрация не латинских символов

Отмечаем все опции и сохраняем настройки.

Активное противодействие хакерам.

13. Your installation is actively blocking attackers trying to scan your site for vulnerabilities.

Вкладка Detect

Данный пункт запрещает хакерам сканировать уязвимости Вашего сайта. При базовой настройке безопасности он уже активирован.

14. Your installation is not actively looking for changed files.

Вкладка Detect --> File Change Detection

Отслеживание измененных файлов. Эта настройка позволяет вести логи измененных файлов на сервере. Включайте ее только только если понимаете, какие изменения опасны, а какие нет (обновление кеш-файлов, к примеру). Подробнее в в статье по дополнительным настройкам.