5 WordPress-beállítás, ami 10 perc alatt megvédi a belépést

Rejtsd el a belépési címet a támadók elől

Minden WordPress-oldal belépési oldala gyárilag ugyanott van: a domain után a /wp-login.php vagy a /wp-admin cím nyitja meg. Ezt mindenki tudja, a támadók automatikus programjai is. Ezek a programok folyamatosan járják az internetet, és ezeken a címeken próbálgatnak felhasználóneveket és jelszavakat, folyamatosan, rengeteg kísérlettel.

Az első és legegyszerűbb védekezés, hogy a belépési oldal ne a gyári címen legyen. Egy erre való bővítménnyel a belépés egy egyedi, csak általad ismert címre költözik, a gyári cím pedig hibaoldalt ad. A robotok nagy része így meg sem találja a belépést, és a próbálkozások száma látványosan lecsökken.

Ez nem csodaszer: aki célzottan támad, más úton is megtalálhatja a belépést. De a tömeges, automatikus próbálkozások ellen nagyon hatékony, és öt perc alatt beállítható.

Figyelj rá: az új belépési címet írd fel egy biztonságos helyre, és a régi könyvjelzőt cseréld le. A belépési cím megváltoztatása után a régi cím már nem működik, és ha elfelejted az újat, csak a tárhelyen keresztül lehet visszaállítani.

Kétlépcsős azonosítás beállítása

A második lépés a kétlépcsős belépés. Ilyenkor a jelszó mellett egy második azonosító is kell: egy hatjegyű kód, amit egy telefonos hitelesítő alkalmazás (például a Google Authenticator vagy a Microsoft Authenticator) állít elő, és harminc másodpercenként változik.

Ennek az az előnye, hogy ha valaki meg is szerzi a jelszavadat, például egy másik oldalról kiszivárgott adatbázisból, a kód nélkül akkor sem tud belépni. A kód csak a te telefonodon van.

WordPressen erre több ingyenes bővítmény is van, például a Two Factor. A beállítás menete egyszerű: a bővítmény telepítése után a profilodban megjelenik egy QR-kód, ezt a telefonos alkalmazással beolvasod, és onnantól belépéskor a jelszó után a kódot is kéri.

Figyelj rá: a beállításkor a bővítmény tartalék kódokat is ad. Ezeket mentsd el biztonságos helyre. Ha a telefonod elveszik vagy elromlik, ezekkel tudsz belépni. Tartalék kód nélkül a fiók visszaszerzése nehézkes.

Ha többen kezelitek az oldalt, mindenkinél kapcsoljátok be, ne csak a tulajdonosnál. A támadó mindig a leggyengébb fiókon próbálkozik, és ha egyetlen rendszergazdai fiókon nincs kétlépcsős belépés, az egész oldal annyira védett, mint az a fiók.

Tisztítsd meg az admin-fiókokat

A harmadik lépés a fiókok rendbetétele. Nyisd meg a WordPress felhasználói listáját, és nézd meg, kinek van rendszergazdai (adminisztrátori) joga. Gyakran találunk olyan fiókokat, amelyek egy régi fejlesztőé, egy korábbi munkatársé vagy egy egyszeri munkáé voltak, és azóta senki nem használja őket.

Minden ilyen fiók egy plusz bejárat az oldalra. Ha a gazdája rossz jelszót használt, vagy a jelszava kiszivárgott valahonnan, a fiók akkor is nyitva áll, ha már senki nem emlékszik rá. Amit nem használnak, azt töröld, a tartalmát pedig a törléskor rendeld hozzá egy meglévő felhasználóhoz.

Két további szabály: ne legyen olyan fiók, aminek a felhasználóneve „admin”, mert a támadók elsőként ezt próbálják, és mindenki csak akkora jogot kapjon, amekkora a munkájához kell. Egy cikkeket író munkatársnak például nem kell rendszergazdai jog, elég a szerkesztői.

Egy jó gyakorlat: ha egy külsős fejlesztő vagy ügynökség dolgozik az oldaladon, kapjon saját fiókot, ne a tiédet használja. A munka végén ezt a fiókot egyszerűen törölni vagy letiltani lehet, és mindig látszik, ki mit csinált. Ha mindenki ugyanazzal a fiókkal lép be, a jelszót sem lehet lecserélni anélkül, hogy mindenkinek szólni kellene.

Használj erős, egyedi jelszavakat

A negyedik lépés a jelszó. Ez a legismertebb tanács, mégis ez a leggyakoribb gyenge pont. A jó jelszó hosszú, véletlenszerű, és csak egy helyen használod.

Az utolsó feltétel a legfontosabb. Ha ugyanazt a jelszót használod a weboldaladhoz, mint egy webáruházhoz vagy egy közösségi oldalhoz, és az egyik helyről kiszivárog, a támadók automatikusan kipróbálják mindenhol máshol is. A weboldalad így olyan miatt kerülhet veszélybe, amihez semmi köze.

Ilyen jelszót senki nem tud fejben tartani, és nem is kell. Erre valók a jelszókezelők: ezek a programok előállítják és megjegyzik helyetted a hosszú, egyedi jelszavakat, neked pedig csak egy fő jelszót kell tudnod. Sok böngésző és telefon beépítve is tartalmaz ilyet.

Ugyanez vonatkozik mindenkire, akinek van fiókja az oldalon. Egy gyenge jelszavú szerkesztői fiók is belépési pont lehet, ezért a jelszószabályt mindenkinek érdemes betartania.

Felhasználónevek elrejtése a támadók elől

Az ötödik lépés kevésbé ismert, de sokat számít: a felhasználónevek elrejtése. Egy támadónak a belépéshez két dolog kell, a felhasználónév és a jelszó. Ha a felhasználónevet már tudja, a munka fele kész.

A WordPress-nek van egy nyilvános adatfelülete (REST API), amit más programok használnak, például a mobilos alkalmazások vagy a szerkesztő. Alapbeállításban ez sok oldalon bárkinek kiadja a felhasználók listáját. Egy általunk átvett oldalon pontosan ezt találtuk: a webcím végére írt rövid kiegészítéssel bárki lekérhette mind a négy felhasználó nevét, bejelentkezés nélkül. Ezzel a támadó a jelszópróbálgatás felét már el is végezte.

Ezt egy biztonsági bővítménnyel vagy egy kis beállítással le lehet zárni úgy, hogy az oldal többi része ugyanúgy működjön.

Ide tartozik a belépési hibaüzenet is. Ha rossz felhasználónévvel próbálkozol, a gyári WordPress más üzenetet ad, mint ha a felhasználónév jó, csak a jelszó rossz. Ebből a támadó megtudja, melyik felhasználónév létezik. A belépési hibaüzenetet érdemes egységesre állítani, hogy ne áruljon el semmit.

Mindkét beállítás láthatatlan a látogatók számára, és az oldal működésén semmit nem változtat. Csak a támadótól vesz el információt.

Rendszeres biztonsági átnézés és üzemeltetési feladatok

Ez az öt beállítás együtt nagyjából tíz perc, és a tömeges, automatikus támadások nagy részét kivédi. Nem tesz feltörhetetlenné egy oldalt, de a legtöbb betörés nem célzott, hanem tömeges, és ezek ellen ez az öt lépés nagyon sokat ér.

A belépés védelme mellett ugyanilyen fontos, hogy az oldal frissítve legyen. Egy elavult bővítmény hibáján keresztül a támadó be sem lép, egyszerűen megkerüli a belépést. Ha az oldaladat már feltörték, a feltört WordPress-oldal teendőiről szóló cikkünk lépésről lépésre leírja, mit tegyél.

Ha nem szeretnéd ezeket magad beállítani, vagy szeretnéd, hogy rendszeresen valaki ránézzen, a weboldal-üzemeltetésünk része a belépés védelme, a frissítés és a figyelés. Egy egyszeri biztonsági átnézésre is kérhetsz ajánlatot.