Állítsa be a tulajdonost és a jogosultságokat a tárhely modellje szerint úgy, hogy a webszerver csak oda írhasson, ahol szükséges. Védje a wp-config.php fájlt, a titkokat tartsa a nyilvános repozitóriumon kívül, tiltsa le a kód szerkesztését az adminfelületről, és a verziókezelt kódot ellenőrzött folyamattal telepítse. A változtatást mindig ellenőrizze feltöltéssel, cache-sel és frissítéssel.
A WordPress fájljogosultságai határozzák meg, hogy a szerver melyik felhasználója olvashatja vagy módosíthatja a kódot és az adatokat. A túl nyitott jogosultságok megkönnyítik egy kártékony fájl írását, a túl szigorúak pedig blokkolják a feltöltést, a gyorsítótárat vagy a frissítést. Egy univerzális, számokra épülő útmutató a tárhely ismerete nélkül veszélyes, mert a tulajdonosi modell eltér a megosztott tárhely, a konténer és a menedzselt szerver között.
Érzékeny elem a `wp-config.php`, amely jellemzően adatbázis-hitelesítő adatokat, biztonsági kulcsokat és környezeti beállításokat tartalmaz. A titkok nem kerülhetnek a repozitóriumba, a webről elérhető biztonsági mentésbe vagy a támogatásnak küldött képernyőképre. A biztonságos kialakítás elkülöníti a változatlan kódot, az írható feltöltéseket, az ideiglenes gyorsítótárat és a konfigurációt, és minden folyamatnak csak a szükséges hozzáférést adja meg.
Térképezze fel a szerver felhasználóit és folyamatait
A módosítás előtt azonosítsa a fájlok tulajdonosát, a PHP vagy a webszerver felhasználóját, a telepítési fiókot és a csoportokat. Megosztott tárhelyen a szolgáltató más modellt használhat, mint egy saját VPS esetén. Ellenőrizze a dokumentációt és az aktuális jogosultságokat, ne egy fórumról származó véletlenszerű parancsra hagyatkozzon. Jegyezze fel, mely könyvtárakba kell a WordPressnek írnia a normál működés során.
Különítse el a rendszergazda interaktív fiókját az alkalmazásétól. Egy mindenhez hozzáféréssel rendelkező FTP-fiókot nem szabad egy WordPress-bővítményben tárolni. Minden automatizálási fiók saját kulcsot és minimális könyvtárat kap. Ha a tárhely nem támogatja a biztonságos modellt vagy a szomszédos webhelyek elkülönítését, a jogosultságok technikai módosítása egyetlen telepítésben korlátozott hatású.
Válassza el a kódot az írható adatoktól
A magnak, a témáknak és a pluginoknak működés közben változatlannak kell lenniük, ha a frissítéseket ellenőrzött folyamat telepíti. A feltöltéseknek, a cache-nek és egyes ideiglenes könyvtáraknak írási jogra van szükségük. Ha a webszerver a teljes document rootot módosíthatja, egy alkalmazássebezhetőség révén könnyebben felülírható a kód. A tárhely és a deployment architektúrájának korlátoznia kell az írható felületet.
Az upload könyvtárat a szerver lehetőségeihez mérten védje a szkriptek futtatása ellen, és ellenőrizze a feltöltött fájltípusokat. A cache-t biztonságosan, a tulajdonos megváltoztatása nélkül kell tudni üríteni. A logokat a nyilvános útvonalon kívül tárolja, vagy tiltsa le a hozzáférést. Migráció után ellenőrizze, hogy a másolás nem változtatta-e meg a tulajdonost, és nem hozott-e létre mindenki által írható fájlokat.
- Változatlan mag, témák és bővítmények
- Írás csak a feltöltésekbe és a szükséges gyorsítótárba
- Nem futtatható felhasználói feltöltések
- Naplók nyilvános hozzáférésen kívül
Védje a wp-config.php fájlt és a titkos adatokat
A konfigurációs fájlt csak azok a folyamatok olvashassák, amelyeknek szükségük van rá, és az architektúrától függően a nyilvános gyökérkönyvtáron kívül is elhelyezhető. Éles adatokat ne helyezzen nyilvános Git-repozitóriumba. A modern deployment a titkokat a környezetből vagy biztonságos tárolóból is betöltheti, de rendelkeznie kell a helyi fejlesztés és a helyreállítás dokumentált módjával.
Az adatbázis-felhasználó csak a WordPresshez szükséges jogosultságokat kapja meg, és minden környezethez külön hitelesítő adatot kell használni. A biztonsági salt értékeket és az API-kulcsokat gyanú vagy változás esetén a meghatározott folyamat szerint cserélje le; a munkamenetek rotációja kijelentkeztetheti a felhasználókat, ami várható következmény. Az éles környezet debug beállításai nem jeleníthetnek meg hibákat, és nem menthetnek érzékeny kimenetet nyilvánosan elérhető útvonalra.
Korlátozza a kód szerkesztését az adminisztrációból
Az adminisztrációs felület téma- és bővítményfájl-szerkesztője azonnali beavatkozást tesz lehetővé felülvizsgálat, mentés és teszt nélkül. Éles környezetben általában kapcsolja ki konfigurációs beállítással. A kezelés módjától függően fontolja meg a telepítés és az automatikus beavatkozások tiltását is; a frissítéseket ezután valóban egy másik működő folyamattal kell elvégezni, nem pedig egyszerűen abbahagyni.
A kódot verziózza, vizsgálja felül, és stagingen keresztül, visszaállítási lehetőséggel telepítse. A WordPress adminisztrátorának nem kell automatikusan SSH-hozzáférés vagy tárhelyvezérlőpult. A fiókok szétválasztása csökkenti egy ellopott munkamenet hatását. A vészhelyzeti beavatkozást dokumentálja, és az incidens után egyeztesse az éles környezetet a repozitóriummal, hogy a javítás ne vesszen el a következő kiadásnál.
- Letiltott kódszerkesztő az adminisztrációban
- Verziókezelt és ellenőrzött telepítés
- Különálló WordPress- és tárhelyfiókok
- A sürgősségi javítás összehangolása a repozitóriummal
Változtatás után tesztelje a jogosultságokat, és figyelje az integritást
A módosítás után töltsön fel egy képet, generálja le a bélyegképeket, ürítse a gyorsítótárat, futtasson biztonságos frissítést a staging környezetben, és ellenőrizze a mentést. Figyelje a PHP- és szervernaplókat permission denied hiba után kutatva. Éles környezetben ne futtasson rekurzív chmod parancsot a célok pontos listája és az abszolút útvonal ellenőrzése nélkül; megváltoztathatja a titkos adatokat, sőt teljes szomszédos alkalmazásokat is.
Az integritásfigyelés jelezheti a kiadáson kívüli kódmódosítást, de ehhez alapállapotra és a jogos frissítésekre vonatkozó kivételekre van szükség. Egy új PHP-fájl az uploads könyvtárban vagy a mag váratlan módosítása vizsgálatra ad okot, de nem automatikus bizonyítéka a támadásnak. Incidens esetén őrizzen meg egy másolatot, derítse fel a behatolási pontot, és állítsa vissza a tiszta állapotot; a jogosultságok javítása önmagában nem távolítja el a hátsó ajtót.
Gyakori kérdések
Melyik chmod-érték a helyes WordPresshez?
A tulajdonviszonyok, a webszerver és a tárhely ismerete nélkül nem lehet biztonságosan egyetlen, mindenre érvényes számot javasolni. Használja a szolgáltató dokumentációját és a legkisebb jogosultság elvét, és különböztesse meg a fájlokat, a könyvtárakat, a konfigurációt és az írható feltöltéseket.
Írjon-e a webszerver a bővítményekbe és témákba?
Ha a frissítéseket közvetlenül a WordPress végzi, ideiglenesen szüksége van a megfelelő jogosultságokra. Irányított telepítés (deployment) esetén a kód változatlan maradhat, és csak az adatkönyvtárakba történik írás. A modellnek működő frissítési folyamattal kell rendelkeznie.
Elég áthelyezni a wp-config.php fájlt a public_html fölé?
Támogatott struktúra esetén hasznos réteg lehet, de nem helyettesíti a megfelelő jogosultságokat, a biztonságos titokkezelést, a tárhely izolációját és a frissítéseket. Ellenőrizze, hogy a szerver betölti-e a fájlt, és a biztonsági mentések biztonságosan tartalmazzák-e.
Források és további olvasnivaló
Adam Antoni vyvíja weby, aplikácie a softvér na mieru. Prepája firemné systémy, automatizuje procesy a vytvára AI agentov. Pôsobí v Spišskej Novej Vsi a spolupracuje s firmami na celom Slovensku.
