Non c'è niente di peggio che scoprire che il tuo sito web è stato compromesso. L'area di amministrazione di WordPress è il principale punto di ingresso per gli hacker, rendendola la parte più critica del tuo sito da proteggere.
Sappiamo che può essere stressante pensare ad attacchi brute force o furti di dati. Molti proprietari di siti web temono di non avere le competenze tecniche per proteggere adeguatamente la loro dashboard.
La grande notizia è che non devi essere un professionista della sicurezza per fare un'enorme differenza. Nella nostra esperienza nella gestione di migliaia di siti WordPress, abbiamo scoperto che pochi semplici cambiamenti sono sufficienti per costruire una difesa solida.
In questa guida, ti illustreremo i consigli più efficaci per proteggere la tua area di amministrazione. Questi semplici passaggi ti daranno tranquillità e manterranno il tuo sito web al sicuro.
Tratteremo molti suggerimenti e puoi utilizzare i collegamenti rapidi qui sotto per saltare tra di essi:
- 1. Usa un Firewall
- 2. Proteggi con password la directory di amministrazione di WordPress
- 3. Usa sempre password complesse
- 4. Usa la verifica in due passaggi sulla schermata di accesso di WordPress
- 5. Limita i tentativi di accesso
- 6. Limita l'accesso di accesso agli indirizzi IP
- 7. Disabilita i suggerimenti di accesso
- 8. Richiedi agli utenti di utilizzare password complesse
- 9. Reimposta la password per tutti gli utenti
- 10. Mantieni aggiornato WordPress
- 11. Crea pagine di accesso e registrazione personalizzate
- 12. Informati sui ruoli e le autorizzazioni degli utenti di WordPress
- 13. Limita l'accesso alla dashboard di WordPress
- 14. Disconnetti gli utenti inattivi
- Domande frequenti sulla protezione dell'amministrazione di WordPress
- Risorse aggiuntive per la sicurezza di WordPress
1. Usa un Firewall
Un firewall per applicazioni web (WAF) monitora il traffico del tuo sito e blocca le richieste sospette prima che possano raggiungere il tuo server. Questa è la tua prima linea di difesa contro i tentativi di hacking.
Sebbene esistano diversi plugin firewall per WordPress, consigliamo un firewall a livello DNS come Cloudflare. I firewall a livello DNS sono più efficaci perché bloccano le minacce al margine della rete, quindi il traffico dannoso non raggiunge nemmeno il tuo sito web.
Su WPBeginner, utilizziamo il piano enterprise di Cloudflare per proteggere il nostro sito web da tentativi di hacking, malware e altre attività dannose. Per istruzioni di configurazione passo passo, consulta il nostro articolo su come configurare il CDN gratuito Cloudflare per il tuo sito web.
Un'altra ottima opzione è Sucuri, che abbiamo utilizzato in precedenza. Per maggiori dettagli, consulta il nostro articolo su perché siamo passati da Sucuri a Cloudflare.
2. Proteggi con password la directory di amministrazione di WordPress
Un altro consiglio che abbiamo trovato estremamente efficace è aggiungere la protezione tramite password alla directory di amministrazione di WordPress. Questo aggiunge un secondo livello di difesa, richiedendo due password separate per accedere alla tua dashboard.
Puoi farlo dal pannello di controllo del tuo hosting web WordPress. Ecco i passaggi per cPanel:
- Accedi alla dashboard cPanel del tuo hosting WordPress e fai clic sull'icona 'Directory Privacy'.
- Seleziona la tua cartella
wp-admin, che si trova in genere all'interno della directory/public_html/. - Seleziona la casella accanto a ‘Proteggi questa directory con password’ e fornisci un nome.
- Fai clic su ‘Salva’, quindi torna indietro per creare un utente con un nuovo nome utente e password.
Ora, chiunque tenti di accedere alla tua pagina di accesso amministratore vedrà prima una richiesta di autenticazione.
Questo blocca la maggior parte degli attacchi automatizzati dei bot.
Per istruzioni più dettagliate, consulta la nostra guida su come proteggere con password la directory di amministrazione di WordPress (wp-admin). Tieni presente che questi passaggi sono per host che utilizzano cPanel. Se utilizzi un pannello di controllo diverso, consulta la documentazione del tuo host.
3. Usa sempre password complesse
Devi utilizzare password forti e complesse per tutti i tuoi account WordPress. Password deboli sono uno dei motivi più comuni per cui i siti web vengono hackerati.
Una password forte utilizza una combinazione di lettere maiuscole e minuscole, numeri e caratteri speciali (!, #, @, %, ecc.). Più è lunga, più sarà sicura.
È quasi impossibile ricordare decine di password complesse. Ecco perché tutto il nostro team di WPBeginner utilizza un'app di gestione password come 1Password per generare e archiviare in modo sicuro password uniche per ogni servizio.
Per maggiori informazioni su questo argomento, consulta la nostra guida sul miglior modo per gestire le password per i principianti di WordPress.
4. Usa la verifica in due passaggi sulla schermata di accesso di WordPress
La verifica in due passaggi, nota anche come autenticazione a due fattori (2FA), aggiunge un ulteriore livello di sicurezza critico. Utilizziamo la 2FA non solo sui nostri siti web WordPress ma su tutti i nostri account online dove l'opzione è disponibile.
Dopo aver inserito la tua password, devi anche fornire un codice sensibile al tempo generato da un'app sul tuo telefono, come 1Password o Authenticator. Anche se un hacker ruba la tua password, non sarà in grado di accedere senza il tuo telefono.
Per istruzioni dettagliate passo dopo passo, consulta la nostra guida su come impostare la verifica in 2 passaggi in WordPress utilizzando Google Authenticator.
5. Limita i tentativi di accesso
Per impostazione predefinita, WordPress consente agli utenti di tentare di accedere quante volte desiderano. Ciò consente agli hacker di utilizzare script automatizzati per provare migliaia di combinazioni di password in quello che è noto come un "attacco di forza bruta".
Puoi fermare facilmente questo installando il plugin Limit Login Attempts Reloaded. Dopo l'attivazione, vai su Impostazioni » Limita tentativi di accesso per configurare quanti tentativi falliti sono consentiti prima che un indirizzo IP venga temporaneamente bloccato.
Per istruzioni dettagliate, consulta la nostra guida su perché dovresti limitare i tentativi di accesso in WordPress.
Per saperne di più sul plugin, puoi anche consultare la nostra dettagliata recensione di Limit Login Attempts.
6. Limita l'accesso di accesso agli indirizzi IP
Attenzione: Questa è una tecnica avanzata e dovrebbe essere utilizzata solo se si dispone di un indirizzo IP statico (fisso). La maggior parte delle connessioni Internet domestiche utilizza IP dinamici che cambiano regolarmente. Se utilizzi questo metodo con un IP dinamico, ti bloccherai fuori dal tuo sito web.
Se hai un IP fisso, puoi limitare l'accesso alla tua area amministratore solo a quell'indirizzo. Aggiungi semplicemente questo codice al tuo file .htaccess:
Non dimenticare di sostituire i valori 'xx' con il tuo indirizzo IP. Puoi facilmente trovare il tuo indirizzo IP attuale cercando "qual è il mio indirizzo IP" su Google. Se utilizzi più di un indirizzo IP, assicurati di aggiungerli.
Per istruzioni dettagliate, consulta la nostra guida su come limitare l'accesso all'amministrazione di WordPress utilizzando .htaccess.
7. Disabilita i suggerimenti di accesso
Quando un accesso fallisce, WordPress ti dice se il nome utente o la password erano errati. Sebbene utili per gli utenti, questi suggerimenti confermano anche un nome utente valido a un aggressore, rendendo il suo lavoro più facile.
Puoi nascondere questi suggerimenti aggiungendo il seguente codice al file functions.php del tuo tema. Tuttavia, consigliamo di utilizzare un plugin per snippet di codice come WPCode. È un modo molto più sicuro per gestire il codice personalizzato senza rischiare errori del sito.
function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );
Per maggiori dettagli, consulta la nostra guida su come aggiungere facilmente codice personalizzato in WordPress senza rompere il tuo sito.
8. Richiedi agli utenti di utilizzare password complesse
Se gestisci un sito WordPress multi-autore, un singolo utente con una password debole può creare una vulnerabilità per tutti. Puoi imporre una policy di password complesse per evitarlo.
Per fare ciò, puoi installare e attivare il plugin Solid Security (precedentemente noto come iThemes Security), realizzato dal team di SolidWP.
Quindi, puoi seguire i passaggi della nostra guida completa su come forzare password complesse agli utenti in WordPress.
9. Reimposta la password per tutti gli utenti
Per i siti WordPress multi-utente, puoi migliorare la sicurezza forzando tutti gli utenti a reimpostare le proprie password. Questo è particolarmente utile se sospetti una violazione della sicurezza o vuoi semplicemente imporre una nuova policy di password.
Innanzitutto, installa e attiva il plugin Emergency Password Reset. Dopo l'attivazione, vai alla pagina Utenti » Emergency Password Reset e fai clic sul pulsante 'Reset All Passwords'.
Per istruzioni dettagliate, consulta la nostra guida su come reimpostare le password per tutti gli utenti in WordPress.
10. Mantieni aggiornato WordPress
WordPress rilascia frequentemente nuove versioni per aggiungere funzionalità e correggere vulnerabilità di sicurezza. Utilizzare una versione obsoleta di WordPress, dei tuoi plugin o del tuo tema è uno dei maggiori rischi per la sicurezza che puoi correre.
Assicurati sempre di utilizzare la versione più recente del software core di WordPress, così come di tutti i tuoi plugin e temi. Per maggiori informazioni, consulta la nostra guida sul perché dovresti utilizzare sempre la versione più recente di WordPress.
11. Crea pagine di accesso e registrazione personalizzate
Per i siti che richiedono la registrazione degli utenti, come siti di membership o negozi online, dovresti creare pagine di accesso e registrazione personalizzate.
Questo impedisce agli utenti non amministratori di dover mai vedere o accedere alla schermata di accesso predefinita di WordPress. Offre un'esperienza utente più professionale e ti consente di bloccare completamente l'accesso standard a wp-admin senza influire sui tuoi membri o clienti.
Il modo più semplice per farlo è con un plugin come WPForms, che dispone di un potente addon per la registrazione degli utenti. Per istruzioni dettagliate, consulta la nostra guida su come creare pagine di accesso e registrazione personalizzate in WordPress.
12. Informati sui ruoli e le autorizzazioni degli utenti di WordPress
WordPress dispone di un sistema di gestione utenti integrato con diversi ruoli e capacità. Assegnare il ruolo sbagliato può concedere a un utente molte più autorizzazioni del necessario, creando un potenziale rischio per la sicurezza.
È importante capire cosa può fare ogni ruolo prima di aggiungere utenti al tuo sito. Ecco i 5 ruoli predefiniti:
- Amministratore: Ha pieno accesso a tutte le impostazioni e ai contenuti del sito.
- Editor: Può pubblicare e gestire tutti i post, inclusi quelli di altri utenti.
- Autore: Può pubblicare e gestire solo i propri post.
- Collaboratore: Può scrivere e gestire i propri post, ma non può pubblicarli.
- Abbonato: Può solo accedere e gestire il proprio profilo.
Per una spiegazione completa, consulta la nostra guida per principianti ai ruoli e alle autorizzazioni utente di WordPress.
13. Limita l'accesso alla dashboard di WordPress
Su alcuni siti, determinati utenti potrebbero non aver bisogno di accedere affatto alla bacheca di WordPress. Per impostazione predefinita, qualsiasi utente può accedere e visualizzare l'area di amministrazione, anche se le sue capacità sono limitate.
Per risolvere questo problema, installa e attiva il plugin Remove Dashboard Access. Dopo l'attivazione, vai su Impostazioni » Accesso Bacheca e seleziona quali ruoli utente possono accedere all'area di amministrazione. Gli altri possono essere reindirizzati alla homepage o a un altro URL.
Per istruzioni più dettagliate, consulta la nostra guida su come limitare l'accesso alla bacheca in WordPress.
14. Disconnetti gli utenti inattivi
Gli utenti connessi che si allontanano dai loro computer possono rappresentare un rischio per la sicurezza. Se il loro computer è pubblico o condiviso, qualcun altro potrebbe accedere al loro account.
Puoi risolvere questo problema installando il plugin Inactive Logout. Vai su Impostazioni » Logout inattivo e imposta un limite di tempo. Dopo quel periodo di inattività, gli utenti verranno disconnessi automaticamente.
Per maggiori dettagli, consulta il nostro articolo su come disconnettere automaticamente gli utenti inattivi in WordPress.
Domande frequenti sulla protezione dell'amministrazione di WordPress
Qual è il passaggio più importante per proteggere la mia area di amministrazione di WordPress?
L'utilizzo di un Web Application Firewall (WAF) è il primo passo più critico. Un buon firewall, come Cloudflare o Sucuri, blocca il traffico malevolo prima che raggiunga il tuo sito, prevenendo una vasta gamma di attacchi.
È davvero necessario proteggere con password la directory wp-admin?
Sebbene non sia obbligatorio, è molto efficace. Aggiunge un secondo livello di autenticazione che blocca quasi tutti i bot automatici che tentano di forzare la tua pagina di accesso. È una modifica semplice che aumenta significativamente la sicurezza.
Posso bloccarmi fuori dal mio sito seguendo questi suggerimenti?
Sì, se non stai attento. Il suggerimento di limitare l'accesso al login a specifici indirizzi IP è solo per utenti avanzati con un IP statico. Se utilizzi un normale indirizzo IP dinamico, ti bloccherai fuori. Esegui sempre un backup del tuo sito prima di modificare file come .htaccess.
Risorse aggiuntive per la sicurezza di WordPress
Speriamo che questo articolo ti abbia aiutato ad apprendere nuovi suggerimenti e trucchi per proteggere la tua area di amministrazione di WordPress.
Potresti anche voler consultare le nostre altre guide esperte per mantenere il tuo sito al sicuro:
- La guida definitiva alla sicurezza di WordPress – Passo dopo passo
- I migliori plugin di sicurezza WordPress per proteggere il tuo sito (confronto)
- Come scansionare il tuo sito WordPress alla ricerca di codice potenzialmente dannoso
Se ti è piaciuto questo articolo, iscriviti al nostro canale YouTube per tutorial video su WordPress. Puoi anche trovarci su Twitter e Facebook.
Danang Sukma
Grazie per il tuo post.
Sto usando la protezione con password per la mia cartella wp-admin in cpanel, è sufficiente?
mby
uh che informazione utile ragazzi, può aiutare sicuramente!!
grazie per aver postato! ^_^
anthony
Questa è un'ottima informazione che implementerò al più presto! Ho già avuto il mio blog hackerato, quindi ero preoccupato per questi problemi. Molte grazie!!
shoaib hussain
sto passando da un post all'altro sul tuo blog e mi piace molto. grazie mille. immagino che dovrò iscrivermi ora.
tzutzu
Post fantastico!! Grazie per queste informazioni
Marlin
Grazie Bella lista, questo sicuramente aiuterà a proteggere il pannello di amministrazione di WordPress.
Abhilash Thekkel
Suggerimenti molto utili. Grazie
Jessica
Attualmente sto imparando lo sviluppo di WP. Voglio creare un sito e-commerce con WordPress usando il plugin WP e-Commerce. Qualcuno sa se questi suggerimenti manterranno sicuro il mio sito e-commerce?
Staff editoriale
Assicurati di avere la protezione SSL sul tuo sito e-commerce per tutte le transazioni. Questi sono solo per proteggere la tua area di amministrazione.
Amministratore
Ursula Comeau
Wow – questo è un post FANTASTICO! Grazie mille per aver condiviso tutte queste informazioni – e anche alcuni ottimi plugin!
In a world where security has become top priority, these are very important things to be aware of with a WordPress installation. Really appreciate your transparency and willingness to share this information! I’ll be tweeting this one.
Lilia
Il problema con i plugin è che non sono sempre compatibili con ogni versione e non sono sempre aggiornati.
Staff editoriale
La maggior parte dei plugin è compatibile con le versioni più recenti e, se lo sviluppatore decide di abbandonare lo sviluppo del plugin, altri spesso lo riprendono e creano un plugin con correzioni per le future versioni. Devi solo rimanere attivo nella community.
Amministratore
Smashing Themes
Seriamente ragazzi, cambiate il nome del vostro sito in WP ROCKER, voi ragazzi spaccate. Ho installato tre plugin per proteggere il mio pannello di amministrazione dopo aver letto questo ottimo post.
Dagmar
Ci sono anche alcuni plugin a pagamento – cioè “WP Secure” che afferma anche di rendere sicuro il tuo WP dagli hacker. Funziona anche sulla base di alcuni dei principi sopra menzionati – cioè pagina di accesso personalizzata, conferma di un IP, ecc.
Vale la pena acquistarlo? = qualcuno sa se è più facile da usare per i non esperti rispetto ad alcuni di quelli menzionati sopra?
Staff editoriale
Se puoi fare il lavoro gratuitamente, qual è il senso di pagare?
Amministratore
iHacks
Link al plugin WordPress Firewall?
Staff editoriale
Funziona ora.
Amministratore
Kjetil
Ciao
Grazie mille per i tuoi suggerimenti.
Riguardo al suggerimento 8, mi chiedo come inserire il codice
`add_filter(’login_errors’,create_function(’$a’, “return null;”));`
Qual è la funzione completa da usare?
Vorrei provare dato che uso già AskApache Password Protect e quel plugin è incompatibile con Secure Wordpress.
Grazie,
Kjetil
– http://www.dolcevita.no
Staff editoriale
Vai su functions.php e inserisci quel codice. Tutto qui, se abbiamo capito bene la tua domanda. Se questo non ha risposto, per favore rispondi al commento e sicuramente daremo un'occhiata.
Amministratore
Robinoz
Grazie per queste preziose informazioni. Ho appena subito un attacco malware che ha messo offline il mio blog per un giorno o due mentre il mio programmatore Wordpress lo risolveva. Molto scomodo.
Implementerò alcuni dei suggerimenti che hai fatto nei prossimi giorni.
Robinoz
http://www.e1jobs-blog.com (Blog All About Jobs)
server sicuro
buoni consigli per la messa in sicurezza di wordpress. col tempo vedremo gli host diventare più rigorosi e sicuri o i pacchetti CMS dovranno implementare all'installazione alcune iniziative di sicurezza in più.
abbie
Ciao. Hai scritto un ottimo post.
I’ve rewrote this great post in Indonesian language.
I really hope you dont mind.
Staff editoriale
Ti abbiamo inviato un'email in merito. Non consentiamo la traduzione completa degli articoli. Riassumilo e collega al nostro articolo se i tuoi utenti desiderano leggere i suggerimenti completi.
Amministratore
abbie
Thanks for your response.
I’ll revise my post.
Arie
Ciao..
Voglio chiederti una cosa.
Oltre a dover usare askimet, captcha word, psswrd forte, c'è un altro modo per gli hacker di sabotare il nostro web.
Questa è la mia domanda, per favore rispondi alla mia email
Saluti,
Arie
Staff editoriale
Sì, se il tuo host ha delle vulnerabilità, allora anche l'hacker può metterti giù.
John Macpherson
Mi ci sono voluti alcuni minuti per capire questo, ma hai usato il tipo sbagliato di virgolette attorno a questa funzione
add_filter(’login_errors’,create_function(’$a’, “return null;”));
Dovrebbe essere:
add_filter(‘login_errors’,create_function(‘$a’, “return null;”));
A parte questo, ottimo post.
jakesjohn
Cosa puoi fare con il plugin Wordpress Wp-PreventCopyBlogs
1. Tieni traccia dei visitatori che tentano di copiare i tuoi contenuti.
2. Registra l'IP dell'utente che tenta di effettuare copie fraudolente con il suo URL di destinazione del tuo sito e l'URL di riferimento. Questo può aiutarti a prendere le misure necessarie se noti qualcosa di negativo.
3. Abilita il messaggio visualizzato ai tuoi utenti a scelta dell'utente.
4. Disabilita la selezione del tuo testo e il clic destro per gli utenti a seconda dell'opzione.
Srecko Bradic
Devo congratularmi per questo eccellente articolo!!! Ad essere sincero, conosco alcuni suggerimenti, ma alcune informazioni molto importanti mi erano sconosciute fino ad ora!
Keep on good work
Soxialize
Excellent post! Will be testing several of the security tips you provided. Thanks for putting all this together!
Heather
Post brillante, penso che dormirò meglio stanotte!
Henry
Riguardo al punto #6, se utilizzi il seguente file .htaccess sarai in grado di accedere da altre posizioni in un processo a due fasi. Questo richiede l'aggiunta di un file htpasswd (leggi la documentazione del tuo server).
AuthUserFile ‘alcun file htpasswd’
AuthGroupFile /dev/null
AuthName “Controllo Accessi Admin WordPress”
AuthType Basic
order deny,allow
deny from all
Require valid-user
# whitelist Syed’s IP address
allow from xx.xx.xx.xxx
# whitelist David’s IP address
allow from xx.xx.xx.xxx
# whitelist Amanda’s IP address
allow from xx.xx.xx.xxx
# whitelist Muhammad’s IP address
allow from xx.xx.xx.xxx
# whitelist Work IP address
allow from xx.xx.xx.xxx
Satisfy Any
Le righe "require valid user" e "satisfy any" forzeranno il server Apache a richiedere un nome utente e una password prima di poter accedere alla schermata di accesso di WordPress. Si prega di NON utilizzare lo stesso nome utente e password nel file htpasswd che si utilizza per l'accesso a WordPress, altrimenti si vanificherà lo scopo del livello aggiuntivo di sicurezza.
Staff editoriale
Thanks for the suggestion. Post updated with a link to this way as well
Amministratore
Laura
Grazie per il fantastico articolo. Non vedo l'ora di rendere il mio blog più sicuro.
A.rnaud
I just made a French translation of your article on my blog (http://bit.ly/19V6YU)
thanks for the tips !
Staff editoriale
Thanks for the translation
Amministratore
Constantine
Ciao, scrivo sul mio blog da 3 anni. Il mio blog è stato hackerato nel giugno 2009 e bannato da Google per 30 giorni, le mie visualizzazioni di pagina sono scese immediatamente da 800 al giorno a meno di 100 al giorno.
Consiglio vivamente di installare un plugin firewall per WordPress. Il plugin ti invierà un'email ogni volta che qualcuno tenterà di hackerare il tuo blog, insieme all'indirizzo IP dell'hacker. Il plugin rileva e blocca richieste strane, reindirizzando l'attacco alla homepage.
Lunedì ho ricevuto un'email di sei tentativi di hacking durante il fine settimana. L'hacker ha provato la pagina di amministrazione tre volte, quando non ci è riuscito ha provato a cercare il plugin wordspew che non uso.
A tutti i neofiti, buona fortuna
Staff editoriale
Thanks for suggesting this one. Its now added in the post
Amministratore
Renee Fischer
Una volta che un hack ha successo, il bot o l'hacker umano conserverà i tuoi dati e continuerà a riprovare sui file del tuo sito web cercando un modo per rientrare. continueranno a essere implacabili. se sono riusciti ad hackerare la tua email, il tuo computer o il tuo server, continueranno finché non avranno hackerato tutto ciò che tocchi. sono come scarafaggi che hanno trovato briciole che hanno portato alla tua casa.
Dirk
In reality 2., 7. and 11. (if not hardened) are the most important things. The other things are nearly unnecessary
Tifone
Davvero un articolo molto utile. L'ho twittato.
A proposito, voglio chiedere una cosa; come funziona il login furtivo per gli autori ospiti?
Staff editoriale
Dai loro l'URL speciale che hai creato se ti fidi abbastanza. Per la maggior parte, gli autori ospiti non dovrebbero nemmeno essere ammessi nel pannello di amministrazione a meno che non siano autori del tuo sito. Se qualcuno ha scritto più post per il tuo sito, allora è degno di fiducia, quindi puoi dargli l'URL speciale /login o /googlogin o qualunque cosa tu abbia creato.
La maggior parte dei blog più importanti accetta post di ospiti via email e solo se questi autori ospiti diventano autori regolari, allora vengono ammessi nel pannello di amministrazione.
Amministratore
Misao
Grazie! Articolo molto utile. Proverò i tuoi suggerimenti e trucchi su alcuni dei miei blog.
sriganesh
very useful.
:geek: thanks for sharing. i will spred this surely
Yves
Ciao
Bella lista! Potresti voler aggiungere il bel plugin "One time Password" per Wordpress:
http://wordpress.org/extend/plugins/one-time-password/
quicoto
Thanks for the tips
Tim
Ottimi consigli.
Per i lettori attenti c'è un'imprecisione nel punto #6.
"Lo svantaggio di questo hack è che se vuoi accedere al pannello di amministrazione da un altro luogo, non potrai farlo a meno che tu non aggiunga quell'IP extra nel tuo file .htaccess."
Se l'indirizzo IP consentito è una macchina a cui puoi accedere tramite SSH, puoi creare un tunnel SSH attraverso di essa (uso foxyproxy, perché rende il cambio molto facile). Inoltre, se stai usando nginx invece di apache, puoi valutare l'URI con espressioni regolari per bloccare tutto da wp-app.php a wp-trackback.php (o scegliere selettivamente quali non vuoi bloccare). Lo spiego qui http://www.phrison.com/securing-arbitrary-uris/ ma non è per i meno esperti.
Ho una vasta collezione di cappelli di stagnola.
Staff editoriale
Hai ragione.
Attenzione: I nuovi utenti non provino a farlo. Questo è solo per utenti esperti.
Amministratore
SaigonNezumi(Kevin)
Grazie per questo articolo. Stavo aspettando un articolo come questo. Aggiungere un paio dei tuoi suggerimenti aiuterà a proteggere i miei siti WP.
Grazie ancora.
Staff editoriale
You are welcome
Let us know which one you use and your thoughts on the process of implementing it.
Amministratore
Dana DeFazio
Mi chiedo se ci sia qualcosa di comparabile per il mio blog perché è un sito WordPress.com e ho anche un nuovo blog su danaddiamond.BlogSpot.com
Staff editoriale
WordPress.com non ti permette di avere molti privilegi, ma con il loro server, sei per lo più al sicuro.
Amministratore
Tinh
Ottimi consigli e trucchi, ho applicato solo 6 dei miei 11 suggerimenti, proverò il resto
Jo
Questo sito è una felice nuova scoperta per me (a proposito, grazie a @Problogger su Twitter), e non vedo l'ora di esplorare ulteriormente. Questo articolo è il tipo di scrittura concisa e chiara che è troppo rara di questi tempi. Grazie per informazioni veramente utili.
Staff editoriale
Siamo lieti che ti piaccia il nostro sito, e siamo anche molto lieti che Darren abbia trovato l'articolo abbastanza utile da twittarlo. Speriamo che tu ci segua su Twitter in modo da poter rimanere aggiornato su tutti i bei tutorial.
Amministratore
Marc
Wow – sono abbastanza nuovo a WP e non avevo idea che ci fossero così tanti gateway per gli hacker. Sono sicuro che non troveranno la loro strada dopo averne aggiunti alcuni.
Grazie.
Roger Duck
La sicurezza di WordPress è un problema crescente e questi passaggi sono fondamentali per proteggere un sito WordPress. Rafforzare la sicurezza aiuta l'intera comunità così come il tuo sito a prendersi il tempo per implementare queste idee. Ben fatto.
Rob
E per proteggere tutto il tuo duro lavoro / le funzionalità di sicurezza dai tuoi clienti….
http://wordpress.org/extend/plugins/hide-admin-panels/
James Morrison
Un buon elenco di suggerimenti vitali per proteggere il tuo sito. Mi piace particolarmente il #8 Non l'ho mai fatto prima, ma d'ora in poi lo farò!
Riguardo al #7 – Rimuovi il nome utente 'admin':
Non rimuovo il nome utente admin, creo un nuovo account admin e poi cambio il tipo di account dell'utente 'admin' in abbonato.
In questo modo, anche se qualcuno dovesse scoprire la password, l'account sarebbe inutile. Se lo rimuovi, qualcuno potrebbe registrare quel nome utente...
Kathlene
Domanda per James Morrison. Puoi spiegare un po' meglio cosa stai dicendo e come farlo?
Per lo staff, ho provato più volte a ottenere un numero per il plugin akisnet e non riesco a trovarne uno. Come si ottiene?
Ottimo post. Implementerò queste cose direttamente. Uno dei miei blog è stato hackerato due volte in 30 giorni.
Grazie per le ottime informazioni.
James Morrison
Segui questi passaggi:
1.) Crea un nuovo account utente con accesso admin (es. 'James')
2.) Accedi con il nuovo account a WP Admin
3.) Modifica l'account degli utenti 'admin' e cambia l'accesso in abbonato
In questo modo, se qualcuno tenta di compromettere l’account admin e ci riesce, non potrà comunque fare danni al tuo sito.
Per ottenere una chiave akismet devi registrarti su http://www.wordpress.com
Spero che questo aiuti!
Mathdelane
Puoi sempre cambiare il nome utente predefinito "admin" con quello che desideri tramite il database phpMyadmin. Ecco il mio post a riguardo, così come la mia esperienza riguardo all'hacking e alla sicurezza dei blog:
http://softwarecritics.info/open-source/blogosphere-alert-prevent-your-wordpress-blogs-from-being-hacked/
Cheap Sites
Grazie per tutti i suggerimenti, sto lavorando su alcuni grandi progetti e questo sicuramente aiuterà una volta che i blog saranno attivi e funzionanti.
Prima volta qui e adoro il blog, ottimo lavoro!
Dan
Staff editoriale
Sono contento che ti piaccia qui. Sentiti libero di dare suggerimenti se hai domande o vorresti che un argomento specifico fosse trattato su WPBeginner.
Amministratore
Flow Interactive
Buoni consigli. Puoi anche spostare il tuo file wp_config.php al di fuori della web root per fornire un ulteriore livello di sicurezza.
Staff editoriale
Sì, puoi farlo, ma in questo articolo stavamo parlando solo del pannello di amministrazione di WordPress e non dell’intero sito in generale. Ci sono molti altri modi per proteggere il tuo intero blog WordPress.
Amministratore
Shabayek
Ma cosa succede se permetti ai visitatori del tuo blog di registrarsi e li obblighi ad accedere prima di pubblicare commenti?
Staff editoriale
Allora non puoi usare la protezione IP e altre cose, ma dovresti comunque usare il blocco limitato, non usare il nome utente admin e un login semi-sicuro.
Amministratore
Gerald Weber
Utilizzo il limite di richieste di accesso al mio indirizzo IP. Ciò significa che chiunque tenti di accedere a http://www.domainname.com/wp-admin che non provenga dal mio indirizzo IP riceverà semplicemente una pagina 404.
Blogspot a WordPress
Ehi, post molto utile.
Blog con idee molto interessanti
Post utile per il mio blog.
Dreyer
Un elenco utile. Proverò questi. Meglio essere paranoici che dispiaciuti.
Rafi
Ehi, questa è una meravigliosa raccolta di suggerimenti e trucchi, molto utile. Raccomando a ogni blogger di WP di leggere l'elenco e seguire i passaggi, così come qualsiasi altra risorsa utile disponibile altrove. Dopotutto, non abbiamo impostato i nostri blog affinché qualcuno prenda il controllo delle nostre vite. Dannazione.
Grazie per aver condiviso, WPBeginner.
Sergej Müller
Link alla protezione antivirus di WordPress?
Staff editoriale
Non importa quanto rileggi, alcune cose vengono sempre trascurate. Sono contento che abbiamo utenti come te. Link aggiunto. Grazie ancora.
Amministratore
Lolic
E i sistemi akismet e captcha?