15 tips för bättre säkerhet i WordPress

WordPress är världens populäraste lösning att skapa en webbplats med. En stor bidragande faktor är bland annat den enkla hantering och smidiga gränssnittet. Lägg därtill att tjänsten är kostnadsfri samt har en stor mängd olika plugins och teman för alla möjlig verksamheter så förstår man snabbt varför den vuxit så i popularitet de senaste åren. Men det finns även en del baksidor, med sin stora användarbas är det även ett tacksamt byte att hacka sig in i.

Att WordPress-lösningar innehåller en hel del säkerhetshål kommer nog inte som någon överraskning för den som är lagom påläst. Det sker bokstavligen tusentals attacker mot WordPress-sidor varje dag. Det finns som tur är några enkla handgrepp att ta till – här i denna guide går vi igenom några stycken både på basic- och avancerad nivå.

Mindre anpassningar för en säkrare installation

1. Skapa egna unika konton för administratörer som är svåra att gissa. Admin är ett förinstallerat konto som de flesta känner till och därför en vanlig angreppspunkt.

2. Använd kloka användarnamn och säkra lösenord, en lösenordsgenererare och -hanterare är alltid bra att ha till hands. En lösenordsgenerare är ett verktyg som ger förslag på komplexa lösenord, ett populärt exempel på detta är t ex Googles egna lösenordsverktyg.

3. Radera teman och tillägg som är oanvända. Du kan behålla ett extra tema så att du har en möjlighet att felsöka om temat du använder skulle få problem. Men rensa bort resterande, de tar bara onödig plats och utgör även ett möjligt säkerhetshål.

4. Se kontinuerligt över din WordPress-installation:

• Kontrollera att du alltid har senaste versionen av WordPress
• Se till att alla teman och tillägg är uppdaterade och att filerna är korrekta
• Ersätt teman och tillägg som inte är kompatibla med din aktiva version av WordPress

5. Försök att hålla antalet tillägg, tredjepartlösningar och användare till ett minimum.

6. Installera lämpliga säkerhetstillägg. Detta kan hjälpa dig med bland annat tvåfaktorsautentisering och att skanna dina filer efter förändringar. Tvåfaktorsautentisering innebär att det krävs något mer än bara lösenordet för att logga in. Exempelsvis ett SMS med en kod som ska anges. När det gäller filskanning så kan ett sådant tillägg jämföra dina WordPress-kärn filer med nuvarande version av WordPress för att avgöra om något skadligt är placerat i dem.

7. Använd ett bra och pålitligt webbhotell eller molnlösning.

8. Använd SSL (https) certifikat för domänen och använd SFTP, inte FTP, för att minska risken att dina filer blir utsatta i samband med överföringar.

9. Byt databasens prefix. Default sätts prefix (start av namn) till ”WP”. Ändra detta till något helt annat, till exempel ”45xw” vilket ökar säkerheten betydligt!

10. Implementera en backup-lösning. Risken att en uppdatering av teman, tillägg eller WordPress-installation går fel är stor. Se till att ta backup kontinuerligt så att du alltid kan gå tillbaka och felsöka.

Mer avancerade anpassningar för en säkrare installation

11. Stäng av XML-RPC. Detta är idag ett ökande mål för attacker.
Det finns tillägg som är beroende av detta men det är ytterst få, läs igenom kraven och leta efter alternativa tillägg.

12. Dölj er WordPress version. Det sker scanning av WordPress versioner på nätet kontinuerligt.

13. Begränsa tillgänglighet till filer i mapparna WP-includes och WP-admin. Kolla in ”server file permissions”.

14. Kontrollera loggfiler regelbundet efter varningar. De kan ge tips om problem som kan leda till säkerhetshål.

15. WordPress med en headless eller static setup. Det är inte bara mycket säkrare, det ger dessutom en enorm påverkan på prestanda. 

Avslutningsvis

Om du vill fördjupa dig i headless CMS kan du hålla utkik i våra sociala kanaler och på vår hemsida då en artikel om headless CMS i just WordPress kommer framöver. Ett stort, omfattande och mycket spännande ämne! 

Det finns såklart mängder av fler anpassningar och åtgärder att utföra utöver dessa tips. Känner du att ovanstående tips är för svåra eller har fler frågor och funderingar får du gärna kontakta Jörgen Överhem på: Jorgen.overhem@avantime.se, vi hjälper dig gärna! 

Håll även utkik efter nästa artikel på temat WordPress, denna gång runt Bättre Prestanda i Wordpress.