1. Захистіть блог від повторної інсталяції.
Може трапитися так, що на хостинг-сервері пошкодиться база даних MySQL. Шанси на поразку блогу саме в цей момент невелика, але все ж є. Якщо в цей момент хтось звернеться до блогу, то WordPress не зможе отримати доступ до бази даних. Він може вважати, що блог ще не встановлено, а потім видати сторінку для установки (інсталяції) блогу.
Недоброзичливці можуть цим скористатися і запустити установку, в результаті якої Ви втратите контроль над блогом. Щоб цього уникнути, просто видаліть файл "install.php", що знаходиться в папці "wp-admin", або через файловий менеджер хостинг-провайдера, або через FTP-клієнт. Файл "install.php" потрібен всього один раз, коли відбувається первинна установка WordPress, тому немає ніякого сенсу зберігати його.
2. Заблокуйте повідомлення про помилку.
Для входу в адміністративну панель блогу Ви використовуєте ім'я користувача і пароль. Якщо Ви вводите помилкове значення цих параметрів, то WordPress видає Вам повідомлення про конкретну помилку, наприклад, "пароль невірний".
Для Вас це підказка, яка полегшує введення, але для хакерів - покажчик на слабке місце захисту Вашого блогу. Щоб уникнути проблему з виведенням небажаних підказок, необхідно додати невеликий код в файл "functions .php" Вашої теми (він знаходиться в папці активної теми). Вставляти потрібно другим рядком після рядка <? Php.
add_filter ( 'login_errors', create_function ( '$ a', «return null;»));
Це проста міра, але досить ефективна. Не нехтуйте нею, і Ваш блог буде більш захищеним. При невірних даних віконце посмикати, але ніяких повідомлень не виведе.
Єдиним мінусом цього є те, що і повідомлення про відправку пароля (раптом Ви його забудете) на Ваш e-mail теж не висвітиться. Також не треба забувати, що якщо Ви захочете змінити тему, то цю операцію доведеться виконати заново.
3. Обмежте кількість спроб входу.
Якщо хтось зважиться підібрати Ваші ім'я користувача та пароль для входу в адмінку блога, то як він буде це робити? Природно методом проб і помилок, тобто неодноразово підбирати комбінацію.
Це можливо, тому що WordPress не зберігає записи про невдалі спроби увійти в систему. Навпаки, якщо Ви, наприклад, ввели кілька разів помилковий PIN-код в банкоматі, то він Вашу кредитку або "з'їсть", або тимчасово заблокує рахунок. В даному випадку передбачено обмеження на неправильне введення даних.
Для посилення захисту Вашого блогу існують два зручних і простих плагіна, які справляються з аналогічним завданням: Login LockDown і Limit Login Attempts. Можете, звичайно ж, вибрати і інші плагіни по цій темі.
Після їх установки, плагіни записують в журнал всі спроби входу. Можна заблокувати шкідливого відвідувача або робота на певний час, щоб позбавити їх можливості безперервної "роботи", а можна і взагалі блокувати триваючі спроби зламати адмінку.
Перший плагін - англомовний, але простий у налаштуваннях. Другий - доступний російською та теж невеликий і зрозумілий. Просто скопіюйте назву обраного плагіна і знайдіть його всередині адмінки блогу в розділі "Додатки / Додати новий". Встановіть і активуйте плагін, а потім в "Параметрах" знайдіть встановлений плагін і налаштуйте його за своїм бажанням.
4. Обмежте спам.
Почавши вести блог, Ви побачите, що в якості коментарів часто приходить відвертий чи замаскований спам. Для вірусної розсилки на блоги спамери використовують програми автоматичної розсилки. Вони запускаються на різних серверах, після чого шлють свої спам-коментарі куди тільки можна по багатомільйонним списками.
З цим можна і потрібно боротися за допомогою плагінів, таких як "Akismet", або капч , Таких як "Я не робот". Але можна обмежити такі «коментарі», додавши в файл ".htaccess" спеціальний код, який буде перевіряти, відправлений коментар з Вашого блогу чи ні. Якщо це не так, а спам-коментатор навряд чи сидить і вбиває свій коментар вручну на Вашому блозі, то для спам-коментаря просто блокується доступ.
#protect from spam or post comments
<IfModule mod_rewrite.c>
RewriteCond% {REQUEST_METHOD} POST
RewriteCond% {REQUEST_URI} .wp-comments-post \. [NC]
RewriteCond% {HTTP_REFERER}!. * Myblog.ru * [OR, NC]
RewriteCond% {HTTP_USER_AGENT} ^ $
RewriteRule (. *) - [F, L]
</ IfModule>
Примітка: в даному коді "myblog.ru" треба замінити на Ваш домен.
Я також зустрічав рекомендації вставити інший код для фільтрації коментарів від спам-ботів, які залишають свої докучливі коментарі, переходячи на сайт безпосередньо без так званих "реферер". Метод заснований на тому, що багато спам-боти не передають referer коли передають дані.
Цей код перевіряє поле referrer і потім блокує відправку коментаря, якщо при зверненні до файлу "wp-comments-post.php" відсутні відповідні записи.
# Protect from spam or post comments
RewriteEngine On
RewriteCond% {REQUEST_METHOD} POST
RewriteCond% {REQUEST_URI} .wp-comments-post.php *
RewriteCond% {HTTP_REFERER}!. * Myblog.ru. * [OR]
RewriteCond% {HTTP_USER_AGENT} ^ $
RewriteRule (. *) ^ Http: //% {REMOTE_ADDR} / $ [R = 301, L]
Примітка: в даному коді "myblog.ru" треба замінити на Ваш домен.
Які символи ви бачите працює краще, сказати не можу, але другий в мережі рекомендується частіше. Спробую працездатність обох, подивлюся скільки спаму проходить через Аkismet (а це поки відбувається регулярно) після установки додаткового коду.
Filed under: Блог на WordPress | Tagged: .htaccess , безпеку блогу , захист блогу | 2 коментарі »
Вставляти потрібно другим рядком після рядка <?Якщо хтось зважиться підібрати Ваші ім'я користувача та пароль для входу в адмінку блога, то як він буде це робити?
