Baixado 18 vezes
Carregado porRudá Almeida
Como manter o WordPress seguro
O documento fornece orientações sobre como manter um site WordPress seguro, discutindo 6 tópicos principais: 1) atualização constante do WordPress e plugins, 2) segurança da hospedagem, 3) escolha cuidadosa de temas e plugins, 4) uso de senhas fortes e autenticação de dois fatores, 5) avaliação de riscos e vulnerabilidades, e 6) proteção contra malware. O documento enfatiza a importância da atualização e dá dicas práticas para cada uma das áreas.
![Melhorando o desempenho do seu WordPress [WordCamp São Paulo 2015]](https://cdn.slidesharecdn.com/ss_thumbnails/wordcampsaopaulo2015-151130144513-lva1-app6891-thumbnail.jpg?width=640&height=640&fit=bounds)
![[EXPOTEC 2016] Construção de sites e gestão de conteúdo com WordPress](https://cdn.slidesharecdn.com/ss_thumbnails/minicursowp-160226000405-thumbnail.jpg?width=640&height=640&fit=bounds)
Como manter o WordPress seguro
- 1. Como manter o WordPress seguro RudáAlmeida Universidade Federal do Rio de Janeiro Diretoria de Segurança da Informação e Gestão de TIC
- 2. Quem sou eu RudáAlmeida Integrante da Diretoria de Segurança da Informação e Governança de TI da UFRJ
- 3. Quem sou eu RudáAlmeida Entusiasta do WordPress e integrante da comunidade carioca de WordPress
- 4. Quem sou eu RudáAlmeida Já palestrei em Meetups e WordCamps. Ajudei a organizar eventos no Rio de Janeiro.
- 5. O que éWordPress?
- 6. ◎ Ferramenta deGestão de Conteúdo ◎ Plataforma de publicação ◎ Criado em 2003 ◎ Usado em blogs, sites de notícias, páginas institucionais, portfolio, e- commerce, plataforma de ensino, entre inúmeras aplicações. WordPress
- 7. ◎ É aferramenta mais popular do gênero ◎ Presente em 25% da web* ◎ Domina 59% do mercado* WordPress * entre os 10 milhões de sites mais visitados em novembro de 2015 (w3techs)
- 8. O preço dafama Quanto mais popular, mais visado Imagem: OpenClipartVectors
- 9. “ Basta de 30a 45 dias para que um site recém-criado, mesmo sem conteúdo ou audiência, passe a ser alvo de varreduras maliciosas frequentes. Tony Perez, sucuri.net (adaptado)
- 10. Não importa otamanho ou a natureza do seu site: se ele está na internet, é seguro assumir que ele está sendo alvo constante de ataques.
- 11. 10 a 20mil ataques por minuto
- 12. Hackers O que elesquerem Imagem: Freepik
- 13. O objetivo deum hacker é, na maioria dos casos, comprometer o seu site e usar os recursos computacionais do servidor para fins ilícitos.
- 14.
- 16. ◎ Inclusão emblacklists ◎ Perda de reputação ◎ Perda de recursos ◎ Perda de tempo e dinheiro ◎ Responsabilização por dano a terceiros Consequências
- 17.
- 18. 1. Uso doWordPress desatualizado 2. Brechas de segurança na hospedagem 3. Temas e plugins comprometidos 4. Autenticação Principais vulnerabilidades exploradas
- 19. Como se proteger Imagem: Freepik Combatendoas vulnerabilidades
- 20. 1.Atualização Não use versõesantigas! Imagem: Freepik
- 21. ◎ Ciclo delançamento freqüente. ◎ Equipe em tempo integral. ◎ Correções lançadas rapidamente. ◎ Long-term support Núcleo do WordPress
- 22. Nunca, jamais deixeo núcleo desatualizado
- 23. “ Mais de 73%dos sites* em WordPress estão usando versões desatualizadas e vulneráveis do core, contendo brechas de segurança conhecidas. Sandro Gauci, Enable Security (adaptado) * em julho de 2013, de uma amostra de 42 mil sites.
- 24. A partir daversão 3.7, lançada em outubro de 2013, o WordPress passou a receber atualizações automáticas para minor releases do seu núcleo.
- 25. Para forçar aatualização de mais componentes // Edite o arquivo wp-config.php // e adicione as seguintes linhas: // Para forçar atualização automática // para qualquer versão do núcleo define('WP_AUTO_UPDATE_CORE', true); // Para forçar atualização automática de plugins add_filter( 'auto_update_plugin', '__return_true' ); // Para forçar atualização automática de temas add_filter( 'auto_update_theme', '__return_true' );
- 26.
- 27. ◎ Usar versõesatuais dos serviços ◎ Garantir a integridade dos dados ◎ Detectar atividade de malware ◎ Oferecer isolamento entre os sites Sua hospedagem precisa:
- 28. ● Desative protocolosinseguros(SFTP ou SSH em vez de FTP) ● Dê a permissão correta para pastas e arquivos ● Desative a listagem de pastas e arquivos ● Use um prefixo aleatório nas tabelas no banco ● Mova o arquivo wp-config.php uma pasta acima ● Force o uso de SSL no acesso ao painel Alguns ajustes básicos:
- 29. ● Desative aedição de arquivos no painel, inserindo no arquivo wp-config.php a linha define('DISALLOW_FILE_EDIT',true); ● Restrinja acesso a wp-admin, wp-includes e wp-config.php ● Use uma senha forte para o usuário MySQL ● Desative acesso remoto e permissões desnecessárias no banco de dados ● Desative a execução de scripts nas pastas de upload
- 30.
- 31. ● Sempre atualizetemas e plugins ● Parou de sair atualização? Pare de usar! ● Não basta desativar, é preciso apagar ● Nunca, jamais use “fontes alternativas” ● Mantenha-se informado sobre vulnerabilidades
- 32. ● Se possível,analise o código ● Ofereça atualizações frequentes ● Seja desenvolvido por nomes confiáveis ● Baixe sempre do site oficial Como escolher um plugin
- 33. 4.Autenticação Não use senhasfracas! Imagem: Freepik
- 34. Desde a versão4.3, o WordPress força a adoção de senhas fortes
- 35. por 2 fatores Imagem:Freepik 4.Autenticação
- 36. “ Autenticação por doisfatores oferece identificação através da combinação de dois componentes diferentes: algo que o usuário sabe, possui ou lhe é inseparável. Wikipédia (adaptado)
- 37. Plugins para autenticaçãopor dois fatores
- 38.
- 39. ● Não useo username “admin” ● Para postar, use uma conta de autor. ● Não dê acesso de administrador a terceiros. ● Bloqueio de logins incorretos(iThemes Security, WordFence) ● Altere o endereço de login(iThemes Security) ● Remova o alerta no erro de login Alguns ajustes básicos:
- 40.
- 41. ● Acompanhe listasde vulnerabilidades (NVD, CVE e WPScan) ● Efetue code review de temas e plugins. ● Rastreie alterações em arquivos (WP Security Scan, Wordfence, iThemes Security) ● Execute varreduras preventivas ● Avalie os impactos de segurança Vulnerabilidades e riscos:
- 42.
- 43. 6.Malware O seu computadoré seguro? Imagem: Freepik
- 44. “ Nenhuma medida desegurança adotada, seja em relação ao WordPress ou ao servidor, fará a menor diferença se o seu computador estiver comprometido. Codex do WordPress (adaptado)
- 45. ● Atualize sempreseu sistema operacional. ● Use anti-vírus e anti-malware. ● Não salve a senha do WordPress. ● Use sempre o bom senso. Segurança começa em casa
- 46.
- 47. “ A única formade garantir a segurança de um site comprometido é restaurar um backup anterior ao incidente e corrigir as brechas que permitiram o ataque. Samuel “Otto” Wood, WordPress Core Contributor (adaptado)
- 48. Backup você tem um…certo? Imagem: OpenIcons
- 49. ● Incluir arquivose banco de dados ● Pode ser feito com plugins… ● … ou direto no servidor (ex: cron & rsync) Backups no WordPress: WordPress Backup WP-DB-Backup
- 50.
- 51.
- 52.
- 53.
- 54. ● http://codex.wordpress.org/Hardening_WordPress ● https://blog.sucuri.net/category/wordpress-security ●http://www.wpwhitesecurity.com/wordpress-security/ ● https://premium.wpmudev.org/blog/keeping- wordpress-secure-the-ultimate-guide/ ● https://blog.apiki.com/category/wordpressseguro/ ● https://rafaelfunchal.github.io/wordpress-security- checklist/br/items/ Para saber mais: