Ghid complet pentru protecția directorului wp-content

Ghid complet pentru protecția directorului wp-content. Protecția directorului wp-content este esențială pentru menținerea securității și integrității website-ului WordPress.

Prin combinarea mai multor metode puteți preveni exploatarea vulnerabilităților și asigura un mediu sigur pentru conținutul dvs.

Ce este directorul wp-content și de ce este important?

Directorul wp-content este unul dintre cele mai importante directoare din structura WordPress.

Acesta conține fișierele pentru teme, pluginuri și conținutul media (imagini, fișiere încărcate).

Deoarece stochează elemente esențiale pentru funcționarea website-ului, protejarea sa este crucială pentru securitate.

Riscurile asociate cu un wp-content neprotejat

• Accesul public la fișierele PHP din pluginuri și teme.
• Expunerea imaginilor, documentelor sau fișierelor media indexabile de către roboți nedoriți.
• Injecții de cod malițios în fișierele din directoare vulnerabile.
• Utilizarea de către atacatori a fișierelor pentru phishing sau spam.

Ghid complet pentru protecția directorului

1. Restricționarea listării fișierelor din wp-content

Pentru a preveni listarea conținutului folderelor în browser, adăugați următoarea linie în fișierul .htaccess aflat în interiorul directorului /wp-content:

Options -Indexes

2. Interzicerea executării fișierelor PHP în subdirectoare

Pentru a preveni rularea fișierelor PHP încărcate în directoarele uploads sau themes, creați un fișier .htaccess cu următorul conținut și plasați-l în directorul /wp-content/uploads:

<FilesMatch "\.php$">
  Order Deny,Allow
  Deny from all
</FilesMatch>

3. Adăugarea unui index.php gol în fiecare subdirector

O metodă simplă de a preveni listarea fișierelor este adăugarea unui fișier index.php gol în toate subdirectoarele /wp-content.

Astfel, dacă cineva accesează direct directorul, va primi o pagină albă.

4. Utilizarea permisiunilor corecte de fișiere

• Fișierele ar trebui să aibă permisiuni 644.
• Directoarele ar trebui să aibă permisiuni 755.
• Evitați permisiuni 777, deoarece oferă acces total tuturor utilizatorilor.

5. Limitarea accesului prin NGINX sau Apache

Dacă serverul folosește NGINX, puteți adăuga următoarele reguli în fișierul de configurare pentru a bloca fișierele PHP din /wp-content/uploads:

location ~* ^/wp-content/uploads/.*\.php$ {
    deny all;
}

În Apache, această restricție se realizează prin fișierul .htaccess, cum am menționat mai sus.

6. Monitorizarea și scanarea pentru fișiere suspecte

• Utilizați un plugin de securitate precum Wordfence sau Sucuri pentru a monitoriza modificările de fișiere.
• Configurați scanări programate pentru a detecta malware sau fișiere neautorizate.

7. Configurarea regulilor în firewall

Un firewall aplicativ (WAF) poate bloca cererile malițioase către fișiere din wp-content.

Configurați reguli personalizate pentru a limita tipurile de cereri permise către acest director.

8. Dezactivarea executării PHP prin pluginuri dedicate

Pluginuri precum All In One WP Security sau iThemes Security oferă opțiuni pentru a bloca executarea fișierelor PHP din directoarele sensibile, inclusiv wp-content/uploads.