Безопасность WordPress — защита сайта от взлома с помощью плагина Login LockDown

Здравствуйте, уважаемые читатели! Вы, наверное, не раз слышали о взломе ресурсов в интернете и какие последствия наступают в результате таких действий злоумышленников, поэтому сегодня я начинаю цикл статей по обеспечению безопасности сайта или блога WordPress и защиты от взлома, призвав на помощь плагин Login LockDown.

По большому счету, действия по обеспечению безопасности необходимо производить сразу после установки WordPress, чтобы всякие редиски (нехорошие люди) не смогли воспользоваться результатами вашего кропотливого труда по раскрутке и продвижению ресурса. Представьте, как будет обидно, если добьетесь великолепных результатов, раскрутив свой проект по максимуму благодаря своим знаниям и способностям, а какие-то хакеры воспользуются этим и оставят вас ни с чем.

Если даже и восстановите спустя некоторое время контроль над сайтом, ущерб в виде потерянного времени и сгоревших нервных клеток будет невозможно восстановить, поэтому выполните все, о чем написано в этой статье, тем более, что это не займет много времени. Кстати, я уже описывал некоторые мероприятия по поводу того, как защитить свой сайт WordPress от взлома.

Кстати, если уж организовывать защиту своего проекта на высшем уровне, то делать это нужно со всех сторон. Поэтому воспользуйтесь отличным бесплатным генератором паролей KeePass, который способен хранить в базе данных практически неограниченное количество пасвордов, к тому же ускоряет процесс авторизации.

Обеспечение безопасности WordPress путем смены логина и пароля

Первое, что нужно сделать, это поменять логин «admin», который выдается по умолчанию при установке Вордпресс, а также заменить пароль, применив при этом большое количество цифр и букв, используя к тому же возможность смены регистра (большие и маленькие буквы). Чтобы быть до конца спокойным, используйте в пароле знаков 20. Такие шаги значительно затруднят несанкционированный доступ к админке WordPress.

Чтобы поменять логин и пароль, необходимо воспользоваться доступом в phpMyAdmin через панель управления вашим хостингом. Там должна быть ссылка «phpMyAdmin». Выбираете текущую базу данных MySql вашего сайта. Перед администрированием БД (любых действий с ними) необходимо сделать бэкап (резервное копирование) баз данных, чтобы в случае каких-то форс-мажорных обстоятельств спокойно воспользоваться сохраненной копией. Кстати, с помощью плагина Backup to Dropbox можно сделать полный бэкап сайта, как и посредством BackWPup осуществить резервное копирование файлов и БД. Итак, нажав на соответствующую ссылку с базой данных, находите таблицу wp-users:

Далее левой кнопкой мыши кликаете по иконке, выделенной на скриншоте зеленым (при наведении курсора появится надпись «Обзор». В результате этих манипуляций переходим к редактированию:

Жмем на изображение карандаша и попадаем непосредственно на страницу редактирования:

Здесь напротив полей «user_login» и «user_pass» вводим свои логин (вместо admin) и новый пароль (предварительно удалите старый код пароля). Внимание! Обязательно в колонке «Функция» после ввода нового пароля из выпадающего меню выберите «MD5». После этого жмем внизу кнопку «ОК». Все, процесс завершен, безопасность блога WordPress повысилась сразу на несколько порядков.

Однако, возможно, безопасная комбинация в виде надежных пароля и логина, не остановит сверхупрямого хакера и он все-таки попытается путем бесконечного подбора букв и цифр взломать ваш сайт. Хотя это и маловероятно, все-таки надо учесть, что, чем более развит ресурс, чем выше его популярность и трастовость, тем более лакомым куском он является.

Усиление безопасности WordPress c помощью плагина Login LockDown

Поэтому, не откладывая дело в долгий ящик, еще более усложним задачу взлома сайта для злоумышленников. Это призван сделать плагин Login LockDown. Этот плагин фиксирует точное время и IP-адрес, с которого была сделана попытка входа в аккаунт WordPress и после совершения за определенный срок нескольких неудавшихся попыток блокирует вход на заданное время.

Скачайте, установите и активируйте плагин, как это делать, во всех подробностях описано тут. После установки заходим в раздел редактирования: «Параметры»→«Login LockDown»:

Теперь рассмотрим, что означает каждый из пунктов настроек плагина Login LockDown. Их здесь немного, так что много времени я не отниму.

• Max Login Retries — максимальное количество попыток входа в админ панель блога WordPress
• Retry Time Period Restriction (minutes) — период времени, отводимый для осуществления повторной попытки.
• Lockout Length (minutes) — время, на которое доступ в адинку Вордпресс будет заблокирован
• Lockout Invalid Usernames  — учитывать ли неверный ввод логина. Для усиления безопасности, думаю нелишним будет отметить «Yes».
• Mask Login Errors  — маскировать ошибки ввода логина. В этом случае злоумышленник не будет знать, что его действия под контролем.
• Currently Locked Out — разблокировать. Список заблокированных IP-адресов и указано время блокировки. На скриншоте списка не видно, потому что таких IP-адресов просто еще нет в наличии. Полагаю, эта функция нужна, если вы ведете блог не один, например, и тогда можно разблокировать IP-адрес партнера. Просто при появлении заблокированного IP отметьте его галочкой и нажмите «Release Selected».

Таким образом, если вы оставите настройки по умолчанию, то в случае попытки взлома аккаунта, он будет заблокирован на 60 минут, если были совершены 3 попытки входа в течении 5 минут. Теперь нам необходимо немного подредактировать код плагина Login LockDown с тем, чтобы убрать ссылку, которая появляется после его активации при входе в админку Вордпресс:

Конечно, эту ссылку можно не убирать. Здесь есть этический момент, ведь этот линк ведет на сайт разработчика, который вложил свой труд и заслуживает компенсации. С другой стороны, оставляя ссылку, мы даем лишнюю информацию злоумышленникам. Тут каждый решает для себя сам. Дальнейшие инструкции предназначены тем, кто решит все же убрать этот линк.

Можно легко отредактировать код плагина в админке WordPress, для этого достаточно зайти на страницу изменения плагинов, следуя по пути: «Плагины»→«Редактор» и там из выпадающего меню выбрать нужный Login LockDown и нажать «Выбрать». При этом под надписью «Изменение плагинов» вы увидите «Редактирование login-lockdown/loginlockdown.php». Это и есть нужный нам файл. Затем изменить следующую строку, удалив из нее выделенное красным содержание:

Затем сохранить сделанные изменения. Однако лучше, и я на этом настаиваю, воспользоваться редактором notepad++ и произвести необходимые изменения там. Дело в том, что notepad++ позволяет возвращаться назад на бесконечное число шагов вплоть до исходного вида файла, что гарантирует в случае “косяков” восстановить его прежнее содержание. К тому же использование этого инструмента очень удобно со всех точек зрения и я советую как можно быстрее взять его на вооружение и редактировать с его помощью все HTML и PHP файлы.

Так, на сегодня, пожалуй, все. Надеюсь, вы предпримете описанные в статье шаги по обеспечению необходимой безопасности блога WordPress и защиты его от нехороших дяденек, применив плагин Login LockDown. Я со своей стороны еще не раз вернусь к теме безопасности, поэтому не пропустите выход свежих материалов.