Hoje vamos discutir as melhores práticas avançadas de segurança do WordPress para ajudar a fortalecer as defesas do seu blog ou perfil corporativo. Sem dar muitas voltas vamos falar um pouquinho sobre o que seria a segurança de aplicativos do wordpress assim como a sua importância.
O que é Segurança?
Fundamentalmente, segurança não é sobre sistemas perfeitamente seguros. Tal coisa pode ser impraticável ou impossível de encontrar e/ou manter. O que é segurança é redução de risco, não eliminação de risco propriamente dita. Trata-se de empregar todos os controles apropriados disponíveis para você, dentro do razoável, que permitem melhorar sua postura geral, com satisfação as chances de se tornar um alvo e, posteriormente, ser hackeado.
O que é a Segurança no Wordpress?
A segurança do WordPress é um tópico de grande importância para todos os proprietários de sites, e sabem que o uso do WordPress representa cerca de 60% de todas as ferramentas de blog usadas na Web, por isso é natural supor que ele seja um grande alvo para hackers. Se você não tomar medidas para proteger seu blog, estará correndo um grande risco. Preparamos um guia com base em listas de verificação para ajudar você a proteger e manter o seu perfil seguro e ativo.
Problemas de segurança e vulnerabilidades comuns do WordPress
1 - Vulnerabilidade de injeção de conteúdo da API REST do WordPress
Esse tipo de vulnerabilidade de segurança do WordPress permite que um usuário não autorizado altere o conteúdo de qualquer blog, postagem ou página em um site WordPress. Quando um aplicativo da web não é tratado com segurança, torna-se um alvo fácil para os hackers do WordPress fornecer conteúdo por meio de um valor de parâmetro que modificará o conteúdo da página. Como a página está vinculada a um domínio confiável, o usuário acredita que determinado conteúdo que aparece no site é legítimo e não de uma fonte externa.
2 - Vulnerabilidade XSS
A vulnerabilidade XSS é um dos ataques mais comuns em que o código malicioso é injetado diretamente em um aplicativo web vulnerável. No Stored Cross-Site Scripting, a vulnerabilidade ocorre dentro do editor do WordPress, responsável pela criação e edição de todos os posts, páginas e tópicos do WordPress (no bbPress).
O Hacker mal Intencionado injeta um script malicioso em seu site, que rouba cookies de sessão de visitantes para cada visitante do site e, portanto, pode roubar informações confidenciais. Ao agir em nome de um usuário administrador, ele pode enviar solicitações autenticadas para editar o código PHP atual do site, levando à Execução de Comando Remoto (RCE) e controle completo.
3 - Injeção de SQL e invasão de URL:
Sql é uma linguagem de comando padrão usada no banco de dados MySQL. A injeção de SQL do WordPress é um tipo de ataque desencadeado pela incorporação de comandos em uma URL que revela informações confidenciais sobre o banco de dados, permitindo que um hacker entre no site e potencialmente altere o conteúdo original do seu site.
4 - Tentativas de login por força bruta
Como o nome sugere, esse tipo de vulnerabilidade é encontrado quando hackers tentam fazer login no seu painel de administrador usando o palpite de login. Os hackers geralmente dependem de scripts automatizados para fazer várias tentativas de fazer login na sua página de administração do WordPress, tentando milhares e milhões de combinações de nomes de usuário e senhas. As tentativas de força bruta não apenas diminuem a velocidade do seu site, mas também, se os hackers tiverem sucesso em sua missão, podem fornecer aos hackers controle total do seu site e, portanto, prejudiciais ao seu site.
5 - Vulnerabilidade de conta de usuário administrador padrão
Quando um usuário baixa o WordPress, há uma conta de administrador padrão cuja senha é simplesmente definida como 'admin', que é tão fácil de adivinhar por hackers profissionais. Assim, um hacker pode tentar acessar sua conta usando senha.
As 37 melhores práticas de segurança
- Servidor de nuvem gerenciado seguro.
- Proteção de firewall.
- Correção e atualização frequente do sistema operacional.
- Prevenção de ataques de força bruta
- Proteção de bot
- Suporte à versão mais recente do PHP.
- Suporte à versão mais recente do banco de dados.
- Certificado SSL para HTTPS.
- Isolamento do site.
- Lista de permissões de IP para acessos SSH e SFTP seguros.
- Segurança de banco de dados.
- Criptografia de ponta a ponta.
- Gerenciamento de usuários para acesso controlado ao servidor e sites.
- Restringir os privilégios de usuário do banco de dados
- Núcleo WordPress atualizado.
- Use a senha .htaccess para acessar wp-admin.
- Use uma senha forte.
- Altere o URL de login padrão do WordPress.
- Limite as tentativas de login.
- Temas atualizados.
- Plugins atualizados.
- Nunca use temas nulos do WordPress.
- Nunca use plugins WordPress nulos.
- Remova a versão do WordPress.
- Remova todos os temas e plugins não utilizados.
- Substitua plug-ins desatualizados por um plug-in atualizado alternativo sempre que possível.
- Evite baixar extensões WooCommerce de recursos não autorizados.
- Faça backups frequentes.
- Use um plug-in de segurança respeitável.
- Use a autenticação de dois fatores para fazer login no wp-admin.
- Use o Google reCaptcha em todos os formulários.
- Desative RestAPI se não for necessário.
- Altere as credenciais do WordPress regularmente.
- Use o gerenciamento de usuários para acesso distribuído.
- Habilite as atualizações automáticas em seus sites o mais rápido possível.
- Concentre-se em higienizar e escapar de qualquer coisa que você possa enviar para o banco de dados.
- Considere o uso de ferramentas como no-script em seu navegador e VPNs para criptografar sua comunicação online ao se deslocar entre locais e usar diferentes pontos de acesso Wi-Fi públicos.
- etc..