Ihr Website-Sicherheitsprozess befasst sich wahrscheinlich damit, wie Sie Ihre WordPress-Site auf Serverebene sichern und Ihre Site auf Dateiebene schützen können. Aber müssen Sie Ihre Programmiersprache schützen? Gibt es Best Practices für die PHP-Sicherheit, die Sie befolgen sollten? Muss PHP gesichert werden?
Ja, ja und ja.
Wenn Sie eine WordPress-Website betreiben, sich aber nicht darauf konzentrieren, Ihren PHP-Code sicher zu halten, Es könnte anfällig für einen größeren Vorfall sein.
Die Verwendung von PHP zur Entwicklung Ihrer WordPress-Website bietet unzählige Vorteile:
- Für Anfänger ist es einfach zu bedienen und für professionelle Programmierung flexibel genug.
- Es funktioniert hervorragend auf allen Plattformen (z. B. Linux, Windows usw.).
- Es ist auch sehr WordPress-freundlich.
- Dies kann die Geschwindigkeit der Site verbessern.
Das heißt, PHP ist nicht ohne Mängel. Mit PHP geschriebene Anwendungen können das Risiko haben:
- SQL-Injektionen
- Cross-Site-Scripting
- Offengelegte Anmeldeinformationen
- Sitzungsentführung
- Falsche Formen
- Und andere unangenehme Sicherheitsrisiken
Verbunden: So überprüfen Sie die PHP-Version Ihrer WordPress-Site (und aktualisieren die Kompatibilität)
Dies soll natürlich nicht Ihren Wunsch entmutigen, PHP zum Programmieren Ihrer WordPress-Website zu verwenden. Es ist eine äußerst zuverlässige und flexible Sprache, und wenn es richtig gesichert ist, kann es ein unglaublich leistungsfähiges Werkzeug sein, das auch zur Rationalisierung Ihres Prozesses beiträgt.
In der folgenden PHP-Sicherheitscheckliste finden Sie alle bewährten Methoden für die PHP-Sicherheit, die Sie benötigen, um Ihre Programmiersprache und mit PHP erstellte Anwendungen in Zukunft sicher zu halten.
Die ultimative PHP-Sicherheitscheckliste für WordPress
Möchten Sie sicherstellen, dass Ihre WordPress-Website vor Hackern geschützt ist? Dann müssen Sie sicherstellen, dass alle Tools, die Sie zum Erstellen verwenden (einschließlich der Programmiersprache), den bewährten Sicherheitsmethoden entsprechen. Insbesondere wenn es um PHP geht, müssen Sie Folgendes beachten:
- Best Practices für die PHP-Codierung
- Zugriffsbeschränkungen im Backend Ihrer Site
- Verwaltung und Überwachung von Benutzerkonten
- Validierung, Desinfektion und Datenflucht.
- Vom Benutzer übermittelte Daten und Lastüberwachung
- Zuverlässigkeit des Webhosts
Wenn Sie mehr über die oben genannten PHP-Sicherheitskontrollpunkte und deren Verwendung in der WordPress-Entwicklung erfahren möchten, lesen Sie weiter, um die ultimative PHP-Sicherheitscheckliste zu erhalten.
PHP Best Practices
- Verwenden Sie PHP7: Verwenden Sie immer die neueste Version von PHP. Gleiches gilt für alle Bibliotheken und Apps von Drittanbietern, die Sie in Verbindung damit verwenden.
- Version ausblenden: Die aktuelle Version von PHP, die Sie verwenden, informiert Hacker möglicherweise darüber, für welche Art von Sicherheitslücken Sie Ihre Site offen gelassen haben. Deaktivieren Sie diese Einstellung in Ihrem Header mit expose_php.
- Benennen Sie phpinfo um: Zusätzliche Informationen zu Ihrer Installation sollten ebenfalls ausgeblendet sein. Benennen Sie daher die Datei phpinfo.php um.
- Fehlercode ändern: Ändern Sie die Standardfehlermeldung, die Benutzern angezeigt wird, wenn eine Verbindung zu Ihrer Site fehlschlägt. Dadurch wird verhindert, dass Informationen zu Ihrer IP-Adresse oder Ihrem Dateipfad angezeigt werden. Notieren Sie stattdessen einfach diese Fehler auf Ihrer Seite.
- Systembefehle begrenzen: Der allgemeine Konsens ist, dass Sie keine Shell-Funktionen in PHP verwenden sollten. Wenn Sie jedoch müssen, geben Sie keine Benutzerdaten an.
Inhaltsaktualisierung
Kostenloses PHP-Sicherheits-eBook
(4 Seiten) Die 21-Stufen-Checkliste für
Sichern Sie eine zu 99,9% sichere WordPress-Website
herunterladen
Schützen Sie das Backend
- Verwenden Sie SFTP: Verwenden Sie beim Übertragen von Dateien im Backend immer SFTP.
- Verzeichniszugriff einschränken: Ändern Sie den Standardverzeichnisnamen für Ihre PHP-Anwendung.
- Konfigurieren Sie den Sitzungspfad: Wenn Sie Shared Hosting für Ihre Site verwenden, können andere Benutzer auf dem Server Ihre Sitzungsdaten sehen. Sie können dies stoppen, indem Sie neue Sitzungspfade im Stammverzeichnis speichern.
- Erstellen Sie separate Administratoren: Wenn Sie mehr als eine PHP-basierte Website auf einem einzelnen Server ausführen, stellen Sie sicher, dass Sie für jeden einen separaten Administrator mit völlig unterschiedlichen Anmeldeinformationen verwenden. Dies verhindert standortübergreifende Infektionen.
- Verzeichnis schreibgeschützt machen: Schützen Sie Ihr über das Internet zugängliches Verzeichnis, indem Sie es auf schreibgeschützt setzen.
- Speichern Sie vertrauliche Dateien außerhalb des Verzeichnisses: Vertrauliche Anwendungsdateien (z. B. Konfigurationsdateien) sollten in einem Verzeichnis abgelegt werden, auf das über das Web nicht zugegriffen werden kann. Sie können sie dann mit einem PHP-Skript weiterleiten.
Sichere Benutzerinformationen
- Verschlüsseln Sie alle Passwörter: Dies ist ein Kinderspiel, aber stellen Sie sicher, dass Sie es allgemein anwenden, sowohl für Ihre Passwörter als auch für alle angemeldeten Benutzer.
- Sichere Sitzungen: Verhindert Sitzungsentführungen durch Erstellen einer komplexen Sitzungs-ID. Sie können jeder URL auch ein spezielles Token hinzufügen.
- Zerstöre alte Sessions: Wenn sich jemand abgemeldet hat oder sich seine Zugriffsrechte geändert haben, löschen Sie immer Cookies aus seiner Sitzung und erzwingen Sie eine neue Sitzungs-ID.
- Überprüfen Sie neue Benutzer: Überprüfen Sie immer die Identität neuer Benutzer und gewähren Sie ihnen entsprechende Zugriffsrechte. Dies ist besonders wichtig, wenn sie versuchen, auf eine eingeschränkte Seite zuzugreifen.
- Verwenden Sie ein Gaspedal: Zu viele fehlgeschlagene Anmeldungen sollten mit einem Passwortbeschleuniger blockiert werden.
Überprüfen Sie die Benutzereingabe und -ausgabe
- Eingabe validieren und desinfizieren: Alle Daten, Dateien, URLs, eingebetteten Inhalte, CSS oder HTML, die von einem bekannten oder unbekannten Benutzer über Ihre Website übermittelt werden, müssen überprüft und bereinigt werden. Dies bedeutet, dass nur die Daten zugelassen werden sollten, die Sie erwartet haben (z. B. Benutzername für Benutzername, E-Mail-Adresse für E-Mail-Adresse usw.). Behalten Sie “schlechte” Wörter wie “FROM” oder “WHERE” oder Satzzeichen als einfache Anführungszeichen auf Ihrem Radar, da dies ein Zeichen dafür sein kann, dass jemand versucht, schädlichen Code auf Ihrer Website einzufügen.
- Auslass: Stellen Sie vor dem Posten von Benutzerdateien oder Daten auf Ihrer Site sicher, dass diese auch maskiert wurden, um potenziell gefährliche Zeichen und Code (z. B. einfache Anführungszeichen oder) zu vermeiden
