Ghidul complet de securitate WordPress – Pas cu Pas (2025)

Fiecare proprietar de site WordPress pe care îl cunoaștem a avut acel moment de panică atunci când și-a dat seama că site-ul lor ar putea fi vulnerabil la hackeri. Am învățat această lecție pe calea cea grea la începutul călătoriei noastre, când am văzut ce pot face breșele de securitate afacerilor.

Acesta este motivul pentru care, de-a lungul anilor, am reușit să menținem WPBeginner în siguranță împotriva atacurilor repetate, folosind cele mai bune pluginuri de securitate și urmând cele mai bune practici de securitate WordPress.

Securitatea WordPress nu trebuie să fie complicată sau scumpă. Majoritatea proprietarilor de site-uri cred că au nevoie să angajeze experți sau să cheltuiască mii pe instrumente de securitate, dar acest lucru pur și simplu nu este adevărat. Cu abordarea potrivită și strategii dovedite, vă puteți proteja site-ul web la fel cum îl protejăm noi pe al nostru.

Am petrecut ani de zile testând pluginuri de securitate, implementând cele mai bune practici și ajutând mii de utilizatori WordPress să-și securizeze site-urile. În acest ghid, vă vom ghida prin fiecare pas pe care îl folosim pentru a ne menține site-ul în siguranță, astfel încât să puteți dormi liniștiți știind că site-ul dvs. WordPress este protejat.

Deși software-ul de bază WordPress este foarte sigur și este auditat în mod regulat de sute de dezvoltatori, există încă multe lucruri de făcut pentru a vă menține site-ul securizat.

La WPBeginner, credem că securitatea nu înseamnă doar eliminarea riscurilor. Este, de asemenea, despre reducerea riscurilor. Ca proprietar de site web, există multe lucruri pe care le puteți face pentru a vă îmbunătăți securitatea WordPress, chiar dacă nu sunteți cunoscător de tehnologie.

De aceea am creat o listă de verificare a securității WordPress cu pași acționabili pe care îi puteți urma pentru a vă proteja site-ul împotriva vulnerabilităților de securitate.

Pentru a facilita acest lucru, am creat un cuprins care să vă ajute să navigați cu ușurință prin ghidul nostru complet de securitate WordPress.

Cuprins

Bazele securității WordPress

• De ce este importantă securitatea WordPress
• Păstrați WordPress actualizat
• Folosiți parole puternice și permisiuni de utilizator
• Înțelegeți rolul găzduirii WordPress

Securitatea WordPress în pași simpli (fără codare)

• Instalați o soluție de backup WordPress
• Instalează un plugin de securitate WordPress reputabil
• Activați un firewall pentru aplicații web (WAF)
• Mutarea site-ului dvs. WordPress pe SSL/HTTPS

Securitatea WordPress pentru utilizatorii DIY

• Schimbă numele de utilizator implicit al administratorului
• Dezactivare editare fișiere
• Dezactivați execuția fișierelor PHP în anumite directoare WordPress
• Limitează încercările de conectare
• Adaugă autentificare în doi factori (2FA)
• Schimbați prefixul bazei de date WordPress
• Protejați prin parolă pagina de administrare și de conectare WordPress
• Dezactivați indexarea și navigarea prin directoare
• Dezactivați XML-RPC în WordPress
• Deconectare automată a utilizatorilor inactivi în WordPress
• Adăugați întrebări de securitate la autentificarea WordPress
• Scanează WordPress pentru malware și vulnerabilități
• Reparare Site WordPress Hacked

Gata? Să începem.

De ce este importantă securitatea site-ului web

Un site web WordPress compromis poate provoca daune grave veniturilor și reputației afacerii dvs. Hackerii pot fura informații și parole ale utilizatorilor, pot instala software malițios și chiar pot distribui malware utilizatorilor dvs.

Mai rău, s-ar putea să ajungeți să plătiți răscumpărare hackerilor doar pentru a vă recâștiga accesul la site-ul dumneavoastră.

În fiecare zi, Google avertizează 12-14 milioane de utilizatori că un site web pe care încearcă să-l viziteze poate conține malware sau poate fura informații.

Mai mult, Google listează pe negru aproximativ 10.000+ site-uri web în fiecare zi pentru malware sau phishing.

Așa cum proprietarii de afaceri cu o locație fizică sunt responsabili pentru protejarea proprietății lor, proprietarii de afaceri online trebuie să acorde o atenție sporită securității lor WordPress.

[Înapoi sus ↑]

Păstrați WordPress actualizat

WordPress este un software open-source și este întreținut și actualizat în mod regulat. În mod implicit, WordPress instalează automat actualizări minore.

Pentru versiunile majore, trebuie să inițiați manual actualizarea.

WordPress vine, de asemenea, cu mii de plugin-uri și teme pe care le puteți instala pe site-ul dvs. web. Aceste plugin-uri și teme sunt întreținute de dezvoltatori terți, care lansează în mod regulat actualizări.

Aceste actualizări WordPress sunt cruciale pentru securitatea și stabilitatea site-ului dvs. WordPress. Trebuie să vă asigurați că nucleul WordPress, pluginurile și tema sunt actualizate.

[Înapoi sus ↑]

Folosiți parole puternice și permisiuni de utilizator

Cele mai frecvente tentative de hacking WordPress folosesc parole furate. Cu toate acestea, puteți face acest lucru dificil folosind parole mai puternice și unice pentru site-ul dvs. web.

Nu vorbim doar despre zona de administrare WordPress. Nu uitați să creați parole puternice pentru conturile dvs. FTP, baze de date, conturi de găzduire WordPress și adrese de e-mail personalizate care utilizează numele de domeniu al site-ului dvs.

Mulți începători nu le plac parolele puternice, deoarece sunt greu de reținut. Lucrul bun este că nu mai trebuie să rețineți parole, deoarece puteți folosi un manager de parole.

Consultați ghidul nostru despre cum să gestionați parolele WordPress pentru mai multe informații.

O altă modalitate de a reduce riscul este să nu acordați nimănui acces la contul dvs. de administrator WordPress decât dacă absolut necesar.

Dacă aveți o echipă mare sau autori invitați, asigurați-vă că înțelegeți rolurile și permisiunile utilizatorilor în WordPress înainte de a adăuga noi conturi de utilizator și autori pe site-ul dvs. WordPress.

[Înapoi sus ↑]

Înțelegeți rolul găzduirii WordPress

Serviciul dvs. de găzduire WordPress joacă cel mai important rol în securitatea site-ului dvs. WordPress. Un furnizor bun de găzduire partajată precum Hostinger, Bluehost sau SiteGround ia măsuri suplimentare pentru a-și proteja serverele împotriva amenințărilor comune.

Iată doar câteva dintre modalitățile prin care companiile bune de găzduire web lucrează în fundal pentru a vă proteja site-urile web și datele:

• Monitorizează continuu rețeaua lor pentru activități suspecte.
• Toate companiile de hosting bune au instrumente în vigoare pentru a preveni atacurile DDoS la scară largă.
• Ei își mențin software-ul serverului, versiunile PHP și hardware-ul actualizate pentru a împiedica hackerii să exploateze o vulnerabilitate de securitate cunoscută într-o versiune veche.
• Aceștia au planuri de recuperare în caz de dezastru și accident gata de implementare, care le permit să vă protejeze datele în cazul unui accident major.

Pe un plan de găzduire partajată, împărțiți resursele serverului cu mulți alți clienți. Există riscul de contaminare inter-site, unde un hacker poate folosi un site vecin pentru a vă ataca site-ul web.

În schimb, utilizarea unui serviciu de găzduire WordPress gestionată oferă o platformă mai sigură pentru site-ul dvs. web. Companiile de găzduire WordPress gestionată oferă backup-uri automate, actualizări automate WordPress și configurații de securitate mai avansate pentru a vă proteja site-ul web.

Recomandăm SiteGround ca furnizor preferat de găzduire WordPress gestionată. Aceștia au suport receptiv, servere rapide și o fiabilitate excelentă.

Asigurați-vă că obțineți cea mai bună ofertă folosind cupoanele noastre speciale SiteGround.

[Înapoi sus ↑]

Securitatea WordPress în câțiva pași simpli (fără codare)

Știm că îmbunătățirea securității WordPress poate fi un gând terifiant pentru începători, mai ales dacă nu ești tehnic. Ghici ce – nu ești singur.

Am ajutat mii de utilizatori WordPress în întărirea securității WordPress.

Vă vom arăta cum puteți îmbunătăți securitatea WordPress cu doar câteva clicuri (fără a fi necesară codarea).

Dacă poți da clic și selecta, poți face asta!

1. Instalați o soluție de backup WordPress

Backup-urile sunt prima dvs. linie de apărare împotriva oricărui atac WordPress. Amintiți-vă, nimic nu este 100% sigur. Dacă site-urile guvernamentale pot fi sparte, atunci și al dvs. poate.

Backup-urile vă permit să vă restaurați rapid site-ul WordPress în cazul în care se întâmplă ceva rău.

Există multe pluginuri de backup WordPress gratuite și plătite pe care le puteți utiliza. Cel mai important lucru pe care trebuie să îl știți în ceea ce privește backup-urile este că trebuie să salvați în mod regulat backup-uri complete ale site-ului într-o locație la distanță (nu în contul dvs. de găzduire).

Recomandăm stocarea acestuia pe un serviciu cloud precum Amazon, Dropbox sau cloud-uri private precum Stash.

În funcție de cât de des vă actualizați site-ul web, setarea ideală ar putea fi fie o dată pe zi, fie backup-uri în timp real.

Din fericire, acest lucru se poate face cu ușurință folosind pluginuri precum Duplicator, UpdraftPlus sau BlogVault. Ambele sunt fiabile și, cel mai important, ușor de utilizat (nu este necesară nicio codare).

Pentru mai multe detalii, consultați ghidul nostru despre cum să vă faceți backup la site-ul dumneavoastră WordPress.

[Înapoi sus ↑]

Instalează un plugin de securitate WordPress reputabil

După backup-uri, următorul lucru pe care trebuie să-l facem este să configurăm un sistem de audit și monitorizare care să țină evidența a tot ceea ce se întâmplă pe site-ul dvs. web.

Aceasta include monitorizarea integrității fișierelor, încercările eșuate de conectare, scanarea malware și multe altele.

Din fericire, puteți rezolva acest lucru cu ușurință instalând unul dintre cele mai bune pluginuri de securitate WordPress, cum ar fi Sucuri.

Trebuie să instalați și să activați pluginul gratuit Sucuri Security. Pentru mai multe detalii, vă rugăm să consultați ghidul nostru pas cu pas despre cum să instalați un plugin WordPress.

Acum, puteți accesa Sucuri Security » Dashboard pentru a vedea dacă pluginul a găsit probleme imediate cu codul dvs. WordPress.

Următorul pas pe care trebuie să-l faceți este să navigați la pagina Sucuri Security » Settings și să faceți clic pe fila „Hardening”.

Setările implicite funcționează bine pentru majoritatea site-urilor web, așa că puteți continua și le puteți activa făcând clic pe butonul „Aplică întărirea” pentru fiecare opțiune.

Acest lucru vă ajută să securizați zonele cheie pe care hackerii le folosesc adesea în atacurile lor.

După partea de întărire, celelalte setări implicite ale pluginului sunt suficient de bune pentru majoritatea site-urilor web și nu necesită modificări.

Singurul lucru pe care îl recomandăm să îl personalizați sunt alertele prin e-mail, care pot fi găsite în fila „Alerte” din pagina de setări.

În mod implicit, veți primi o mulțime de alerte prin e-mail care vă pot aglomera inbox-ul.

Recomandăm activarea alertelor doar pentru acțiunile cheie despre care doriți să fiți notificat, cum ar fi modificările de pluginuri și înregistrările de utilizatori noi.

Acest plugin de securitate WordPress este foarte puternic, așa că răsfoiți toate filele și setările pentru a vedea tot ce face, cum ar fi scanarea malware, jurnalele de audit, urmărirea încercărilor eșuate de login și multe altele.

Pentru mai multe informații, puteți consulta recenzia noastră detaliată Sucuri.

Activați un firewall pentru aplicații web (WAF)

Utilizarea unui firewall pentru aplicații web (WAF) este cea mai ușoară modalitate de a vă proteja site-ul și de a fi încrezător în securitatea WordPress.

Un firewall pentru site-uri web blochează tot traficul malițios înainte ca acesta să ajungă la site-ul dvs. web.

• Un firewall pentru site-uri web la nivel DNS direcționează traficul site-ului dvs. web prin serverele sale proxy cloud. Acest lucru îi permite să trimită doar trafic autentic către serverul dvs. web.
• Un firewall la nivel de aplicație examinează traficul odată ce ajunge pe serverul dvs., dar înainte de a încărca majoritatea scripturilor WordPress. Această metodă nu este la fel de eficientă ca firewall-ul la nivel DNS în reducerea sarcinii serverului.

Pentru a afla mai multe, consultați lista noastră cu cele mai bune plugin-uri de firewall WordPress.

Am folosit Sucuri pe WPBeginner timp de mulți ani și îl recomandăm în continuare ca fiind unul dintre cele mai bune firewall-uri pentru aplicații web pentru WordPress. Recent am trecut de la Sucuri la Cloudflare deoarece aveam nevoie de o rețea CDN mai mare cu funcționalități care se concentrau mai mult pe clienții enterprise.

Puteți citi despre cum Sucuri ne-a ajutat să blocăm 450.000 de atacuri WordPress într-o lună.

Cea mai bună parte a firewall-ului Sucuri este că vine și cu o garanție de curățare a malware-ului și de eliminare a listelor negre. Asta înseamnă că dacă ai fi fost spart sub supravegherea lor, ei garantează că îți vor repara site-ul, indiferent de câte pagini ai.

Aceasta este o garanție destul de puternică, deoarece repararea site-urilor web compromise este costisitoare. Experții în securitate percep de obicei peste 250 USD pe oră, în timp ce puteți obține întregul pachet de securitate Sucuri pentru 199 USD pe an.

Acestea fiind spuse, Sucuri nu este singurul furnizor de firewall la nivel DNS. Celălalt concurent popular este Cloudflare. Vedeți comparația noastră între Sucuri vs. Cloudflare (Avantaje și Dezavantaje).

[Înapoi sus ↑]

Mutarea site-ului dvs. WordPress pe SSL/HTTPS

SSL (Secure Sockets Layer) este un protocol care criptează transferul de date între site-ul dvs. web și browserul utilizatorului. Această criptare face mai dificil pentru cineva să intercepteze și să fure informații.

Odată ce activați SSL, adresa site-ului dvs. web va folosi HTTPS în locul HTTP. Veți vedea, de asemenea, o pictogramă de lacăt sau similară lângă adresa site-ului dvs. web în browser.

Certificatele SSL sunt, de obicei, emise de autorități de certificare, iar prețurile lor încep de la 80 USD până la sute de dolari anual. Datorită costului suplimentar, majoritatea proprietarilor de site-uri web din trecut au optat să continue să utilizeze protocolul nesecurizat.

Pentru a rezolva acest lucru, o organizație non-profit numită Let’s Encrypt a decis să ofere certificate SSL gratuite proprietarilor de site-uri web. Proiectul lor este susținut de Google Chrome, Facebook, Mozilla și multe alte companii.

Este mai ușor ca niciodată să începi să folosești SSL pentru toate site-urile tale WordPress. Multe companii de găzduire oferă acum un certificat SSL gratuit pentru site-ul tău WordPress.

Dacă compania dvs. de hosting nu oferă unul, puteți achiziționa un certificat SSL de la Domain.com. Aceștia au cele mai bune și mai fiabile oferte SSL de pe piață. Certificatul vine cu o garanție de securitate de 10.000 USD și un sigiliu de securitate TrustLogo.

Securitatea WordPress pentru utilizatorii DIY

Dacă faceți tot ce am menționat până acum, atunci sunteți într-o situație destul de bună.

Dar, ca întotdeauna, există mai multe lucruri pe care le puteți face pentru a consolida securitatea WordPress.

Rețineți că unii dintre acești pași pot necesita cunoștințe de codare.

Schimbă numele de utilizator implicit al administratorului

În trecut, numele de utilizator implicit pentru administratorul WordPress era „admin”. Deoarece numele de utilizator reprezintă jumătate din credențialele de conectare, acest lucru a facilitat atacurile de tip brute-force pentru hackeri.

Din fericire, WordPress a schimbat între timp acest lucru și acum vă cere să selectați un nume de utilizator personalizat la momentul instalării WordPress.

Cu toate acestea, unii instalatori WordPress cu 1 clic încă setează numele de utilizator implicit al administratorului la „admin”. Dacă observați că acesta este cazul, atunci probabil este o idee bună să vă schimbați găzduirea web.

Deoarece WordPress nu vă permite să schimbați numele de utilizator în mod implicit, există trei metode pe care le puteți utiliza pentru a schimba numele de utilizator.

1. Creați un nume de utilizator administrator nou și ștergeți-l pe cel vechi.
2. Folosiți pluginul Username Changer
3. Actualizați numele de utilizator din phpMyAdmin

Am acoperit toate aceste trei aspecte în ghidul nostru detaliat despre cum să-ți schimbi corect numele de utilizator WordPress.

[Înapoi sus ↑]

Dezactivare editare fișiere

WordPress vine cu un editor de cod încorporat care vă permite să editați fișierele temei și ale pluginului direct din zona de administrare WordPress.

În mâini greșite, această funcție poate reprezenta un risc de securitate, motiv pentru care recomandăm dezactivarea ei.

Puteți face acest lucru cu ușurință adăugând următorul cod la fișierul dvs. wp-config.php sau cu un plugin de fragmente de cod precum WPCode (recomandat):

// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );

Îți arătăm cum să faci acest lucru pas cu pas în ghidul nostru despre cum să dezactivezi editorii de teme și plugin-uri din panoul de administrare WordPress.

Alternativ, puteți face acest lucru cu 1 clic folosind funcția Hardening din pluginul gratuit Sucuri menționat mai sus.

[Înapoi sus ↑]

Dezactivați execuția fișierelor PHP în anumite directoare WordPress

O altă modalitate de a întări securitatea WordPress este prin dezactivarea execuției fișierelor PHP în directoarele unde nu este necesară, cum ar fi /wp-content/uploads/.

Puteți face acest lucru deschizând un editor de text precum Notepad și lipind acest cod:

<Files *.php>
deny from all
</Files>

Apoi, trebuie să salvați acest fișier ca .htaccess și să-l încărcați în folderul /wp-content/uploads/ de pe site-ul dvs. web folosind un client FTP.

Pentru o explicație mai detaliată, consultați ghidul nostru despre cum să dezactivați execuția PHP în anumite directoare WordPress.

Alternativ, puteți face acest lucru cu un singur clic folosind funcția de întărire din pluginul gratuit Sucuri menționat mai sus.

[Înapoi sus ↑]

Limitează încercările de conectare

În mod implicit, WordPress permite utilizatorilor să încerce să se autentifice de câte ori doresc. Acest lucru lasă site-ul dvs. WordPress vulnerabil la atacuri de tip brute-force. Acesta este locul unde hackerii încearcă să spargă parolele încercând să se autentifice cu diferite combinații.

Acest lucru poate fi remediat cu ușurință prin limitarea încercărilor eșuate de autentificare pe care le poate face un utilizator. Dacă utilizați firewall-ul aplicației web menționat anterior, atunci acest lucru este gestionat automat.

Cu toate acestea, dacă nu ai firewall-ul configurat, atunci poți continua folosind pașii de mai jos.

Mai întâi, trebuie să instalați și să activați pluginul gratuit Limit Login Attempts Reloaded. Pentru mai multe detalii, consultați ghidul nostru pas cu pas despre cum să instalați un plugin WordPress.

La activare, pluginul va începe să limiteze numărul de încercări de conectare pe care utilizatorii le pot face.

Setările implicite vor funcționa pentru majoritatea site-urilor web. Cu toate acestea, le puteți personaliza vizitând pagina Setări » Limitează încercările de conectare și făcând clic pe fila „Setări” din partea de sus. De exemplu, pentru a respecta legile GDPR, puteți bifa căsuța „Conformitate GDPR”.

Pentru instrucțiuni detaliate, consultați ghidul nostru despre cum și de ce ar trebui să limitați încercările de conectare în WordPress.

[Înapoi sus ↑]

Adaugă autentificare în doi factori (2FA)

Metoda de autentificare cu doi factori necesită 2 pași diferiți pentru ca utilizatorii să se autentifice:

1. Primul pas este numele de utilizator și parola.
2. Al doilea pas necesită utilizarea unui cod dintr-un dispozitiv sau o aplicație aflată în posesia dvs. la care hackerii nu pot accesa, cum ar fi smartphone-ul dvs.

Majoritatea site-urilor web online de top, cum ar fi Google, Facebook și Twitter, vă permit să o activați pentru conturile dvs. Puteți adăuga aceeași funcționalitate și pe site-ul dvs. WordPress.

Mai întâi, trebuie să instalați și să activați pluginul WP 2FA – Autentificare cu doi factori. Pentru mai multe detalii, consultați ghidul nostru pas cu pas despre cum să instalezi un plugin WordPress.

Un expert (wizard) ușor de utilizat vă va ajuta să configurați pluginul, apoi vi se va oferi un cod QR.

Va trebui să scanați codul QR folosind o aplicație de autentificare de pe telefon, cum ar fi Google Authenticator, Authy sau LastPass Authenticator.

Recomandăm utilizarea LastPass Authenticator sau Authy deoarece vă permit să faceți backup conturilor în cloud. Acest lucru este foarte util în cazul în care telefonul dvs. este pierdut, resetat sau cumpărați un telefon nou. Toate autentificările conturilor dvs. vor fi restaurate cu ușurință.

Majoritatea acestor aplicații funcționează într-un mod similar, iar dacă folosiți Authy, atunci pur și simplu faceți clic pe butonul „+” sau „Adăugați cont” din aplicația de autentificare.

Acest lucru vă va permite să scanați codul QR de pe computer folosind camera telefonului. S-ar putea să fie necesar mai întâi să acordați aplicației permisiunea de a accesa camera.

După ce ați dat un nume contului, îl puteți salva.

Data viitoare când vă conectați la site-ul dvs. web, vi se va cere codul de autentificare în doi factori după ce introduceți parola.

Pur și simplu deschideți aplicația de autentificare de pe telefon și veți vedea un cod de unică folosință.

Puteți apoi introduce codul pe site-ul dumneavoastră pentru a finaliza autentificarea.

[Înapoi sus ↑]

Schimbați prefixul bazei de date WordPress

În mod implicit, WordPress folosește wp_ ca prefix pentru toate tabelele din baza de date WordPress.

Dacă site-ul dvs. WordPress folosește prefixul implicit al bazei de date, atunci este mai ușor pentru hackeri să ghicească numele tabelei dvs. Acesta este motivul pentru care recomandăm schimbarea acestuia.

Puteți schimba prefixul bazei de date urmând tutorialul nostru pas cu pas despre cum să schimbi prefixul bazei de date WordPress pentru a îmbunătăți securitatea.

[Înapoi sus ↑]

Protejați prin parolă pagina de administrare și de conectare WordPress

În mod normal, hackerii pot solicita folderul dvs. wp-admin și pagina de conectare fără restricții. Acest lucru le permite să încerce trucurile lor de hacking sau să efectueze atacuri DDoS.

Puteți adăuga protecție suplimentară prin parolă la nivel de server, ceea ce va bloca eficient acele solicitări.

Urmați doar instrucțiunile noastre pas cu pas despre cum să protejați cu parolă directorul de administrare WordPress (wp-admin).

[Înapoi sus ↑]

Dezactivați indexarea și navigarea prin directoare

Când introduceți adresa unuia dintre folderele site-ului dvs. web într-un browser web, vi se va afișa pagina web numită index.html dacă aceasta există. Dacă nu există, atunci vi se va afișa o listă de fișiere din acel folder în schimb. Acest lucru este cunoscut sub numele de navigare în director.

Browsing-ul directoarelor poate fi folosit de hackeri pentru a afla dacă aveți fișiere cu vulnerabilități cunoscute, astfel încât să poată profita de aceste fișiere pentru a obține acces.

Navigarea prin directoare poate fi, de asemenea, folosită de alte persoane pentru a vă examina fișierele, a copia imagini, a afla structura directoarelor și alte informații. Acesta este motivul pentru care este foarte recomandat să dezactivați indexarea și navigarea prin directoare.

Trebuie să vă conectați la site-ul dvs. web folosind FTP sau managerul de fișiere al furnizorului dvs. de găzduire. Apoi, localizați fișierul .htaccess în directorul rădăcină al site-ului dvs. web. Dacă nu îl puteți vedea acolo, consultați ghidul nostru despre de ce nu puteți vedea fișierul .htaccess în WordPress.

După aceea, trebuie să adăugați următoarea linie la sfârșitul fișierului .htaccess:

Opțiuni -Indexuri

Nu uitați să salvați și să încărcați fișierul .htaccess înapoi pe site-ul dvs.

Pentru mai multe informații despre acest subiect, consultați articolul nostru despre cum să dezactivați navigarea în directoare în WordPress.

[Înapoi sus ↑]

Dezactivați XML-RPC în WordPress

XML-RPC este o API WordPress de bază care ajută la conectarea site-ului dvs. WordPress cu aplicații web și mobile. Acesta a fost activat implicit încă de la WordPress 3.5.

Cu toate acestea, datorită naturii sale puternice, XML-RPC poate amplifica semnificativ atacurile de tip brute-force.

De exemplu, dacă un hacker ar fi dorit în mod tradițional să încerce 500 de parole diferite pe site-ul dvs. web, ar fi trebuit să facă 500 de încercări separate de conectare. Pluginul Limit Login Attempts Reloaded poate detecta și bloca acest lucru.

Dar cu XML-RPC, un hacker poate folosi funcția system.multicall pentru a încerca mii de parole cu, să zicem, 20 sau 50 de solicitări.

Acesta este motivul pentru care, dacă nu utilizați XML-RPC, vă recomandăm să îl dezactivați.

Există 3 moduri de a dezactiva XML-RPC în WordPress și le-am acoperit pe toate în tutorialul nostru pas cu pas despre cum să dezactivați XML-RPC în WordPress.

Alternativ, acest lucru este gestionat automat dacă utilizați un firewall pentru aplicații web (WAF), așa cum am menționat anterior.

[Înapoi sus ↑]

Deconectare automată a utilizatorilor inactivi în WordPress

Utilizatorii conectați se pot îndepărta uneori de pe ecran, iar acest lucru prezintă un risc de securitate. Cineva le poate deturna sesiunea, le poate schimba parolele sau le poate face modificări contului.

Acesta este motivul pentru care multe site-uri bancare și financiare deconectează automat un utilizator inactiv. Puteți configura o funcționalitate similară pe site-ul dvs. WordPress.

Va trebui să instalați și să activați pluginul Inactive Logout. După activare, vizitați pagina Setări » Inactive Logout pentru a personaliza setările de logout.

Pur și simplu setați durata și adăugați un mesaj de deconectare. Apoi, nu uitați să faceți clic pe butonul „Salvare modificări” din partea de jos a paginii pentru a vă stoca setările.

Pentru instrucțiuni pas cu pas, vă rugăm să consultați ghidul nostru despre cum să deconectați automat utilizatorii inactivi în WordPress.

[Înapoi sus ↑]

Adăugați întrebări de securitate pe ecranul de conectare WordPress

Adăugarea unei întrebări de securitate pe ecranul de autentificare WordPress face și mai dificil pentru cineva să obțină acces neautorizat.

Poți adăuga întrebări de securitate instalând plugin-ul Two Factor Authentication. După activare, trebuie să vizitezi pagina Multi-factor Authentication » Two Factor pentru a configura setările plugin-ului.

Acest lucru vă va permite să adăugați diverse tipuri de autentificare în doi pași pe site-ul dvs., inclusiv întrebări de securitate.

Pentru instrucțiuni mai detaliate, consultați tutorialul nostru despre cum să adăugați întrebări de securitate pe ecranul de conectare WordPress.

[Înapoi sus ↑]

Scanează WordPress pentru malware și vulnerabilități

Dacă aveți instalat un plugin de securitate WordPress, acesta va verifica în mod regulat dacă există malware și semne de breșe de securitate.

Cu toate acestea, dacă observați o scădere bruscă a traficului pe site sau a clasamentelor în căutare, atunci este posibil să doriți să scanați manual după malware. Puteți face acest lucru folosind pluginul dvs. de securitate WordPress sau unul dintre cele mai bune scanere de malware și securitate.

Rularea acestor scanări online este destul de simplă. Pur și simplu introduceți URL-ul site-ului dvs. web, iar roboții lor parcurg site-ul dvs. web pentru a căuta malware și cod malițios cunoscut.

Acum, țineți cont de faptul că majoritatea scanerelor de securitate WordPress vă pot avertiza doar dacă site-ul dvs. conține malware. Ele nu pot elimina malware-ul sau curăța un site WordPress compromis.

Acest lucru ne aduce la următoarea secțiune, curățarea site-urilor WordPress infectate cu malware și sparte.

[Înapoi sus ↑]

Reparare Site WordPress Hacked

Mulți utilizatori WordPress nu realizează importanța backup-urilor și a securității site-ului web până când site-ul lor nu este spart.

Hackerii instalează uși din spate pe site-urile afectate și, dacă aceste uși din spate nu sunt remediate corespunzător, site-ul dvs. va fi probabil compromis din nou.

Pentru utilizatorii aventuroși și cei care preferă să facă singuri, am compilat un ghid pas cu pas despre remedierea unui site WordPress compromis.

Cu toate acestea, curățarea unui site WordPress poate fi foarte dificilă și consumatoare de timp. Sfatul nostru ar fi să lăsați un profesionist să se ocupe de asta.

Dacă plătiți pentru a utiliza pluginul de securitate Sucuri menționat mai sus, atunci repararea site-ului hacked este inclusă în preț.

În caz contrar, puteți consulta recomandările noastre despre cele mai bune agenții de suport WordPress pentru a găsi profesioniști care vă pot repara site-ul compromis.

[Înapoi sus ↑]

Întrebări frecvente despre securitatea WordPress

Deoarece securitatea WordPress este atât de importantă, primim frecvent întrebări despre ea. Iată răspunsuri la întrebările frecvente despre cum să menții site-urile WordPress în siguranță împotriva atacurilor.

Este WordPress sigur de utilizat?

WordPress este conceput pentru a fi securizat, mai ales dacă îl mențineți actualizat în mod regulat. Cu toate acestea, deoarece este atât de popular, hackerii vizează adesea site-urile WordPress.

Nu vă faceți griji, totuși. Urmând sfaturi simple de securitate, cum ar fi cele din acest articol, puteți reduce semnificativ șansele ca cineva să vă spargă site-ul web.

Ce poate pune site-ul dvs. WordPress în pericol?

Există diferite moduri în care hackerii încearcă să obțină acces la site-uri web. Unele amenințări comune includ ghicirea parolelor, instalarea de software dăunător (malware) și găsirea slăbiciunilor în codul site-ului dvs. web pentru a fura informații sau a prelua controlul.

Cât de des ar trebui să-mi actualizez site-ul WordPress?

Păstrarea site-ului dumneavoastră WordPress, a temelor și a plugin-urilor actualizate este foarte importantă. Noile actualizări includ adesea remedieri pentru probleme de securitate. Încercați să folosiți actualizări automate sau verificați singur actualizările cel puțin o dată pe săptămână și instalați-le rapid.

Am nevoie de un plugin special pentru securitate?

Nu este obligatoriu să folosiți un plugin de securitate, dar acesta poate face site-ul dvs. mult mai sigur. Pluginurile de securitate acționează ca niște gărzi suplimentare pentru site-ul dvs., protejându-vă de hackeri și malware.

Cum știu dacă cineva mi-a spart site-ul web?

Dacă observați lucruri ciudate pe site-ul dvs. web, ar putea fi un semn că ați fost spart. Acestea pot include apariția unor utilizatori sau fișiere noi pe care nu le-ați creat, site-ul dvs. web redirecționând vizitatorii către alte site-uri web, site-ul dvs. web funcționând lent sau primirea unor avertismente de la Google sau de la furnizorul dvs. de găzduire web.

Ce ar trebui să fac dacă site-ul meu este spart?

Dacă crezi că site-ul dvs. web a fost compromis, nu intra în panică, dar acționează rapid. Puteți contacta compania dvs. de găzduire web și puteți cere ajutor. Puteți, de asemenea, să utilizați un plugin de securitate sau să cereți unui expert în securitate să vă curețe site-ul web.

Dacă aveți o copie de rezervă a site-ului dvs. web, restaurați-o din acea copie de rezervă. Asigurați-vă că schimbați toate parolele, inclusiv pe cele pentru zona de administrare WordPress, baza de date și FTP.

Sperăm că acest articol v-a ajutat să învățați cele mai bune practici pentru a vă proteja site-ul web și lista noastră recomandată de verificare a securității WordPress. De asemenea, s-ar putea să doriți să vedeți lista noastră cu top motivele pentru care site-urile WordPress sunt sparte și selecțiile noastre experte de cele mai bune plugin-uri de securitate WordPress.

Dacă ți-a plăcut acest articol, te rugăm să te abonezi la canalul nostru de YouTube pentru tutoriale video WordPress. Ne poți găsi, de asemenea, pe Twitter și Facebook.