ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
hasła aplikacji
Mechanizm WordPressa (od wersji 5.6), w którym w profilu użytkownika generuje się osobne hasło dla każdej zewnętrznej aplikacji łączącej się przez REST API lub XML-RPC. Każde można odwołać niezależnie, ale daje ono aplikacji pełne uprawnienia roli tego użytkownika i omija logowanie z 2FA.
TAB. 1Nazwaobie formy
| Po angielsku | application passwords (WordPress) |
|---|---|
| Po polsku | hasła aplikacji |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | hasło aplikacji · Application Passwords · hasła do aplikacji |
| Odmiana | hasło aplikacji (r.n.), lm. hasła aplikacji, haseł aplikacji; „wygenerować hasło aplikacji”, „odwołać hasło aplikacji” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Polskie blogi i hostingi używają obu form: „tzw. hasła aplikacji” obok nazwy funkcji „Application Passwords” zostawianej po angielsku. |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Możemy też wygenerować tzw. hasła aplikacji, dzięki którym będziemy mogli zalogować się do naszej strony z aplikacji nieoferujących wsparcia dla 2FA” | webinsider.pl |
| EN | „WordPress 5.6 wprowadził Application Passwords, które pozwalają nadawać oddzielne hasła dla zewnętrznych aplikacji korzystających z REST API.” | weboptimo.pl |
| EN | „As of 5.6, WordPress has shipped with Application Passwords , which can be generated from an Edit User page” | developer.wordpress.org |
TAB. 4Obok w tej dziedzinie6
| escapowanie | escaping | Zakodowanie danych tuż przed wypisaniem ich na stronę, zależnie od kontekstu wyjścia (HTML, atrybut, URL, JavaScript), tak by przeglądarka potraktowała je jako tekst, a nie kod — podstawowa obrona przed XSS, wykonywana na wyjściu, a nie na wejściu. |
| fałszywa wtyczka | fake plugin / malicious plugin | Wtyczka WordPressa stworzona lub przerobiona w złym zamiarze — często podszywająca się pod znaną nazwę (np. Wordfence) albo obiecująca „optymalizację SEO” — która po instalacji tworzy konta administratorów, instaluje backdoor lub wstrzykuje złośliwy kod. Trafia na stronę przez przejęty panel admina, fałszywe maile „od zespołu WordPressa” albo z nieoficjalnych źródeł. |
| flagi ciasteczek | cookie security attributes (HttpOnly, Secure, SameSite) | Atrybuty nagłówka Set-Cookie ograniczające nadużycia ciasteczek: HttpOnly blokuje odczyt przez JavaScript (utrudnia kradzież sesji przez XSS), Secure pozwala wysyłać ciasteczko tylko po HTTPS, SameSite ogranicza wysyłanie przy żądaniach z innych witryn (ochrona przed CSRF). WordPress ustawia ciasteczka logowania z HttpOnly, a z Secure na stronach działających po HTTPS. |
| hosting współdzielony | shared hosting | Hosting, w którym wiele kont klientów działa na jednym serwerze i dzieli jego zasoby (CPU, RAM, adres IP). Bezpieczeństwo zależy od izolacji kont (np. CloudLinux/CageFS, osobni użytkownicy systemowi): przy słabej izolacji infekcja jednej strony może przejść na sąsiednie, a zasobożerny sąsiad spowalnia pozostałe. |
| HSTS (HTTP Strict Transport Security) | HTTP Strict Transport Security (HSTS) | Nagłówek nakazujący przeglądarce łączyć się z domeną przez zadany czas wyłącznie po HTTPS, dzięki czemu kolejne próby wejścia po HTTP przeglądarka zamienia na szyfrowane jeszcze przed wysłaniem żądania; pierwszego wejścia nie chroni — od tego jest lista preload wbudowana w przeglądarki. |
| klucze bezpieczeństwa i sole | WordPress security keys and salts | Osiem losowych ciągów w pliku wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i odpowiadające im *_SALT), którymi WordPress podpisuje ciasteczka logowania i tokeny nonce. Po włamaniu trzeba je wygenerować na nowo — to wylogowuje wszystkie sesje, także sesje atakującego. |
TAB. 5