1. Osnovne mere na WordPress nivou
1.1. Ažuriranja
- Redovno ažurirajte WordPress jezgro, teme i dodatke.
- Izbegavajte teme i dodatke iz nepoznatih izvora (koristite samo pouzdane, licencirane resurse).
1.2. Jak admin nalog
- Nikad ne koristite korisničko ime admin.
- Koristite jaku šifru koja sadrži kombinaciju velikih/malih slova, brojeva i specijalnih karaktera.
- Dodajte dvostepenu autentifikaciju (2FA) pomoću dodataka poput Google Authenticator ili Wordfence.
2. Postavke u cPanelu
2.1. HTTPS/SSL
- Omogućite SSL sertifikat (besplatan kroz Let's Encrypt u cPanelu) kako bi veza između korisnika i sajta bila šifrovana.
2.2. PHP verzija
- Koristite najnoviju stabilnu verziju PHP-a koju vaš hosting podržava.
2.3. Leech Protection
- Aktivirajte Leech Protection za zaštićene direktorijume ako ih koristite.
2.4. Zaštita fajlova i direktorijuma
- Promenite permissions (dozvole) za fajlove i direktorijume:
- wp-config.php: 400 ili 440 (samo za čitanje).
- Ostali fajlovi: 644.
- Direktorijumi: 755.
- Onemogućite direktan pristup fajlovima pomoću .htaccess:
apache
<FilesMatch "\.(htaccess|wp-config\.php|php\.ini|user\.ini|error_log)"> Require all denied </FilesMatch>
2.5. Zaštita od brute-force napada
- Koristite IP Deny Manager u cPanelu za blokiranje sumnjivih IP adresa.
3. Hardening WordPress konfiguracije
3.1. Zaštita wp-config.php
Dodajte sledeće u .htaccess:
<files wp-config.php>
order allow,deny
deny from all
</files>
3.2. Onemogućavanje file editing-a
Dodajte ovo u wp-config.php da onemogućite uređivanje fajlova iz WordPress dashboarda:
Php
define('DISALLOW_FILE_EDIT', true);
3.3. Promjena URL-a za login
Koristite dodatke poput WPS Hide Login da promenite /wp-admin u nešto poput /moj-pristup.
4. Instalacija sigurnosnih dodataka
4.1. Wordfence
- Omogućava firewall zaštitu, malware skeniranje i blokiranje sumnjivih IP adresa.
4.2. Sucuri Security
- Praćenje sigurnosnih promena i integracija sa CDN-om za zaštitu od DDoS napada.
4.3. iThemes Security
- Dodatna zaštita prijave, detekcija brute-force napada, i zaštita od poznatih propusta.
4.4. WP All-In-One Security
- Kompletan set alata za zaštitu lozinki, fajlova, i baze podataka.
5. Baza podataka
5.1. Promenite prefiks tabela
- Standardni prefiks wp_ zamenite prilagođenim, npr. secure_wp_, tokom instalacije ili pomoću dodataka poput WP-DBManager.
5.2. Ograničite pristup bazi
- Koristite korisnika baze sa ograničenim privilegijama (npr. samo SELECT, INSERT, UPDATE).
5.3. Redovno pravite backup-e
- Instalirajte dodatak poput UpdraftPlus za automatizovane bekape baze i fajlova.