Serwer / IT - wyklikane.pl

Jak zabezpieczyć zaplecze WordPress

17 lutego 2025

Z racji tego, że WordPress jest najbardziej popularnym systemem CMS na świecie, jest on również najczęściej wybierany jako cel ataków hakerskich. Co prawda istnieje kilka poradników jak zabezpieczyć zaplecze WordPress a także sporo kompleksowych rozwiązań w postaci wtyczek, ale nie koniecznie są one najlepszym rozwiązaniem. Wtyczki typu WordFence potrafią mocno spowolnić stronę a i one również przepuszczają hakerów. Dziś skupię się na elementarnych podstawach bezpieczeństwa, które powinny Ci wejść w krew, jeśli budujesz strony na WordPress. Jak zabezpieczyć zaplecze WordPress 1) Nigdy nie zostawiaj domyślnej nazwy użytkownika (admin) Przy każdej nowej instalacji WordPress podpowiada nazwę użytkownika ‘admin’ i prosi jedynie o stworzenie silnego hasła. Jeśli zostawisz domyślny login, włamujący są już w połowie sukcesu. Nie muszą zgadywać loginu admina – wystarczy tylko odgadnąć hasło. Jeśli jesteśmy już przy haśle, to ono też powinno być trudne i unikalne. Najlepiej złożone z małych i dużych liter, cyfr i znaków specjalnych. Nigdy nie używaj tego samego hasła kilka razy. Jeśli masz problemy z ich zapamiętaniem, skorzystaj z menedżera haseł. 2) Zabezpiecz folder wp-admin na serwerze hasłem Wszystkie najważniejsze pliki administracyjne WordPress znajdują się w folderze wp-admin.

Czytaj więcej

Co to jest i jak wyłączyć XML-RPC

14 października 2024

XML-RPC to stary protokół WordPress standaryzujący komunikację pomiędzy różnymi systemami zewnętrznymi a samym WordPress. Miał za zadanie zezwalać na zarządzanie stroną poprzez inne platformy blogowe lub aplikacje. Sam protokół ma jednak swojego następcę w postaci REST API a plik xmlrpc.php zapewniający wdrożenie XML-RPC do WordPress ma swoje wady. W tym wpisie opowiem dokładniej jak wyłączyć XML-RPC w WordPress i tym samym podnieść bezpieczeństwo Twojej strony internetowej lub sklepu. Czym jest plik xmlrpc.php XML-RPC jako protokół komunikacji z WordPress został zaimplementowany w 2003 roku. Zaprojektowany został jednak dużo wcześniej. Wykorzystuje HTTP do przesyłu danych zakodowanych w XML. Kod źródłowy zapisany jest w pliku xmlrpc.php w katalogu głównym WordPress. I pomimo tego, że jest mocno przestarzały (ponad 20 lat) to nie został jeszcze usunięty z natywnych paczek instalacyjnych. Co więcej, XML-RPC był początkowo domyślnie wyłączony. Dopiero od wersji WordPress 3.5 został domyślnie włączony przy każdej instalacji i tak pozostało do dziś. Wszystko po to, aby można było zarządzać WordPressem za pomocą dedykowanej aplikacji mobilnej. Tak WordPress ma również aplikację. Cała komunikacja odbywa się właśnie przy pomocy pliku xmlrpc.php. Samo XML-RPC to nie tylko obsługa aplikacji mobilnej. Pozwala na komunikację

Czytaj więcej

Jak sprawdzić kto jest właścicielem domeny

23 września 2024

Jeśli potrzebujesz czasem sprawdzić kto jest właścicielem domeny, to w dzisiejszym wpisie pokażę Ci, jakiego narzędzia użyć. Informacja o właścicielu domeny przyda Ci się w sytuacji gdy np. chcesz odkupić domenę od obecnego właściciela lub sprawdzić kiedy domena wygasa. Praktyczne zastosowanie Zakładam, że polujesz na jakąś domenę i spodziewasz się, że obecny właściciel zapomni jej opłacić na kolejny rok. To się zdarza. Sam w taki właśnie sposób ustrzeliłem jedną z moich upragnionych domen. Wystarczy, że sprawdzisz kiedy domena wygasa i ustawisz sobie przypomnienie na ten dzień. Licząc od dnia wygaśnięcia, domena trafia na 14 dni do rezerwacji, na wypadek, gdyby obecny właściciel chciał ją jednak przedłużyć. Jeśli tego nie zrobi, domena wraca do puli dostępnych do kupienia. Zamiast stosować tak niecną praktykę, zawsze można po prostu zadzwonić do właściciela i zapytać, czy jest zainteresowany sprzedażą. Jeśli domena jest nieużywana, a tylko zarejestrowana, to istnieje spora szansa na powodzenie. Istnieje jednak ryzyko, że obecny właściciel z czystej złośliwości Ci jej nie odsprzeda a dodatkowo przedłuży sobie na kolejny rok. Takie przypadki też się zdarzały. Dlatego ja wolę metodę z polowaniem na domenę 😉 Jak sprawdzić kto jest właścicielem domeny Aby sprawdzić kto jest właścicielem domeny oraz do kiedy i gdzie jest

Czytaj więcej

Jak zadbać o bezpieczeństwo motywu

26 lutego 2024

Strony oparte o WordPress stanowią ok. 30% wszystkich stron w Internecie, co czyni go popularnym celem dla hakerów. Próbują oni włamywać się na strony by wykraść dane lub umieścić linki zewnętrzne do reklamowanych przez siebie stron. Żeby zapewnić sobie spokój ducha i zminimalizować ryzyko włamania, możesz zadbać o kilka spraw. W tym wpisie opowiem Ci jak zadbać o bezpieczeństwo motywu. W kilku krokach wymienię najważniejsze punkty o które powinieneś zadbać. WordPress to platforma open source Jak pewnie wiesz, WordPress jest oprogramowaniem open source, co nie tylko oznacza, że jest dostępny za darmo, ale też jego kod źródłowy jest dostępny publicznie. Jest to jego siła i powód popularności. Każdy może zajrzeć w kod, rozbudować motyw lub wtyczkę czy napisać własne. Jednocześnie hakerzy mogą przeanalizować publicznie dostępny kod i odnaleźć w nim dziury pozwalające uzyskać nieuprawniony dostęp do strony. Z kronikarskiego obowiązku muszę dodać, że wektory włamania do WordPress są różne i nie ograniczają się jedynie do motywów. Podatności w kodzie znajdują się również we wtyczkach czy nawet samym WordPress jako takim. Haker może wykraść dane użytkowników, umieścić linki reklamowe do innych serwisów czy nawet całkowicie usunąć stronę. Zdarzają się także przypadki infekcji

Czytaj więcej

7 grzechów głównych administratora WordPress

15 stycznia 2024

Trzy tygodnie temu opisałem na łamach bloga 10 przykazań administratora WordPress, czyli TO DO listę podstawowych czynności związanych z administracją stroną www. Dziś zostajemy w tonie biblijnym i poznamy 7 grzechów głównych, przez które prawidłowa administracja stroną WordPress zostaje zakłócona. 7 grzechów głównych administratora Bazując na tradycyjnej klasyfikacji podstawowych grzechów i wad ludzkich, postanowiłem opisać ich moją interpretację w odniesieniu do zarządzania serwerem i stroną internetową. Niniejszy artykuł chciałbym widzieć jako zalążek do dyskusji o dobrych praktykach prowadzenia strony internetowej i jej administracji. Zacznijmy więc bez zbędnej zwłoki: 1. Pycha Pierwszy grzech administratora. Wydaje Ci się, że wiesz już wszystko i wszystko zrobiłeś. Nikt nie będzie Cię pouczał, a nie daj Boże mówił co i jak masz robić. Jesteś tak dumny ze swojego dzieła, swojej długo wypieszczonej strony internetowej, że nie ma lepszej. Uważasz, że zastosowałeś już najlepsze rozwiązania na swojej stronie i osiągnąłeś absolutny szczyt możliwych rozwiązań. Teraz tylko usiąść i patrzeć jak strona się rozwija a nowi użytkownicy napływają codziennie chwaląc Twoje treści. Pycha w administrowaniu stroną prowadzi w ostateczności do ignorancji. Zaprzestania dobrych praktyk i nieprzestrzegania 10 przykazań administratora. Po co zmienić cokolwiek, usprawniać, polepszać, skoro wszystko działa tak jak chcesz?

Czytaj więcej

10 przykazań administratora WordPress

25 grudnia 2023

Prowadzenie strony internetowej w oparciu o WordPress jest dość prostym zajęciem. Prócz oczywistych zadań związanych z publikacją nowych treści i reagowaniem na działania czytelników, należy jeszcze zadbać o prawidłowe utrzymanie strony. Chodzi mi o zestaw regularnych czynności, które każdy szanujący się administrator lub właściciel strony powinien skrupulatnie wykonywać. Drogi czytelniku, tak, mówię do Ciebie! Stworzyłem unikalną listę spraw o których należy pamiętać aby zadbać o prawidłowe utrzymanie strony www. Czy możesz z czystym sumieniem potwierdzić, że przestrzegasz poniższych zasad? Owa lista, z całą pewnością nie wyczerpuje całego tematu. Chciałbym ją raczej widzieć jako pretekst to refleksji i do dyskusji. Czy wszystkie pozycję są obowiązkowe? Czy są równie ważne? A może należy dodać kolejne? Dlaczego administracja strony jest ważna? Jeśli założyłeś stronę www lub otrzymałeś ją pod swoją opiekę i zajmujesz się jej aktualizacjami, instalowaniem motywów lub wtyczek, widżetów, formularzy itp. to jesteś administratorem. Ciąży na Tobie pewien obowiązek utrzymania strony w dobrej kondycji. Jest to obowiązek służący w dobrym interesie Twoim oraz właściciela strony. Za Wikipedią: Administrator systemów komputerowych, żargonowo admin – informatyk zajmujący się zarządzaniem systemem informatycznym i odpowiadający za jego sprawne działanie. Do typowych zadań administratora należy

Czytaj więcej

WordPress 6.3 porzuca wsparcie PHP 5

31 lipca 2023

W najbliższym wydaniu zaplanowanym na 8 sierpnia 2023 roku, najpopularniejszy CMS na świecie, WordPress 6.3 porzuca wsparcie dla PHP 5. Zmienia się minimalna wersja obsługiwanego PHP z 5.6.2 na 7.0.0. Niezmiennie cały czas, zalecaną wersją pozostaje wersja PHP 7.4+. WordPress 6.3 porzuca wsparcie PHP 5 Ostatnia taka zmiana (minimalna obsługiwana wersja PHP) miała miejsce w 2019 roku, przy okazji wydania WordPress 5.2. Od tego czasu dużo się jednak zmieniło, a PHP 5.6 ma obecnie tylko 3.9% udziału w rynku. Jak mówią osoby biorące udział w rozwoju WordPress, nie ma ściśle określonego poziomu procentowego poniżej którego porzucane jest wsparcie starej wersji PHP. Patrząc na historyczne statystyki można by się pokusić o wskazanie granicy 5%, ale nikt nie patrzy na to w ten sposób. Po prostu uznano, że czas ruszyć na przód. I bardzo dobrze. Nowa wersja PHP znacznie poprawia bezpieczeństwo a także skraca czas wykonywania skryptów. Skutkuje to szybszym działaniem strony. Co więcej, sam WordPress bardzo dobrze działa nawet z wersjami PHP 8.0, PHP 8.1 oraz PHP 8.2. Dzięki temu WordPress może wkrótce wyjść z fazy beta jeśli chodzi o wspieranie tych wersji PHP. Sam

Czytaj więcej

Jak się bronić przed atakami XSS. 3 metody zabezpieczeń

21 lutego 2022

Włamania do stron opartych o WordPress nie są niczym niezwykłym. Stanowią jeden z wielu typowych problemów właścicieli stron. Jednym z popularnych ataków na na strony internetowe są ataki typu cross-site scripting, znane inaczej jako XSS. Są trudne w zwalczaniu, ale nie jesteś całkiem przed nimi bezbronny/a. Wystarczy kilka prostych środków ostrożności aby zminimalizować ryzyko ataku. Dziś pokażę Tobie jak się bronić przed atakami XSS w trzech krokach. Czym jest atak XSS Ataki XSS są jedną z wielu metod przejęcia kontroli nad Twoją stroną internetową. Wykorzystują one luki w jej zabezpieczeniach w dość specyficzny sposób. Zainteresowany włamaniem haker szuka w pierwszej kolejności słabego punktu Twojej strony. Może nim być niechlujnie napisana wtyczka lub motyw. Gdy owy nikczemnik znajdzie słaby punkt, wykorzystuje go aby za jego pomocą „wstrzyknąć” (czyli dodać) złośliwy kod do plików strony lub bazy danych. Jako złośliwy kod, możesz sobie wyobrazić wirusa komputerowego w potocznym rozumieniu. Kilka linijek złośliwego oprogramowania wystarczy, aby Twój WordPress otworzył hakerowi swoje drzwi i pozwolił np. wykraść dane użytkowników lub wyświetlić niechciane treści. Jeśli na Twojej stronie czy blogu nagle zaczną pojawiać się reklamy których nie zamieszczałeś – z dużym prawdopodobieństwem

Czytaj więcej

Dobre praktyki zakładania hasła

24 stycznia 2022

Spora cześć użytkowników przyznaje, że używa w Internecie tych samych haseł więcej niż raz. Twierdzą, że łatwiej im jest je spamiętać, szczególnie jeśli nie są zbyt skomplikowane. To ogromny błąd. Proste do zapamiętania hasła i w dodatku użyte w kilku serwisach internetowych są banalne do złamania przez hakerów. W tym wpisie przedstawię Ci najlepsze dobre praktyki zakładania hasła. Zapraszam do lektury. Jak łamane są hasła? Hakerzy próbujący włamać się na wybrane konto użytkownika (np. WordPress, Allegro, Facebook, Google czy dowolny inny serwis lub sklep internetowy) używają dedykowanych narzędzi. Są nimi specjalnie napisane roboty czy algorytmy wykorzystujące metodę słownikową. Polega ona na tym, że dany algorytm próbuje odgadnąć hasło korzystając z najbardziej popularnych w danym języku słów, cyfr i znaków specjalnych. Potrafi sprawdzić ich nawet kilkadziesiąt czy kilkaset na sekundę. Metoda ta jest jedną z najbardziej skutecznych. Co gorsze, zdobyte w ten sposób hasła często publikowane są w Internecie wraz z przypisanymi do nich loginami, adresami e-mail, numerami telefonów, kart kredytowych czy adresami. Wszystko w zależności od tego skąd te dane są wykradzione i jakie informacje były przechowywane na powiązanym z tym hasłem koncie. I teraz wyobraź sobie taką sytuację, że Twoje hasło użyte w dowolnym sklepie czy serwisie internetowym wyciekło do sieci wraz

Czytaj więcej

Co to jest subdomena – jak ustawić i używać

2 listopada 2020

Dziś odpowiem na dość oczywiste, ale często zadawane pytanie: co to jest subdomena. Wielu początkujących użytkowników zadaje to pytanie wraz z kolejnym: w jakich sytuacjach warto używać subdomen? Mówiąc najprościej, subdomeny to adresy internetowe będące częścią domeny głównej. W pasku adresu wyszukiwarki widoczne są po lewej stronie nazwy domeny i oddzielone kropką. Możesz o nich myśleć jako przedrostkach. Jeszcze bardziej obrazowo wyjaśnię to na przykładzie. Załóżmy, że posiadasz stronę internetową pod adresem mojastrona.pl i chcesz założyć dla niej subdomenę dla kopii testowej. Adres Twojej subdomeny będzie wtedy test.mojastrona.pl. Subdomena vs subfolder Skoro wiesz już co to subdomena, to pewnie zastanawiasz się czym różni się ona od subfolderu. Otóż subfolder, to jak sama nazwa wskazuje, folder na serwerze znajdujący się wewnątrz folderu głównego, a więc Twojej domeny. Dobrym przykładem będzie adres mojastrona.pl/pliki pod którym zamieszczać będziesz jakieś dowolne pliki na swoim serwerze. Adresy subfolderów mogą być „prawdziwe” czyli wskazywać na faktycznie istniejące ścieżki na serwerze – lub „wirtualne”, generowane przez WordPress w postaci czytelnych URL-ów jak mojastrona.pl/blog. Traktuj subfoldery jako część serwisu głównego. Powinieneś więc umieszczać w nich treści związane bezpośrednio z tematyką Twojej strony. Przykład adresu /blog, /kontakt, /pliki,

Czytaj więcej

Praktyczne wskazówki jak zaprojektować, a następnie zarządzać stroną internetową.

Jak zabezpieczyć zaplecze WordPress

Co to jest i jak wyłączyć XML-RPC

Jak sprawdzić kto jest właścicielem domeny

Jak zadbać o bezpieczeństwo motywu

7 grzechów głównych administratora WordPress

10 przykazań administratora WordPress

WordPress 6.3 porzuca wsparcie PHP 5

Jak się bronić przed atakami XSS. 3 metody zabezpieczeń

Dobre praktyki zakładania hasła

Co to jest subdomena – jak ustawić i używać

Kategorie

Najnowsze wpisy

Jak dodać spinner w WooCommerce

Dlaczego warto dodać FAQ do sklepu WooCommerce

Jak wyświetlać najnowsze komentarze jako pierwsze

Jak zabezpieczyć zaplecze WordPress

Do czego jest Jetpack w WordPress?

Social media

NAPISZ DO MNIE

Zamów usługę