Pokročilé bezpečnostné nastavenia WordPress cez súbor wp-config.php

Pokročilé bezpečnostné nastavenia WordPress cez súbor wp-config.php predstavujú konfigurácie na ochranu prístupu k databáze, posilnenie bezpečnostných kľúčov, vypnutie editácie súborov, bezpečnú správu debug výstupov, vynútenie SSL a obmedzenie kritických adresárových ciest. Stručne povedané, wp-config.php je jedným z bezpečnostných centier vašej WordPress stránky; so správnymi nastaveniami zmenšuje útočnú plochu, znižuje riziko neoprávneného prístupu a v prípade bezpečnostného incidentu obmedzuje rozsah škôd.

Väčšina majiteľov stránok, ktorí inštalujú WordPress, vníma súbor wp-config.php len ako technický súbor na zadanie názvu databázy, používateľského mena a hesla. Tento súbor je však kritickou súčasťou bezpečnostnej architektúry živej webovej stránky. Najmä pre e-shopy, členské systémy, firemné webové stránky a blogy s vysokou návštevnosťou poskytuje správne nakonfigurovaný súbor wp-config.php silnú obrannú vrstvu proti jednoduchým botovým útokom, manipulácii so súbormi cez administračné rozhranie, únikom chybových hlásení a pokusom o krádež relácií.

V tomto sprievodcovi pre blog Hostragons sa krok za krokom pozrieme na pokročilé bezpečnostné nastavenia, ktoré je možné aplikovať v súbore wp-config.php. Jednoducho, ale technicky presne vysvetlíme, na čo každé nastavenie slúži, v akých situáciách ho odporúčame použiť a na čo si dať pozor pred jeho aplikáciou. Ak ešte nemáte bezpečnú a aktuálnu hostingovú infraštruktúru, je dôležitý aj výber spoľahlivého WordPress hostingu spolu s vytvrdením wp-config.php. V tejto súvislosti môžu byť relevantné stránky WordPress hostingové balíky a bezpečné webhostingové riešenia.

Čo je súbor wp-config.php a prečo je kritický pre bezpečnosť?

wp-config.php je konfiguračný súbor umiestnený v koreňovom adresári WordPressu, ktorý obsahuje základné prevádzkové parametre stránky. WordPress sa cez tento súbor pripája k databáze, načítava bezpečnostné kľúče, určuje správanie pri ladení chýb, riadi operácie súborového systému a spúšťa niektoré pokročilé konštanty. Preto je obsah tohto súboru oveľa citlivejší ako bežný súbor šablóny.

Tento súbor zvyčajne obsahuje nasledujúce kritické informácie:

• Názov databázy, používateľské meno, heslo a informácie o serveri
• Bezpečnostné kľúče relácií známe ako Authentication Unique Keys a Salts
• Predpona databázových tabuliek
• Nastavenia ladenia a logovania
• Konštanty riadiace editáciu súborov, aktualizácie a správanie SSL
• Prevádzkové nastavenia ako limit pamäte WordPress a adresár dočasných súborov

Ak útočník získa prístup k obsahu wp-config.php, môže sa zmocniť prihlasovacích údajov k databáze. V takom prípade nie je ohrozený len administračný panel WordPress, ale aj používateľské účty v databáze, záznamy objednávok, formuláre, obsah a súkromné údaje zákazníkov. Preto je ochrana súboru wp-config.php jedným zo základných krokov bezpečnosti WordPressu.

Pred začatím: Plán zálohovania, testovania a prístupu

Aj malá chyba v zápise v súbore wp-config.php môže spôsobiť bielu obrazovku smrti, prerušenie pripojenia k databáze alebo stratu prístupu do administračného panela. Preto pred vykonaním zmien implementujte trojfázový bezpečnostný plán.

1. Vytvorte úplnú zálohu

Najprv si vytvorte zálohu súborov a databázy. Nestačí si stiahnuť iba súbor wp-config.php do počítača; keďže vykonaná zmena môže ovplyvniť pripojenie k databáze, je dôležitá aj záloha databázy. Ak má váš ovládací panel funkciu automatického zálohovania, skontrolujte dátum poslednej zálohy. V prípade potreby vytvorte manuálnu zálohu. V tejto oblasti vám môže pomôcť obsah sprievodca zálohovaním webových stránok.

2. Aplikujte zmeny jednu po druhej

Namiesto pridávania 8 alebo 10 bezpečnostných nastavení naraz testujte stránku, administračný panel a kritické formuláre po každej zmene. Napríklad najprv vypnite editáciu súborov a potom skontrolujte stránku. Potom nakonfigurujte nastavenie ladenia. Táto metóda vám umožní rýchlo zistiť, ktorý riadok spôsobil problém, ak sa vyskytne chyba.

3. Majte pripravený FTP prístup alebo prístup k správcovi súborov

Ak sa wp-config.php uloží s chybou, možno sa nebudete môcť prihlásiť do administračného panela WordPress. Preto sa uistite, že máte funkčný prístup cez správcu súborov v cPanel, SFTP alebo bezpečný prenos súborov. Používanie SFTP je bezpečnejšie ako FTP, pretože pripojenie je šifrované. Pre bezpečný prístup môže byť užitočný sprievodca s názvom čo je SFTP a ako ho používať.

Súhrn bezpečnostných nastavení wp-config.php

Nasledujúca tabuľka prakticky sumarizuje základné a pokročilé bezpečnostné nastavenia opísané v tomto sprievodcovi. Pred aplikáciou na živej stránke vyhodnoťte každý riadok podľa potrieb vašej stránky.

Posilnite bezpečnostné kľúče a hodnoty Salt

Bezpečnosť relácií WordPress je podporovaná kľúčmi AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY a ich salt ekvivalentmi v súbore wp-config.php. Tieto kľúče zvyšujú bezpečnosť používateľských cookies a procesov overovania relácií. Ak sú kľúče slabé, predvolené alebo dlho nezmenené, bezpečnosť relácií môže byť oslabená.

Odporúčaným postupom je generovať nové a náhodné kľúče pomocou oficiálneho generátora tajných kľúčov WordPress. Tieto kľúče sú zvyčajne dlhšie ako 64 znakov, obsahujú náhodné symboly a ich uhádnutie je prakticky nemožné. Nové kľúče jednoducho nahradia existujúce riadky v súbore wp-config.php.

Účinok tejto operácie je jasný: Všetky aktívne používateľské relácie sa ukončia a používatelia sa musia znova prihlásiť. Ak máte podozrenie, že došlo k napadnutiu administrátorského účtu, obnovenie hodnôt salt je rýchlym núdzovým krokom. Obnovovanie týchto kľúčov každých 6 mesiacov alebo pri podozrení na narušenie bezpečnosti je dobrou prevádzkovou praxou.

Vypnite úpravu súborov cez administračný panel

Administračný panel WordPress obsahuje editor, ktorý umožňuje úpravu súborov tém a pluginov. Hoci sa táto funkcia zdá byť počas vývoja praktická, na živých stránkach predstavuje vážne riziko. Ak útočník získa prístup k administrátorskému účtu, môže cez editor súborov v paneli pridať škodlivý PHP kód.

Pridaním nasledujúcej konštanty do súboru wp-config.php môžete vypnúť úpravu súborov z panela: define('DISALLOW_FILE_EDIT', true);

Toto nastavenie deaktivuje editor súborov tém a pluginov v administračnom paneli WordPress. Odporúčame ho predvolene aktivovať pre blogy s každodenným publikovaním, firemné stránky a WooCommerce obchody. Ak sú potrebné zmeny súborov, mali by sa vykonávať cez SFTP, Git alebo bezpečné procesy nasadzovania.

Ako pokročilejšiu možnosť je možné použiť konštantu DISALLOW_FILE_MODS, ktorá obmedzuje aj operácie nahrávania a aktualizácie súborov. Toto nastavenie však môže blokovať aj aktualizácie pluginov a tém, preto by sa malo uprednostniť len vo veľmi citlivých systémoch, kde by sa mimo okna údržby nemali vykonávať žiadne zmeny.

Prispôsobte nastavenia ladenia pre živú stránku

Vo vývojovom prostredí WordPress je užitočné zapnúť WP_DEBUG; vidíte chyby, nájdete nekompatibilné pluginy a diagnostikujete problémy so šablónou. Na živej stránke však chybové hlásenia zobrazené na obrazovke môžu obsahovať informácie využiteľné pre útočníka, ako je cesta k serveru, názov pluginu, umiestnenie súboru, náznaky databázových dotazov a verzia PHP.

Bezpečný prístup v živom prostredí je založený na tejto logike: Nezobrazuj chyby návštevníkovi, v prípade potreby ich zapisuj do špeciálneho log súboru. Na tento účel by malo byť WP_DEBUG nastavené na false; ak je počas vývojovej fázy potrebné logovanie, malo by sa použiť WP_DEBUG_LOG true a WP_DEBUG_DISPLAY false. Príklad logiky je nasledovný: define('WP_DEBUG', false); define('WP_DEBUG_DISPLAY', false);

Ak potrebujete preskúmať chybu, zapnite logovanie na krátky čas, vyriešte problém a znova ho vypnite. Tiež sa uistite, že log súbor nie je prístupný z verejne dostupného adresára. Súbor debug.log sa totiž niekedy môže vytvoriť v umiestneniach blízko koreňového adresára stránky a na nesprávne nakonfigurovaných serveroch môže byť čitateľný zvonku. Na zníženie takýchto rizík je kritická správna konfigurácia hostingu. Ako spravovať záznamy chýb WordPress a bezpečný WordPress hosting sú v tomto bode prirodzeným pokračovaním obsahu.

Vynúťte SSL a bezpečnosť administračného panela

SSL certifikát šifruje prevádzku medzi používateľom a serverom. Keďže prihlásenie do administračného panela WordPress prebieha pomocou používateľského mena a hesla, je nevyhnutné, aby administrátorská prevádzka prebiehala cez HTTPS. Toto nastavenie je ešte dôležitejšie pre tímy, ktoré pristupujú k administračnému panelu zo zdieľaných sietí, mimo kancelárie alebo z mobilných pripojení.

V súbore wp-config.php je možné vynútiť SSL v administračnom paneli pomocou konštanty FORCE_SSL_ADMIN: define('FORCE_SSL_ADMIN', true);

Aby toto nastavenie správne fungovalo, musí byť na vašej doméne nainštalovaný platný SSL certifikát. Ak ešte SSL nepoužívate, najprv dokončite inštaláciu certifikátu. SSL je základnou požiadavkou nielen pre bezpečnosť, ale aj pre dôveru používateľov a SEO. Pre možnosti SSL cez Hostragons si môžete pozrieť stránku produkty SSL certifikátov a pre správu domén stránku vyhľadávanie a registrácia domén.

Ak po vynútení SSL dôjde k chybe nekonečného presmerovania, zvyčajne nie je správne detegovaná konfigurácia proxy, CDN alebo load balancera. V takom prípade je potrebné skontrolovať HTTPS hlavičky na strane servera a nastavenia adresy stránky WordPress.

Spravujte bezpečnejšie informácie o databáze a predponu tabuliek

Hodnoty DB_NAME, DB_USER, DB_PASSWORD a DB_HOST v súbore wp-config.php umožňujú WordPressu pripojiť sa k databáze. Tieto informácie musia byť silné a s obmedzenými oprávneniami. Jednou z najčastejších chýb je udelenie nadmerných oprávnení databázovému používateľovi.

Pre živú WordPress stránku sa odporúča, aby mal databázový používateľ iba potrebné oprávnenia. Zvyčajne postačujú oprávnenia ako SELECT, INSERT, UPDATE, DELETE, CREATE, ALTER a INDEX. Používanie široko oprávnených používateľov s prístupom ku všetkým databázam v konfigurácii WordPress na úrovni správy servera je riskantné.

Správny prístup k predpone tabuliek

Predvolená predpona tabuliek WordPress je wp_. Pri nových inštaláciách jej zmena na inú a náhodnú hodnotu sťažuje prácu automatickým útočným nástrojom. Napríklad namiesto wp_ je možné zvoliť krátku, ale ťažko uhádnuteľnú predponu ako hr7x_. Avšak zmena predpony tabuliek na existujúcej stránke nekončí len zmenou hodnoty table_prefix v súbore wp-config.php; musia sa aktualizovať aj názvy tabuliek v databáze a niektoré záznamy usermeta.

Preto, ak sa chystáte zmeniť predponu tabuliek na existujúcej živej stránke, najprv si vytvorte úplnú zálohu, otestujte operáciu podľa možnosti v testovacom (staging) prostredí a potom ju preneste na živú stránku. Pri nových inštaláciách je bezpečnejšie a menej rizikové použiť odlišnú predponu hneď od začiatku.

Možnosť presunutia súboru wp-config.php mimo koreňový adresár

WordPress dokáže v niektorých serverových konfiguráciách čítať súbor wp-config.php aj o úroveň vyššie, ako je koreňový adresár. Napríklad, ak sú súbory WordPress umiestnené v public_html, súbor wp-config.php je možné presunúť do nadradeného adresára mimo public_html. Táto metóda znižuje riziko priameho prístupu cez web.

Tento postup však nemusí fungovať rovnako v každom hostingovom prostredí. Na zdieľaných hostingoch nemusí byť možné presunúť súbor do nadradeného adresára kvôli oprávneniam adresárov, štruktúre ovládacieho panela alebo bezpečnostným politikám. Okrem toho osoby vykonávajúce údržbu musia poznať umiestnenie súboru; inak sa proces ladenia v budúcnosti predĺži.

Pred aplikovaním tejto metódy skontrolujte súborovú štruktúru vášho poskytovateľa hostingu. Ak používate spravovaný WordPress hosting, zistite si od tímu podpory odporúčanú adresárovú štruktúru. Pre správu správnych adresárov a oprávnení v infraštruktúre Hostragons môže byť podporným obsahom sprievodca ovládacím panelom hostingu.

Sprísnite oprávnenia súborov a práva na zápis

Bezpečnosť wp-config.php nesúvisí len s konštantami v ňom, ale aj s oprávneniami súboru na úrovni operačného systému. Všeobecným odporúčaním je, aby súbor wp-config.php nebol zapisovateľný pre všetkých. Vo väčšine hostingových prostredí založených na Linuxe je možné súborové oprávnenia nakonfigurovať na obmedzenejšie hodnoty, ako sú 400, 440 alebo 600. Ktorá hodnota bude fungovať, závisí od používateľa servera a modelu spúšťania PHP.

Praktický prístup je nasledovný: Súbor by mal byť uchovávaný s najnižšími oprávneniami, ktoré nenarušia chod stránky. Nastavenia ako 777, ktoré umožňujú zápis komukoľvek, by sa rozhodne nemali používať. 644 predvolene funguje v niektorých prostrediach, ale v citlivejších inštaláciách možno uprednostniť 600 alebo 440. Po zmene by sa malo otestovať načítanie stránky, administračný panel a obrazovky aktualizácie pluginov.

Okrem toho je dôležité zablokovať prístup k súboru wp-config.php na úrovni webového servera. V moderných hostingových infraštruktúrach sa PHP súbory nezobrazujú priamo ako zdroj; na nesprávne nakonfigurovaných serveroch však môže vzniknúť riziko. Preto je spoľahlivá hostingová infraštruktúra rovnako dôležitá ako oprávnenia súborov.

Spravujte automatické aktualizácie so zameraním na bezpečnosť

Jadro WordPressu, pluginy a témy pravidelne dostávajú bezpečnostné aktualizácie. Cez wp-config.php môžete do určitej miery riadiť správanie automatických aktualizácií. Z bezpečnostného hľadiska sa vo všeobecnosti odporúča, aby sa automaticky vykonávali aktualizácie menších verzií. Tieto aktualizácie sú väčšinou zamerané na bezpečnosť a opravu chýb.

Napríklad ponechanie zapnutých automatických menších aktualizácií jadra WordPress znižuje oneskorenie pri známych zraniteľnostiach. Prechody na hlavné verzie si však môžu vyžadovať testovanie z hľadiska kompatibility tém a pluginov. Preto je pre firemné stránky najzdravšou metódou nechať zapnuté automatické bezpečnostné záplaty a hlavné aktualizácie nasadzovať na živú stránku až po otestovaní v testovacom prostredí.

V stratégii aktualizácií môžete použiť tri základné pravidlá: Najprv záloha, potom test, nakoniec aplikácia na živú stránku. Toto jednoduché poradie vytvára správnu rovnováhu medzi bezpečnosťou a kontinuitou.

Majte pod kontrolou limit pamäte PHP a spotrebu zdrojov

V súbore wp-config.php je možné pomocou hodnôt WP_MEMORY_LIMIT a WP_MAX_MEMORY_LIMIT definovať množstvo pamäte, ktoré môže WordPress používať. Hoci sa tieto nastavenia nezdajú byť priamym bezpečnostným nastavením, sú dôležité pri útokoch na vyčerpanie zdrojov, chybných pluginoch a intenzívnych administrátorských operáciách.

Napríklad pre malý blog často postačuje 128M, zatiaľ čo pre WooCommerce obchody alebo viacjazyčné stránky môže byť potrebných 256M. Avšak zbytočné prílišné zvyšovanie limitu pamäte môže spôsobiť, že chybný plugin spotrebuje viac zdrojov a zníži výkon servera. Správna hodnota by sa mala vyhodnotiť spolu s návštevnosťou stránky, počtom pluginov a zdrojmi hostingového balíka.

Ak často dostávate chyby pamäte, namiesto iba zvyšovania limitu preskúmajte zdroj problému. Príčinou môžu byť ťažké pluginy, neoptimalizované dotazy, stará verzia PHP alebo nedostatočný hostingový balík. Výkon a bezpečnosť by sa mali riešiť spoločne. V tejto súvislosti ponúkajú obsahy optimalizácia výkonu WordPress a vysokovýkonné hostingové balíky prirodzenú príležitosť na prepojenie.

Udržujte adresár dočasných súborov a správanie pri nahrávaní v bezpečí

V niektorých hostingových prostrediach WordPress ukladá dočasné súbory do predvolených systémových adresárov. To je normálne; avšak nesprávne nastavené oprávnenia zdieľaných adresárov môžu predstavovať bezpečnostné riziko. Definovaním WP_TEMP_DIR v súbore wp-config.php je možné určiť adresár, ktorý bude WordPress používať pre dočasné súbory.

Ak sa chystáte použiť túto metódu, uistite sa, že adresár je uzavretý pre verejný prístup, s kontrolovaným oprávnením na zápis a prístupný iba používateľovi príslušnej stránky. Dočasné adresáre sa aktívne používajú najmä pri procesoch nahrávania súborov, spracovania médií a aktualizácie pluginov. Nesprávne nakonfigurovaný dočasný adresár môže spôsobiť chyby pri nahrávaní alebo riziko úniku súborov.

Doména cookies a bezpečnosť multisiete

Pri projektoch využívajúcich WordPress multisieť, subdomény alebo štruktúru podadresárov sa hodnoty domény cookies a URL stránky stávajú citlivejšími. Nesprávna definícia domény cookies môže viesť k tomu, že relácie budú platné na neočakávaných subdoménach alebo k prihlasovacím slučkám. Z bezpečnostného hľadiska by mal byť rozsah cookies pre každú architektúru stránky obmedzený na minimálnu potrebnú doménu.

Napríklad v štruktúrach ako admin.priklad.sk, shop.priklad.sk a blog.priklad.sk by sa malo vedome rozhodnúť, či budú cookies platné na všetkých subdoménach alebo len na konkrétnej doméne. Zbytočne široký rozsah cookies môže zvýšiť pravdepodobnosť, že zraniteľnosť na jednej subdoméne ovplyvní relácie na iných doménach.

Ak používate multisieť, vyhodnoťte spoločne konštanty multisiete v súbore wp-config.php, nastavenia mapovania domén a konfiguráciu SSL. Pri takýchto projektoch je dôležité aj plánovanie domén a SSL. Tu môžu byť relevantné odkazy správa viacerých domén a wildcard SSL certifikát.

Použiteľný bezpečnostný kontrolný zoznam pre wp-config.php

Nasledujúci zoznam môžete pravidelne kontrolovať na vašej živej WordPress stránke. Je dobrým zvykom prejsť si tento zoznam najmä po inštalácii nových pluginov, zmenách tém, presune servera a podozrivých pokusoch o prihlásenie.

• Je aktuálna záloha súboru wp-config.php uložená na bezpečnom mieste?
• Sú bezpečnostné kľúče a hodnoty salt jedinečné a náhodné?
• Je DISALLOW_FILE_EDIT aktívny?
• Je WP_DEBUG na živej stránke vypnutý alebo v režime bezpečného logovania?
• Funguje administračný panel povinne cez HTTPS?
• Nemá databázový používateľ zbytočné oprávnenia?
• Je pri nových inštaláciách predpona tabuliek iná ako predvolená wp_?
• Neobsahujú oprávnenia súborov nebezpečné hodnoty ako 777?
• Sú automatické bezpečnostné aktualizácie kontrolovane zapnuté?
• Je na hostingovom účte správne nakonfigurované SFTP, zálohovanie a SSL?

Časté chyby a spôsoby, ako sa im vyhnúť

Najčastejšou chybou v súvislosti s wp-config.php je pridávanie útržkov kódu nájdených na internete bez pochopenia ich funkcie. Každá WordPress stránka nemá rovnakú štruktúru servera, tému, pluginy a návštevnosť. Preto nastavenie, ktoré bez problémov funguje na jednej stránke, môže na inej spôsobiť problém s reláciou alebo chybu aktualizácie.

Druhou častou chybou je ponechanie zapnutého debug výstupu na živej stránke. Táto situácia jednak zhoršuje používateľský zážitok a jednak vedie k úniku technických informácií. Treťou chybou je ponechanie zálohy súboru wp-config.php v koreňovom webovom adresári pod názvami ako wp-config-backup.php, wp-config-old.php. Tieto súbory môžu byť pri nesprávnom nastavení servera stiahnuté ako obyčajný text. Zálohy by sa mali uchovávať v oblasti bez webového prístupu.

Štvrtou chybou je zmena oprávnení súborov na 777 na vyriešenie problému a ich následné nevrátenie do pôvodného stavu. Hoci sa to krátkodobo javí ako riešenie problému, z bezpečnostného hľadiska je to veľmi nebezpečné. Piatou chybou je aktivácia FORCE_SSL_ADMIN bez nainštalovaného SSL; táto situácia môže spôsobiť problémy s prístupom do administračného panela.

Ako vybudovať profesionálnu bezpečnostnú vrstvu WordPress?

Vytvrdenie wp-config.php je dôležitým krokom, ale samo o sebe neposkytuje úplnú bezpečnosť. Profesionálny bezpečnostný prístup by mal byť viacvrstvový. Silná izolácia hostingu, aktuálna verzia PHP, firewall webových aplikácií, spoľahlivé SSL, pravidelné zálohovanie, obmedzený počet administrátorských účtov, dvojfaktorová autentifikácia a sledovanie logov by sa mali zvažovať spoločne.

Napríklad, keď sa útočník pokúsi zneužiť zraniteľnosť pluginu, vrstva WAF môže požiadavku zablokovať. Ak dôjde k prezradeniu používateľského hesla, nastupuje dvojfaktorové overenie. Ak dôjde k zmene súboru, vykoná sa rýchla obnova zo zálohy. Súbor wp-config.php je v tomto reťazci kritickým bodom konfigurácie a obmedzenia.

Ak zakladáte novú WordPress stránku, postupujte od začiatku s dôrazom na bezpečnosť: naplánujte si silnú doménu a SSL, vyberte si bezpečný hosting, zmeňte predvolenú predponu tabuliek, vygenerujte jedinečné salt kľúče, vypnite úpravu súborov v paneli a aktivujte pravidelné zálohy. Tieto základné kroky zabránia mnohým problémom, ktoré by mohli v budúcnosti nastať, skôr než vôbec začnú.

Záver: Malé nastavenia, veľký vplyv na bezpečnosť

Pokročilé bezpečnostné nastavenia, ktoré je možné vykonať pomocou súboru WordPress wp-config.php, ponúkajú praktické a účinné opatrenia na zníženie útočnej plochy vašej stránky. Obnovenie salt kľúčov, vypnutie úpravy súborov, skrytie debug výstupu, vynútenie SSL, obmedzenie databázových oprávnení a sprísnenie oprávnení súborov sú krokmi, ktoré prinášajú vysoký úžitok pre väčšinu WordPress stránok.

Pri aplikovaní týchto nastavení sa neponáhľajte: vytvorte zálohu, vykonávajte zmeny jednu po druhej a každý krok otestujte. Bezpečná konfigurácia v kombinácii so správnou hostingovou infraštruktúrou a pravidelnou údržbou robí vašu WordPress stránku oveľa odolnejšou. Ak plánujete bezpečnejšiu a udržateľnejšiu infraštruktúru, môžete preskúmať WordPress hosting, SSL certifikát a registrácia domén riešenia od Hostragons a určiť si východiskový bod vhodný pre vaše potreby.

Často kladené otázky

Je úprava súboru wp-config.php bezpečná?

Áno, je to bezpečné, ak si správne vytvoríte zálohu a zmeny aplikujete kontrolovane. Avšak jediná chyba v zápise môže ovplyvniť prístup na stránku. Preto si najprv vytvorte zálohu súborov a databázy a potom aplikujte nastavenia jedno po druhom s testovaním.

Čo sa stane, ak zmením salt kľúče v súbore wp-config.php?

Všetky aktívne používateľské relácie sa ukončia a používatelia sa musia znova prihlásiť. Táto operácia nevymaže obsah ani nepoškodí databázu. Je to rýchle opatrenie odporúčané najmä po podozrivom prihlásení, riziku administrátorského účtu alebo narušení bezpečnosti.

Malo by byť WP_DEBUG zapnuté na živej WordPress stránke?

Nie. Ak je WP_DEBUG zapnuté na živej stránke, chybové hlásenia môžu návštevníkom prezradiť technické informácie. Bezpečným prístupom je nezobrazovať chyby na obrazovke a používať kontrolované logovanie len na krátkodobé potreby.

Bráni DISALLOW_FILE_EDIT aktualizáciám pluginov a tém?

Nie, DISALLOW_FILE_EDIT iba vypína editor súborov v administračnom paneli. Aktualizácie pluginov a tém pokračujú normálne. Na vypnutie aj aktualizácií sú potrebné iné a reštriktívnejšie nastavenia.

Ako by malo byť nastavené oprávnenie súboru wp-config.php?

Hoci sa to líši podľa konfigurácie servera, cieľom je uchovávať súbor s najnižšími oprávneniami, ktoré nenarušia funkčnosť. 777 by sa rozhodne nemalo používať. Vo väčšine prostredí môže fungovať 600, 440 alebo 644; po zmene by sa mala stránka a panel otestovať.