Aumente a segurança do seu site em WordPress

O WordPress é, como se sabe, um software de blogging que tem crescido muito em número de usuários. Também por isso tem se tornado alvo de muitos hackers, que exploram potenciais falhas de segurança que o sistema possa ter. Mas é possível aumentar a segurança com algumas modificações no seu código. Veja.

Guardar a base de dados

O WordPress necessita de uma base de
dados e não se preocupa se você partilha essa mesma base de dados com
outras aplicações. No entanto, existem algumas precauções que são necessárias quando você cria as suas bases de dados para blogs em
Wordpress:

• Crie uma base de dados para o WordPress: o WP
  utiliza apenas algumas tabelas de uma base de dados MySQL, mas é melhor
  que providencie uma base de dados somente para o seu blog, ao invés de a
  partilhar com outros aplicativos.
• Garanta acesso ilimitado à base de dados: crie um usuário com acesso à base de dados apenas e garanta acesso ilimitado
  aos comandos SQL dessa mesma base de dados (select, insert, delete,
  update, create, drop e alter).
• Utilize uma password forte: as melhores passwords
  são seguramente aquelas que são criadas aleatoriamente pelo sistema.

Estas operações são executadas a partir do Painel de Controle. Mas para quem tem conhecimentos mais aprofundados de MySQL ficam as
seguintes queries que poderão ser utilizadas para executar a segurança:

$ mysql -u root -p<br />mysql&gt; CREATE DATABASE 'myblog';<br />mysql&gt; GRANT SELECT, INSERT, DELETE, UPDATE, CREATE, DROP, ALTER on myblog.* to 'bloguser'@'localhost' identified BY 'mypassword';<br />mysql&gt; flush PRIVILEGES;<br />mysql&gt; exit;

Não utilizar o login ‘admin’

Se você instala o WordPress
manualmente, isso envolve modificar manualmente a base de dados. Os usuários conseguem definir um user name admin
e password como parte do processo de instalação. Existem mais campos
para preencher, mas pelo menos a sua segurança fica salvaguardada.

$ mysql -u bloguser -p<br />Password: mypassword<br />mysql&gt; USE myblog;<br />mysql&gt; UPDATE wp23jk1_users SET user_login='myadm' WHERE user_login='admin';<br />mysql&gt; exit;

É possível utilizar o interface do
phpMyAdmin na base de dados correta, que na verdade é a hdlee_blogbuild.
Depois disso, o seu o seu login deixará de ser ‘admin’ para passar a
ser ‘myadmin’.

Utilize um password seguro

Alterar o seu username para um outro
qualquer não significa que você esteja livre de problemas. Se você usa uma página de perfil multi-autor no seu blog, é bem
provável que exponha o seu username às massas, o que compromete a sua segurança.

Assumindo esse
problema, é preciso escolher uma senha segura para o seu blog
Wordpress, que combine tanto letras (maiúsculas e minúsculas) e números.

Use um login seguro através de um canal seguro

Os usuários do WordPress que têm
o SSL ligado para o seu domínio (fale com o seu provedor de hospedagem primeiro) deverão utilizar um canal seguro para acessarem o painel de controle do seu blog. É possível forçar
sessões de administrador via HTTPS colocando a variável FORCE_SSL_ADMIN em TRUE no seu arquivos wp-config.php.

Copie e cole o seguinte código no seu
arquivo wp-config.php:

define('FORCE_SSL_ADMIN', true);

Atualize sempre para as novas versões

Quando a organização do WordPress lança
uma nova versão, especialmente uma que inclui melhorias de segurança, é primordial que você atualize de imediato o seu blog, ainda que
inclua novidades que você não vai utilizar.

Faça backup dos seus arquivos e do banco de dados

Instale um plugin ou utilize um cronjob para
criar um banco de dados e backups dos seus arquivos todos os dias.
Isto pode não estar diretamente relacionado com segurança, mas no caso
de uma invasão ou algo do tipo, você irá ficar seguramente satisfeito de ter um backup.

Um dos plugins mais potentes para backup
é o WP-Backup, que tem a possibilidade de enviar
automaticamente os seus backups para a sua conta do Gmail, sem que você
se tenha de preocupar com isso.

Esconda seus diretórios

Por padrão, na grande maioria das hospedagens, o index dos diretórios aparece nos browsers de
internet. Isso tem um propósito, mas também significa que você revela o
conteúdo de qualquer diretório do seu blog que não contenha uma página index.html
ou index.php.

Modificar este comportamento é simples
com Apache, adicionando a seguinte linha de código ao arquivo .htaccess que
se encontra na raiz do seu servidor:

Options All -Indexes

Proteja os arquivos de administração do seu blog

Os arquivos de administração do
WordPress estão localizados no diretório wp-admin da sua
instalação WordPress, exceto o wp-config.php.

Você pode definir uma acesso restrito via .htaccess
ou especificar o acesso por endereço de IP a um diretório ou a arquivo específico. Se você utiliza um endereço de IP único e blogga sempre a partir do seu PC, esta poderá ser uma opção. Tome nota de que poderá estender o
acesso a uma gama de IPs. Você vai precisar criar e colocar um arquivo .htaccess no seu diretório wp-admin.

Exemplo:

Order Deny,Allow<br />Allow from ww.xx.yy.zz<br />Deny from all

Protegendo o diretório wp-admin com
user e password, você adiciona também um outro nível de segurança. O
Apache tem informação completa sobre autenticação, autorização e
controle de acessos.

Exemplo:

AuthType Basic<br />AuthName "WordPress Dashboard"<br />AuthUserFile /home/user/.htpasswds/blog/wp-admin/.htpasswd<br />Require user adminuser

e depois basta criar uma password
encriptada utilizando o comando htpasswd.

$ htpasswd -cm .htpasswd adminuser

O cPanel tem uma opção intitulada Web
Protect que permite executar precisamente estes passos.

Esconder a versão do seu WordPress

Esconder a versão do seu blog WordPress é
um processo relativamente simples. Para remover com segurança a menção à sua
versão WordPress, sugiro que utilize o seguinte truque, que é simples de executar. Abra o arquivo functions.php do
seu template e adicione apenas esta linha de código no fundo:

remove_action('wp_head','wp_generator');

Este código faz uso da
ação remove_action para remover a função wp_generator() que
imprime a versão do seu WordPress. Tendo em conta que essa função não é
executada, a versão WordPress não ficará disponível no seu código-fonte,
e nenhum potencial hacker saberá se o seu blog vale a pena ou não de
ser atacado.

Atá a próxima!