Насколько защищён Wordpress?

Question

[Иван Малышев]

Делаю сайты на wordpress, но как то до сих пор не интересовался, на сколько защищена эта CMS. Погуглив, выяснил для себя что очень даже предостаточно в ней дыр. Так вот, друзья, прошу делиться опытом и дать почитать что либо по сабжу.

Comments

[Иван Малышев]

А кто поменял название моего вопроса?

Answer 1

[Oleg Ko]

Капча и хороший хостер )))

Comments

[Иван Малышев]

Это один из лучших ответов ;) Согласен, хостер это 50% того, что ваш сайт будет защищен

[Oleg Ko]

@yos хороший хостер в наши дни так же востребован, как семейный доктор или личный автомеханик ;)

[Иван Малышев]

это точно)))

Answer 2

[Ilya Evseev]

Есть утилита wpscan.
Имеет смысл натравить её на сайт с Вордпрессом и почитать отчёт.
Причём не только автору вопроса, а вообще всем любителям делать сайты на Вордпрессе.

Comments

[Иван Малышев]

Жаль что только под линухом ((

Answer 3

[Lexxandro]

Я пользуюсь скриптом для проверки файлов. На кроне висит задание которое исполняет скрипт каждую минуту. Задача скрипта - сканировать все файлы рекурсивно в определенной папке (сайте). При изменении, заливке нового файла - на мэйл падает алерт, и на смартфоне я узнаю об этом через 2 минуты.
Скрипт с этого сайта,немного допилен.
Делюсь - тыц
Попробуйте - очень помогает. Хорошо узнавать что тебя ломанули и сразу же отрубать ftp, ssh локализуя угрозу.

Answer 4

[Степан]

Все что популярное и с открытыми исходниками всегда будет дырявое..
Вариантов защиты как бы и не может быть. Только следить за обновлениями и вовремя применять фиксы.

Comments

[Иван Малышев]

Ну я вот например узнал вот какие вещи: - Обязательно прятать версию CMS - Скрывать страницу входа в админку - Ограничить количество неправильных вводов пароля - Скрыть уведомления о неправильно пароле Как я понимаю если учитывать вышеизложенные пункты, можно обойти процентов 50 нападений

[Сергей Протько]

увы это не поможет предотвратить sql инъекции в сторонних модулях и другие факапы писателей плагинов для wp.

[Иван Малышев]

Ага, значит если не использовать сторонних плагинов и запретить какую либо загрузку данных на сайте, тогда можно предотвратить инъекцию?

[Степан]

@yos Увы.. Уязвимости так же могут быть в самой CMS а не только в плагинах.

Answer 5

[sandrain]

Защиту от брута делал следующим образом:
http://www.webhostinghub.com/support/news/general/wp-login-brute-force-attack

Comments

[Иван Малышев]

спасибо, почитаю

Answer 6

[Николай Антал]

Есть куча плагинов для обеспечения безопасности... Поищите, посмотрите обзоры, бОльшая их часть закрывает ~90% лазеек, остальное зависит от разработчиков

Comments

[Алексей]

Бывает правда и новые создает, но это так, мелочи.

[Николай Антал]

На то и минорые обновления выпускают :)

Answer 7

[Иван Малышев]

Интересно услышать мнение практикующих людей. Есть ли сайтостроители "вордпрессеры"? Чем сами пользуетесь для защиты? Что могли бы порекомендовать?