5 tips för att ta upp ditt WordPress-inloggningssäkerhet

Oavsett storleken på din webbplats, att förlora din webbplatsdata eller inte kunna komma åt din egen webbplats kan vara en nervös upplevelse. WordPress, som driver mer än 25% av webben, är en av de mest riktade webbplatserna för hackare.

I våra tidigare inlägg har vi visat dig ett antal tips och tricks som redan täckt nästan allt för att säkra din WordPress-webbplats. Ändå finns det alltid utrymme för förbättringar. I det här inlägget kommer vi att titta på några fler tips som hjälper dig att göra din WordPress-webbplats svårare att bryta mot.

1. Bcrypt Password Hashing

WordPress startades 2003 när PHP och webben i allmänhet fortfarande var i deras tidiga dagar. Facebook var inte kvar ännu, PHP hade inte ens OOP (Object-Oriented Programming) arkitektur inbyggd; Därför ärde WordPress arvet benägenheter som inte längre är idealiska idag - inklusive hur det krypterar lösenordet.

WordPress till denna dag använder fortfarande MD5 hashing. I grund och botten, vad det gör är att vända din 123456 lösenord till något liknande e10adc3949ba59abbe56e057f20f883e.

Men eftersom datorer nu är mer sofistikerade än 10 år sedan så här hashade lösenordet kan nu lätt omvändas till sin nakna form nästan direkt.

PHP har nativ kryptering sedan 5.5 och Om din WordPress körs i PHP5.5 eller senare finns det ett praktiskt plugin som heter wp-password-bcrypt som låter dig omfamna det här inbyggda verktyget i PHP.

Installera och aktivera pluginet via Kompositör eller via MU-plugin. Spara på nytt ditt lösenord och du är helt inställd.

2. Aktivera WordPress.com Protect

Brute-Force är ett vanligt hackningsförsök där angripare försöker logga in på din webbplats genom att gissa många möjliga lösenord, vanligtvis ord som finns i ordlistan. Detta är anledningen till att du bör ange ett lösenord som är svår att gissa.

Automattic, folket bakom WordPress.com, har förvärvat en av de mest populära WordPress-plugins som kan motverka brutta våldsattacker. Det heter BruteProtect, och det är integrerat med Jetpack.

Baserat på vår erfarenhet har den hjälpt oss enormt bekämpa brute-force attacker mer än nära en miljon gånger.

För att få det behöver du installera Jetpacks senaste version och ansluta din webbplats till WordPress.com. Aktivera sedan “Skydda” modul, och vitlista också din egen IP-adress.

Nu borde du känna dig lite säkrare.

3. Dölj din inloggningsadress

WordPress är väldigt välkänt för inloggningssidan, wp-login.php. Därför vet hackare vilken exakt sida som ska leda sina brutna våldsattacker. Du kan göra det svårare för dem genom dölja din WordPress inloggningsadress.

Lyckligtvis finns det några plugins som tillhandahåller detta verktyg:

• iThemes Security
• WPS Dölj Logga in

4. Inaktivera “Glöm lösenord”

De “Glöm lösenord” verktyget i inloggningsformuläret är ett sätt för angripare, som vanligtvis går igenom en SQL-injektion för att få dina inloggningsuppgifter. Om det bara finns några personer som har tillgång till adminområdet, kan det vara bättre att stänga av det.

För att göra det, skapa en ny filuppladdning - namnge den glömma-password.php.

Först ändrar vi webbadressen för borttagna lösenord:

 funktionen lostpassword_url () returnera site_url ('wp-login.php');  add_filter ('lostpassword_url', 'lostpassword_url'); 

Ta bort länken. Tyvärr ger WordPress inte en ordentlig krok för att göra detta snyggt genom ett add_filter fungera. Så gör vi det med JavaScript istället.

 funktionen lostpassword_elem ($ sida) ?>   
Slutligen omdirigerar vi “Glömt lösenord” URL till inloggningsskärmen.
 
 funktion (lost_password_redirect () if (isset ($ _GET ['action'])) if (in_array ($ _GET ['action'], array ('lostpassword', 'retrievepassword')) wp_redirect ('/ wp- login.php ', 301); utgång;  add_action ('init', 'lostpassword_redirect'); 
 
5. Aktivera HTTPS
 
HTTPS ger din webbplats ett extra lager av säkerhet med dataöverföring. Det kan också ge dig en boost i Googles sökrankningar. Och nu kan du få ett giltigt HTTPS cert gratis genom det gemensamma initiativet Låt oss kryptera.
 
För WordPress-webbplatser kan du enkelt få en Låt oss kryptera certifikat med WP Encrypt. Så det finns ingen anledning till att du inte ska distribuera HTTPS på din webbplats idag.
 
 
Avslutar
 
Jag gillar bara att lämna dig med påminnelsen att trots alla dessa försök, våra webbplatser kan fortfarande bli föremål för attacker, hack och att bli äventyrad av hackare genom hjälpmedel utanför vår förståelse. Till och med stora företag som Dropbox och LinkedIn har fallit i byte mot säkerhetshot.
 
Som en sista utväg, kom ihåg att regelbundet säkerhetskopiera webbplatsens filer och databaser när som helst du kan.