ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
wtyczka bezpieczeństwa
Wtyczka łącząca funkcje ochrony i wykrywania (zapora aplikacyjna, skaner plików, blokada prób logowania, powiadomienia, rejestr zdarzeń) — uzupełnienie, a nie zamiennik aktualizacji, kopii zapasowych i poprawnie napisanego kodu.
TAB. 1Nazwapo polsku
| Po angielsku | security plugin |
|---|---|
| Po polsku | wtyczka bezpieczeństwa |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | wtyczka zabezpieczająca · plugin bezpieczeństwa |
| Odmiana | ta wtyczka, tej wtyczki, tę wtyczkę, o wtyczce; te wtyczki, tych wtyczek, o wtyczkach. Wariant zapożyczony: ten plugin, tego pluginu (rzadziej: plugina), o pluginie; te pluginy, tych pluginów. |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „wtyczek do WordPressa" (niebezpiecznik); sekurak wymiennie: „podatność w popularnym pluginie do WordPressa" obok „wtyczki" |
|---|---|
| Urząd i ustawa | cert.pl: „aktualne wersje systemu CMS, jego wtyczek, rozszerzeń, motywów", „odinstalować nieużywane wtyczki" — bez osobnej kategorii „wtyczka bezpieczeństwa" |
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Należy utrzymywać aktualne wersje systemu CMS, jego wtyczek, rozszerzeń, motywów…” | wiedza.cert.pl |
| PL | „wyniki analizy statycznej kodu ok. 1000 wtyczek do WordPressa” | niebezpiecznik.pl |
| PL (EN) | „podatność w popularnym pluginie do WordPressa” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| wirtualne patchowanie (virtual patching) | virtual patching | Blokowanie prób wykorzystania znanej podatności regułą zapory aplikacyjnej (WAF), zanim powstanie poprawka w kodzie wtyczki czy motywu — albo gdy nie powstanie w ogóle. |
| WPCS | WordPress Coding Standards (WPCS) | Zestaw reguł PHP_CodeSniffer sprawdzających, czy kod wtyczki lub motywu trzyma się oficjalnych standardów kodowania WordPressa. Poza stylem zawiera reguły bezpieczeństwa: weryfikację nonce, sanityzację i escapowanie danych oraz przygotowane zapytania SQL — to na nich opiera się automatyczna kontrola kodu przed wdrożeniem. |
| wpis na czarną listę (blacklisting) | blacklisting | Oznaczenie domeny jako niebezpiecznej przez Google Safe Browsing, przeglądarki lub filtry pocztowe, skutkujące ostrzeżeniem dla odwiedzających i gwałtowną utratą ruchu. |
| XML-RPC | XML-RPC | Protokół zdalnego wywoływania procedur, przesyłający wywołania zakodowane w XML przez HTTP. W WordPressie wystawiony plikiem xmlrpc.php (starszy kanał zdalnego zarządzania, dziś w większości zastąpiony przez REST API) i nadużywany do dwóch rzeczy: wzmacniania ataków brute-force (metoda system.multicall pozwala sprawdzić wiele haseł w jednym żądaniu, omijając liczniki nieudanych logowań) oraz do rozproszonych ataków DDoS, w których podatne witryny WordPress służą jako reflektory wysyłające ruch do ofiary (pingback). |
| zabezpieczenia w .htaccess | .htaccess hardening | Reguły dopisane do pliku .htaccess (serwer Apache/LiteSpeed), które ograniczają dostęp do wrażliwych plików i katalogów WordPressa: blokują wp-config.php i xmlrpc.php, wyłączają listowanie katalogów (Options -Indexes), zabraniają uruchamiania PHP w uploads, zawężają wp-admin do wybranych adresów IP. Reguły wpisuje się poza blokiem # BEGIN WordPress, który WordPress sam nadpisuje. |
| zabezpieczenie katalogu hasłem | HTTP basic authentication (password-protecting wp-admin) | Dodatkowe hasło wymagane przez sam serwer WWW (okienko logowania przeglądarki, pliki .htaccess i .htpasswd) zanim w ogóle załaduje się wp-login.php lub wp-admin. Zatrzymuje boty zgadujące hasła WordPressa; trzeba wyłączyć z ochrony admin-ajax.php, bo korzystają z niego wtyczki na froncie strony. |