ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
zabezpieczenia w .htaccess
Reguły dopisane do pliku .htaccess (serwer Apache/LiteSpeed), które ograniczają dostęp do wrażliwych plików i katalogów WordPressa: blokują wp-config.php i xmlrpc.php, wyłączają listowanie katalogów (Options -Indexes), zabraniają uruchamiania PHP w uploads, zawężają wp-admin do wybranych adresów IP. Reguły wpisuje się poza blokiem # BEGIN WordPress, który WordPress sam nadpisuje.
TAB. 1Nazwapo polsku
| Po angielsku | .htaccess hardening |
|---|---|
| Po polsku | zabezpieczenia w .htaccess |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | reguły .htaccess zabezpieczające stronę · utwardzanie przez .htaccess · hardening .htaccess · zabezpieczenie WordPressa przez .htaccess |
| Odmiana | plik .htaccess (r.m., nieodm. nazwa): w pliku .htaccess, reguła w .htaccess; „dopisać regułę do .htaccess” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | W komentarzach niebezpiecznika praktycy piszą o „dorzucaniu Options -Indexes do .htaccess”; polskie hostingi (LH.pl, Domenomania) publikują zbiory „reguł htaccess”, którymi „zabezpieczysz stronę”. |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Plik .htaccess pozwala skonfigurować nie tylko przekierowania, ale również zabezpieczyć stronę, zoptymalizować jej szybkość działania” | lh.pl |
| PL | „Jak ktoś mnie o coś prosi to zwykle przy okazji dorzucam mu Options -Indexes do .htaccess wyjaśniając jednocześnie co to robi” | niebezpiecznik.pl |
| EN | „Hardening WordPress: Security through htaccess by Dragan Nikolic” | thematosoup.com |
TAB. 4Obok w tej dziedzinie6
| wpis na czarną listę (blacklisting) | blacklisting | Oznaczenie domeny jako niebezpiecznej przez Google Safe Browsing, przeglądarki lub filtry pocztowe, skutkujące ostrzeżeniem dla odwiedzających i gwałtowną utratą ruchu. |
| wtyczka bezpieczeństwa | security plugin | Wtyczka łącząca funkcje ochrony i wykrywania (zapora aplikacyjna, skaner plików, blokada prób logowania, powiadomienia, rejestr zdarzeń) — uzupełnienie, a nie zamiennik aktualizacji, kopii zapasowych i poprawnie napisanego kodu. |
| XML-RPC | XML-RPC | Protokół zdalnego wywoływania procedur, przesyłający wywołania zakodowane w XML przez HTTP. W WordPressie wystawiony plikiem xmlrpc.php (starszy kanał zdalnego zarządzania, dziś w większości zastąpiony przez REST API) i nadużywany do dwóch rzeczy: wzmacniania ataków brute-force (metoda system.multicall pozwala sprawdzić wiele haseł w jednym żądaniu, omijając liczniki nieudanych logowań) oraz do rozproszonych ataków DDoS, w których podatne witryny WordPress służą jako reflektory wysyłające ruch do ofiary (pingback). |
| zabezpieczenie katalogu hasłem | HTTP basic authentication (password-protecting wp-admin) | Dodatkowe hasło wymagane przez sam serwer WWW (okienko logowania przeglądarki, pliki .htaccess i .htpasswd) zanim w ogóle załaduje się wp-login.php lub wp-admin. Zatrzymuje boty zgadujące hasła WordPressa; trzeba wyłączyć z ochrony admin-ajax.php, bo korzystają z niego wtyczki na froncie strony. |
| zapytanie parametryzowane | prepared statement | Zapytanie SQL, w którym dane przekazuje się osobno od jego treści, dzięki czemu wartość od użytkownika nie może zmienić struktury zapytania — zalecana, niezależna od języka programowania ochrona przed SQL injection (w PHP: PDO/mysqli z bindowaniem parametrów). WAŻNE: WordPressowe $wpdb->prepare() NIE jest prawdziwym prepared statement — to własna funkcja działająca, jak pisze sekurak, „na zasadzie match & replace”, która podstawia wartości w miejsce %s/%d z escapowaniem po stronie PHP. Skutek praktyczny: sam szablon zapytania (pierwszy argument prepare) nigdy nie może pochodzić od użytkownika, bo wtedy parametryzacja niczego nie chroni. |
| złośliwe boty | bad bots / bot traffic | Zautomatyzowany ruch, który nie służy użytkownikom ani wyszukiwarkom: boty skanujące podatności, zgadujące hasła, kopiujące treści i ceny, spamujące formularze, testujące karty. Na stronie WordPress obciążają serwer i zaśmiecają statystyki; ogranicza się je WAF-em, rate limitingiem, regułami na poziomie serwera lub CDN. |