Sicurezza & WordPress: una check-list per principianti.

WordPress Meetup Brindisi !1
Sicurezza & WordPress
Una check-list per principianti per aumentare
il livello di sicurezza di un blog/sito in
WordPress.

Chi sono
Giuliano Turturici (Growler)
@TweetGiuliano
www.giulianogrowler.it

sucuri.net

WordPress Statistics
(marzo 2018)
75 milioni di siti
30% della totalità dei siti
70% dei siti con CMS

Quando un sito è sicuro?

MAI!

Esistono livelli di sicurezza
1 2 3 4 5

Qual è il migliore?

Sicurezza: Costo,Tempo,Studio.Costo-Tempo-Studio
Livello di sicurezza
1 2 3 4 5

Esistono livelli attacchi
1 2 3 4 5

1. numero di utenti iscritti al sito
2. numero di pagine complessive del sito
3. numero di visite del sito
4. posizionamento nelle SERP
5. celebrità/notorietà del sito/proprietario
Cosa rende appetibile un sito?

Sicurezza Vs UsabilitàUsabilitàdelsito
Livello di sicurezza
1 2 3 4 5

Sicurezza Vs Usabilità
esempio back-end:
Autenticazione a due fattori (SMS)

Sicurezza Vs Usabilità
esempio front-end:
Captcha

Prima di WordPress…

Sicurezza del nostro dispositivo


Sicurezza del server



Sicurezza della connessione dispositivo/server



Sicurezza della connessione dispositivo/server

Ingegneria sociale

Vale la legge di Pareto
Esiste un 20% di fattori che ci permette di ottenere l’ 80% del risultato


1. SCELTE


1. SCELTE

2. BUONE ABITUDINI


1. SCELTE

2. BUONE ABITUDINI

3. ROBA PER SMANETTONI

LE SCELTE

LE SCELTE
La scelta dell’Hosting

LE SCELTE

La scelta del Tema

LE SCELTE

La scelta del Tema

La scelta dei Plugin

Check-list

#1
Backup

Manuale - Plugin - Hosting

#2
Aggiornamenti

#2
WordPress SEMPRE aggiornato

Mai toccare il core!

#2
Tema SEMPRE aggiornato

Creare sempre un child theme!

#2
Plugin SEMPRE aggiornati

Mai modiﬁcare il core dei plugin!

#3
Eliminare SEMPRE i temi non utilizzati

Eliminare SEMPRE i plugin non utilizzati

#4
Non testare temi e plugin sul sito in produzione!

#5
Utilizzare un certiﬁcato SSL

https://…

(Let’s Encrypt è gratuito…!)

#6
Forzare la connessione ssl

nel ﬁle .htaccess
da cPanel
da Plugin

#6
Forzare la connessione ssl

http://www.miosito.it

http://miosito.it

https://miosito.it

https://www.miosito.it

#6
RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://www.miosito.it/$1 [R=301,L]

#7
Utilizzare una connessione

sftp/SSH

#8
Security Key
• define( 'AUTH_KEY', 't`DK%X:>xy|e-Z(BXb/f(Ur`8#~UzUQG-^_Cs_GHs5U-&Wb?pgn^p8(2@}IcnCa|' );
• define( 'SECURE_AUTH_KEY', 'D&ovlU#|CvJ##uNq}bel+^MFtT&.b9{UvR]g%ixsXhGlRJ7q!h}XWdEC[BOKXssj' );
• define( 'LOGGED_IN_KEY', 'MGKi8Br(&{H*~&0s;{k0<S(O:+f#WM+q|npJ-+P;RDKT:~jrmgj#/-,[hOBk!ry^' );
• define( 'NONCE_KEY', 'FIsAsXJKL5ZlQo)iD-pt??eUbdc{_Cn<4!d~yqz))&B D?AwK%)+)F2aNwI|siOe' );
• define( 'AUTH_SALT', '7T-!^i!0,w)L#JK@pc2{8XE[DenYI^BVf{L:jvF,hf}zBf883td6D;Vcy8,S)-&G' );
• define( 'SECURE_AUTH_SALT', 'I6`V|mDZq21-J|ihb u^q0F }F_NUcy`l,=obGtq*p#Ybe4a31R,r=|n#=]@]c #' );
• define( 'LOGGED_IN_SALT', 'w<$4c$Hmd%/*]`Oom>(hdXW|0M=X={we6;Mpvtg+V.o<$|#_}qG(GaVDEsn,~*4i' );
• define( 'NONCE_SALT', 'a|#h{c5|P &xWs4IZ20c2&%4!c(/uG}W:mAvy<I44`jAbup]t=]V<`}.py(wTP%%' );

#9
Personalizzare il prefisso delle tabelle del database
wp_ wp45635_

#10
PASSWORD
Password di almeno 10/12 caratteri casuali!

#10
PASSWORD OTTIME
DTI5Wg8%CzUZ
hLPh3Z$4FaiR
UkzYx478x&Kg
12 caratteri casuali
PASSWORD BUONE
I5Wg8%CzUZ
Ph3Z$4FaiR
zYx478x&Kg
10 caratteri casuali

#10
NON SONO PASSWORD!
Gloria77 delpiero2010 password 123456 iloveyou
admin starwars batman formula1 lupin3
ginevra2013 giovanni1982 matrix90 abcdefg
Non usare MAI!

#10
Ingegneria sociale
Passioni-Lavoro-Abitudini-Interessi-Libri-Viaggi-
Sport-Fede sportiva-Posti frequentati-Figli-
Preferenze-Animali domestici-Politica-Religione-
Gruppi-Associazioni

#11
Creare subito un altro utente come
AMMINISTRATORE, fare il login con il nuovo account
ed eliminare il primo con ID=1
(oppure assegnargli un ruolo base)

#12
Creare subito un altro utente come AUTORE ed
utilizzare questo come autore degli articoli
(L’amministratore NON deve avere articoli
pubblicati!)

#13
Completare i campi dei profili utente Autore e
Amministratore con il Nome, Cognome e
Nickname e scegliere come nome da visualizzare
qualsiasi cosa diversa dal nome utente!

#14
Eliminare dal database il nome utente dai
permalink sia dell’ AMMINISTRATORE che
dell’AUTORE generati in automatico da WordPress.

#15
Se si tratta di un blog mono-autore disabilitare
l’archivio autore ed il link nella sezione entry-header
(meglio anche per la SEO)

#16
Disabilitare l’enumerazione degli ID autore nel file
.htaccess

#16
www.miosito.it/?author=1
+
invio

#16
www.miosito.it/author/nomeutente

#16
<IfModule mod_rewrite.c>
RewriteCond %{QUERY_STRING} ^author=([0-9]*)
RewriteRule .* https://www.miosito.it/?
[L,R=301]
</IfModule>

#17
Utilizzare una pw per la directory /wp-admin/

#18
Spostare/nascondere la pagina /wp-login.php
(Plugin gratuiti sul repository di WordPress)

#19
Limitare il numero di tentativi di accesso
(Plugin gratuiti sul repository di WordPress)

#20
Abilitare solo 1 indirizzo IP per /wp-login.php
<Files wp-login.php>
order deny, allow
Deny from all
Allow from XX.XXX.XXX.XXX
</Files>

#21
Spostare il file /wp-config.php

#22
Rinominare la directory /wp-content/
define ('WP_CONTENT_FOLDERNAME', 'content');
define ('WP_CONTENT_DIR', ABSPATH . WP_CONTENT_FOLDERNAME);
define ('WP_SITEURL', ‘http://miosito.it/');
define ('WP_CONTENT_URL', WP_SITEURL . WP_CONTENT_FOLDERNAME);

#23
Rinominare la directory /uploads/
define( ’UPLOADS’, ’wp-content/paperino’ );

#24
Abilitare solo i formati necessari in /uploads/
Order Allow, Deny
Deny from all
<file “.(jpg|jpeg|pdf|png|gif)$”>
Allow from all
<Files>

#25
Spostare la directory dei /plugins/
define( ’WP_PLUGIN_DIR’, dirname(__FILE__).’/blog/wp-content/plugins’ );
define( ’WP_PLUGIN_URL’, ’http://example/blog/wp-content/plugins’ );

#26
Impedire l’accesso ad alcuni file
readme.html
license.txt
wp-config-sample.php
wp-config.php
xmlrpc.php

#26
Impedire l’accesso ad alcuni file
<files xmlrpc.html>
Order Allow, Deny
Deny from all
<files>

GRAZIE!

Sicurezza & WordPress: una check-list per principianti.

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Sicurezza & WordPress: una check-list per principianti.

Semelhante a Sicurezza & WordPress: una check-list per principianti. (20)

Sicurezza & WordPress: una check-list per principianti.