Одному из плагинов WP понадобилось, чтобы cURL Timeout был установлен в 300 секунд (по умолчанию 60).
cURL Timeout
Метка: .htaccess
wp-config.php
Если вы занимаетесь или просто интересуетесь безопасностью Вордпресса, вы должны быть в курсе, что его конфиг, то есть файл wp-config.php, может не лежать в корне сайта (и не должен там быть).
Защита от шеллов
Пост в паблике SecureWP. О том, как сделать невозможным запуск шелла и бессмысленной его загрузку на ваш сайт злоумышленниками.
WordPress Security for Beginners | How to secure WordPress
В дополнение к курсу от Eduonix прошел аналогичный курс от Udemy, «WordPress Security for Beginners | How to secure WordPress».
Google dorks для Вордпресса
Из многих, в том числе не очень приличных значений довольно-таки жаргонного слова dork в сочетании Google dorks наиболее подходящим будет — глупости, оплошности, проколы. А само сочетание можно перевести как «поиск проколов» или «запросы на засыпку».
Дополнительная защита кук — флаг session.cookie_httponly
Кроме флага session.cookie_secure, обеспечивающего передачу кук по защищенному соединению, можно дополнительно усилить защиту, запретив броузеру оперировать куками посредством скриптов. Для этого предназначен еще один флаг session.cookie_httponly
Передача кук по защищенному соединению — флаг session.cookie_secure
Переведя сайт на работу по протоколу https, можно повысить его защищенность, обеспечив передачу кук только по защищенному соединению. Для этого в php есть флаг session.cookie_secure. Штатно флаг устанавливается в php.ini.
HTTP Strict Transport Security
В теме перехода на https есть такой аспект, как HTTP Strict Transport Security (HSTS) — форсирование защищенного соединения. Это http-заголовок Strict-Transport-Security, указывающий броузеру установить защищенное соединение, даже если переход был по ссылке с указанием протокола http://. Предусмотрен стандартом RFC 6797.
Трудный переход на https
Наш сайт два дня лежал, после того как я перевел его на https. Давно собирался, но все оттягивал, предвидя возможные проблемы. В корень я положил файл .maintenance с содержимым «Сайт на техобслуживании. Зайдите позже» и упорно разбирался с причинами смешанного контента и циклических перенаправлений.
Доступ к пользователям
В админпанели вордпресса есть пункт Пользователи (Users) — /wp-admin/users.php. Часто ли вам приходилось туда заходить?