Opis
Bezpieczeństwo WordPressa – fundamenty
No dobrze. Potrafimy zainstalować, skonfigurować i dodawać treść do WordPressa. Teraz, myślisz zapewne, aby szybko „postawić” stronę WWW i ruszyć w świat – to ryzykowny krok. Właściwie zaraz po uruchomieniu serwisu, jest on narażony na skanowanie w poszukiwaniu podatności, które umożliwią na nieautoryzowany dostęp. Konsekwencje? Spam, zawieszenie usługi, wpisanie domeny przez wyszukiwarki na czarną listę. Katastrofa. Aby jej uniknąć warto się zatrzymać na kilka godzin, rozpoznać zagrożenie i przygotować własną listę bezpieczeństwa, która pomoże nam chronić WordPressa; i tutaj, do akcji wkracza: Bezpieczeństwo WordPressa – fundamenty.
Szkolenie dotyczy głównie zagadnień ochrony aplikacji i konta serwera współdzielonego. Pomimo tych kluczowych tematów będziemy także starali sobie nakreślić o wiele szerszy obraz bezpieczeństwa. Dzięki takiemu ujęciu nie będziemy zawieszeni w próżni. W wielu obszarach poszerzymy swoje kompetencje:
- jak przechowywać trudne hasła w menadżerach haseł,
- jak kontrolować interfejs REST, zamiast wyłączać go całkowicie,
- w jaki sposób bezpiecznie zapisywać logi w wybranej lokalizacji na serwerze.
Nie będziemy także się ograniczać do jednego rozwiązania wybranego problemu. Poszukamy alternatyw:
- Podwójne uwierzytelnienie na poziomie katalogu/pliku, lub z wykorzystaniem urządzenia mobilnego.
W module 2 spojrzymy szerzej na zagadnienia bezpieczeństwa. Od środowiska produkcyjnego, poprzez różne typy hostingu, kończąc na poznaniu zagrożeń dla dzisiejszych aplikacji webowych. Dlatego jeśli jesteś początkującym administratorem WordPressa zachęcam do lektury kursu od początku do końca.
Bezpieczeństwo WordPressa – fundamenty przygotowane jest z myślą o instalacji WordPressa na serwerze współdzielonym; z tego powodu część zabiegów utwardzających oprzemy na pliku .htaccess, który pozwala dodatkowo konfigurować konto serwera współdzielonego. Jeśli nie chcesz, lub nie możesz edytować pliku .htaccess, to nie ma obaw – większość zadań można zrealizować za pomocą konkretnych wtyczek, do których odnośniki znajdziesz w kursie.
Spis treści:
| Moduł 1. Fudamenty (21 min.) | |
| 0. Wstęp | (1:05) |
| 1. Największe zagrożenie – My | (1:48) |
| 2. Kto, dlaczego i jak nas atakuje? | (3:31) |
| 3. Nasza lista bezpieczeństwa | (2:30) |
| 4. Wtyczki typu All In One | (3:39) |
| 5. Plik htaccess a wtyczki | (8:14) |
| 6. Przykłady kodu – ćwiczenia | (1:19) |
| Moduł 2. Szersze spojrzenie na bezpieczeństwo (1 h i 18 min.) | |
| 1. Ochrona środowiska produkcyjnego – sprzęt | (4:31) |
| 2. Ochrona środowiska produkcyjnego – sieć i komunikacja | (4:45) |
| 3. Hosting a zakres bezpieczeństwa | (1:05) |
| 4. Wybór serwera współdzielonego | (3:00) |
| 5. Bezpieczna praca z kontem na serwerze współdzielonym | (3:01) |
| 6. Serwer VPS, Chmura i dedykowany | (3:14) |
| 7. Praca z WordPressem – konfiguracja | (1:57) |
| 8. Praca z WordPressem – treść | (3:20) |
| 9. Role i uprawnienia użytkowników | (4:59) |
| 10. Loginy i Hasła | (15:27) |
| 11. Wtyczki | (8:23) |
| 12. Motywy | (5:11) |
| 13. Detekcja i przeciwdziałanie | (12:29) |
| 14. Top 10 zagrożeń | (7:08) |
| Moduł 3. Poziom instalacji i konfiguracji (1 h i 7 min.) | |
| 1. Bezpieczne przesyłanie plików – SFTP | (4:01) |
| 2. Prefiks tabel bazy danych | (3:33) |
| 3. Zmiana prefiksu po instalacji WP | (8:28) |
| 4. Admin – zmiana loginu | (3:31) |
| 5. Tryb konserwacji | (7:19) |
| 6. Niepotrzebne pliki | (3:31) |
| 7. Edycja kodu w panelu Admina | (4:09) |
| 8. Informacje o błędach WordPressa | (9:13) |
| 9. Bezpieczne zapisywanie logów | (10:10) |
| 10. Automatyczne aktualizacje | (6:42) |
| 11. Certyfikat SSL | (4:03) |
| 12. Przekierowanie na HTTPS | (2:55) |
| Moduł 4. Użytkownicy, logowanie i hasła (1 h i 30 min.) | |
| 1. Rejestracja użytkowników | (3:26) |
| 2. Przechowywanie haseł z KeePass | (10:31) |
| 3. Zmiana haseł po stronie panelu admina | (3:05) |
| 4. Zmiana haseł po stronie bazy danych | (3:05) |
| 5. Wymuszanie silnych haseł | (3:17) |
| 6. Sole i szyfrowanie haseł | (4:01) |
| 7. Sposoby na ochronę formularza logowania | (4:19) |
| 8. Ograniczenie liczby prób logowania | (5:47) |
| 9. Ukrywanie strony logowania | (3:24) |
| 10. Podwójne uwierzytelnienie z htpasswd | (8:03) |
| 11. Podwójne uwierzytelnienie z Google Authenticator | (11:23) |
| 12. Ukrywanie błędów logowania | (2:33) |
| 13. Zapobieganie enumeracji użytkowników | (4:05) |
| 14. Monitorowanie aktywności użytkowników | (4:08) |
| 15. Moderacja komentarzy | (8:31) |
| 16. Wyłączanie mechanizmu komentowania | (8:03) |
| 17. Ochrona pliku wp-comments-post | (3:02) |
| Moduł 5. Ochrona plików i katalogów (38 min.) | |
| 1. Prawa dostępu do plików i katalogów | (9:00) |
| 2. Listowanie katalogów i plików | (5:31) |
| 3. Blokowanie dostępu do wybranych plików i rozszerzeń | (1:56) |
| 4. Ochrona pliku wp-config | (2:03) |
| 5. Ochrona pliku wp-login | (3:02) |
| 6. Ochrona pliku .htaccess | (0:51) |
| 7. Ochrona katalogu wp-admin | (10:10) |
| 8. Ochrona katalogu wp-includes | (1:28) |
| 9. Ochrona katalogu Uploads | (1:34) |
| 10. Zabezpieczenie przed linkowaniem | (3:10) |
| Moduł 6. Spam i szkodniki (16 min.) | |
| 1. Wtyczka antyspamowa | (7:11) |
| 2. Firewall po stronie htaccess | (2:34) |
| 3. Wdrożenie 6G Firewall | (3:47) |
| 4. Wtyczki blokujące dostęp szkodnikom | (2:37) |
| Moduł 7. Dodatkowe działania (20 min.) | |
| 1. Blokowanie dostępu przez Proxy | (2:53) |
| 2. Kontrola REST API | (4:55) |
| 3. Ukrywanie informacji o WordPressie | (12:48) |
