רשימת חיזוק לוורדפרס עם תיקונים להעתקה

1. שמרו על הכול מעודכן

הפעילו עדכונים אוטומטיים לתוספים ולתבניות (תוספים ← הפעלת עדכונים אוטומטיים). הסירו את מה שאתם לא משתמשים בו: גם תוספים מושבתים יכולים להיות מנוצלים.

2. בטלו את עורך הקבצים המובנה

הוסיפו ל-wp-config.php, מעל השורה /* That’s all, stop editing! */:

define( 'DISALLOW_FILE_EDIT', true );

3. חסמו את XML-RPC (אם אתם לא משתמשים בו)

Jetpack וחלק מהאפליקציות לנייד משתמשים ב-XML-RPC. אם אתם לא, חסמו אותו בשרת:

<Files "xmlrpc.php">
  Require all denied
</Files>

location = /xmlrpc.php { deny all; }

4. הפסיקו לחשוף שמות משתמש

הסתירו את רשימת המשתמשים של ה-REST API ממבקרים לא מחוברים (כתוסף must-use ב-wp-content/mu-plugins/):

<?php
add_filter( 'rest_endpoints', function ( $endpoints ) {
    if ( ! is_user_logged_in() ) {
        unset( $endpoints['/wp/v2/users'], $endpoints['/wp/v2/users/(?P<id>[\d]+)'] );
    }
    return $endpoints;
} );

בדקו גם שארכיוני הכותבים (/?author=1) לא חושפים שמות התחברות. הגדירו לכל משתמש „שם לתצוגה ציבורית” ששונה משם ההתחברות.

5. בלי PHP בתיקיית ההעלאות

תיקיית ההעלאות צריכה להכיל רק מדיה. שימו את זה ב-wp-content/uploads/.htaccess:

<FilesMatch "\.(php|phtml|phar)$">
  Require all denied
</FilesMatch>

location ~* ^/wp-content/uploads/.*\.(php|phtml|phar)$ { deny all; }

6. הגנו על wp-config.php ועל ההתחברות

• הגדירו את wp-config.php כך שרק הבעלים יוכל לקרוא אותו (הרשאות 600 או 640, תלוי בחברת האחסון).
• לעולם אל תשאירו עותקים wp-config.php.bak, ‏.old או .zip בתיקיית האתר.
• השתמשו באימות דו-שלבי והגבילו את ניסיונות ההתחברות לחשבונות מנהל.
• השאירו את WP_DEBUG_DISPLAY כבוי בסביבת הייצור, כדי ששגיאות לעולם לא יוצגו על המסך.