ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
klucze bezpieczeństwa i sole
Osiem losowych ciągów w pliku wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i odpowiadające im *_SALT), którymi WordPress podpisuje ciasteczka logowania i tokeny nonce. Po włamaniu trzeba je wygenerować na nowo — to wylogowuje wszystkie sesje, także sesje atakującego.
TAB. 1Nazwapo polsku
| Po angielsku | WordPress security keys and salts |
|---|---|
| Po polsku | klucze bezpieczeństwa i sole |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | klucze i sole WordPressa · klucze uwierzytelniające · unikalne klucze i sole uwierzytelniające · klucze zabezpieczające ciasteczka · security keys · salts (SALTy) |
| Odmiana | klucze (lm., r.m.): kluczy, kluczom; sole (lm., r.ż.): soli, solom; „wygenerować nowe klucze i sole” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Polskie poradniki WordPressa piszą „klucze bezpieczeństwa WordPress” i „klucze i sole zdefiniowane w wp-config.php”; słowo salt bywa zostawione w formie „SALTy”. |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Dowodem na to mogą być unikalne klucze i sole uwierzytelniające (Authentication Unique Keys and Salts) wprowadzone w wersji 2.5” | morfikov.github.io |
| PL | „Możesz wyświetlić swoje klucze bezpieczeństwa i sole WordPress, używając klienta FTP lub aplikacji Menedżer plików” | wpbeginner.com |
| EN | „Security Keys You don’t have to remember the keys, just make them long, random and complicated” | developer.wordpress.org |
TAB. 4Obok w tej dziedzinie6
| hasła aplikacji | application passwords (WordPress) | Mechanizm WordPressa (od wersji 5.6), w którym w profilu użytkownika generuje się osobne hasło dla każdej zewnętrznej aplikacji łączącej się przez REST API lub XML-RPC. Każde można odwołać niezależnie, ale daje ono aplikacji pełne uprawnienia roli tego użytkownika i omija logowanie z 2FA. |
| hosting współdzielony | shared hosting | Hosting, w którym wiele kont klientów działa na jednym serwerze i dzieli jego zasoby (CPU, RAM, adres IP). Bezpieczeństwo zależy od izolacji kont (np. CloudLinux/CageFS, osobni użytkownicy systemowi): przy słabej izolacji infekcja jednej strony może przejść na sąsiednie, a zasobożerny sąsiad spowalnia pozostałe. |
| HSTS (HTTP Strict Transport Security) | HTTP Strict Transport Security (HSTS) | Nagłówek nakazujący przeglądarce łączyć się z domeną przez zadany czas wyłącznie po HTTPS, dzięki czemu kolejne próby wejścia po HTTP przeglądarka zamienia na szyfrowane jeszcze przed wysłaniem żądania; pierwszego wejścia nie chroni — od tego jest lista preload wbudowana w przeglądarki. |
| koniec wsparcia dla wersji PHP | PHP end-of-life | Moment, w którym dana wersja PHP przestaje otrzymywać poprawki bezpieczeństwa od twórców języka — po nim środowisko hostingowe strony pozostaje podatne niezależnie od tego, jak aktualny jest sam WordPress. Każde wydanie PHP ma dwie fazy: 2 lata aktywnego wsparcia (poprawki błędów i bezpieczeństwa) i kolejne 2 lata wyłącznie poprawek krytycznych podatności; łącznie ok. 4 lata od premiery. |
| kopia zapasowa | backup | Regularnie tworzona kopia plików i bazy danych, przechowywana poza serwerem strony i odizolowana od reszty infrastruktury, wraz z przetestowaną procedurą odtworzenia. |
| limit prób logowania | login lockout | Ochrona przed zgadywaniem haseł polegająca na ograniczeniu liczby (i częstotliwości) błędnych prób logowania. Dwa różne mechanizmy: (a) blokada konta — czasowe zamknięcie konkretnego konta po przekroczeniu progu, (b) ograniczanie tempa żądań po stronie adresu IP / sesji / hasła (rate limiting), często uzupełniane CAPTCHA. Wariant (a) jest skuteczny przeciw klasycznemu brute-force, ale sam bywa wektorem DoS na ofiarę i nie chroni przed password spraying (jedno hasło do wielu kont). |