Para manter seu WORDPRESS seguro deve-se:
– Conhecer seu ambiente:
Procure conhecer onde seu site está hospedado, qual CMS está usando e quais plugins estão instalados.
Acompanhe o desenvolvimento do CMS e dos plugins através das redes sociais. Todos eles disponibilizam um perfil para manter os usuários informados.
– Manter o SISTEMA atualizado:
Pode parecer óbvio, mas existem muitos CMS instalados que permanecem desatualizados, sujeitos a ataques que exploram falhas de segurança conhecidas.
– Manter os plugins atualizados:
De nada adianta tomar todo cuidado do mundo com o CMS e manter plugins desatualizados em seu ambiente. Atacantes também buscam explorar vulnerabilidades nos plugins.
É uma tarefa que muitas vezes toma bastante tempo, mas existem ferramentas para facilitar esse trabalho.
Especificamente neste artigo trateremos de um plugin de segurança para o WordPress: o Wordfence – http://www.wordfence.com/
fonte: www-security-unicamp-br
Sobre o plugin:
O Wordfence está disponível em versões Free e Premium, sendo que a versão Free já fornece recursos suficientes para manter um bom nível de segurança em seu WordPress.
A instalação é simples, feita através do painel de administração da sua instalação do WordPress, no item “Plugins”. Pesquise por “Wordfence Security”, leia as informações sobre a instalação e demais orientações. Caso decida instalar o plugin, clique em “Instalar agora”.
Configuração básica:
No Painel de administração do WordPress será criado o item “Wordfence”. Para acessar as opções de configuração, clique em “Options”:
Mesmo sendo na opção gratuita, o Wordfence oferece muitas opções de customização.
Basic Options:
Estas opções determinam boa parte do funcionamento do Wordfence, sendo que para cada uma é oferecida uma breve explicação ao clicar no ícone “i”.
A pré configuração já abrange boa parte das preocupações de segurança do WordPress, mas mesmo assim o Wordfence permite um ajuste fino das opções.
Enable Firewall
Como o próprio nome diz, habilita o firewall, bloqueios por IP, país e bloqueios avançados, bem como desabilita os itens da lista “Firewall Rules”, que veremos adiante.
Enable Login Security
Habilita todas as opções da lista “Login Security”, que trata questões como forçar uso de senhas fortes, bloqueio de contas, tentativas de uso do “esqueci minha senha”, entre outras. Ajustes especícificos podem ser feitos habilitando/desabilitando itens da lista.
Enable Live Traffic View
Esta opção habilita o acompanhamento em tempo real das atividades do Wordfence. Você pode acompanha-las clicando em “Live Traffic”, no menu à esquerda do Wordfence.
Na imagem abaixo, um exemplo da aba “Top 404s”.
As opções “Advanced Comment Spam Filter”, “Check if this website is being Spamvertised” e “Check if this website IP is generating spam” estão disponíveis apenas para a versão paga – Premium – porém, duas delas você mesmo pode realizar consultando o ip do seu servidor ou o seu domínio em serviços como o Spamhaus.
Enable automatic scheduled scans
Habilita verificações regulares, onde são analisados os arquivos da sua instalação do Worpress. O resultado da verificação fica disponível no item “Scan” do menu do Wordfence.
Exemplo de aviso de problema.
Update Wordfence automatically when a new version is released?
Permite que o Wordfence seja atualizado automaticamente. Avalie se esta opção é adequada para seu caso, uma vez que, em instalações críticas é interessante ler o changelog da nova versão e determinar se ela pode trazer algum impacto negativo.
Where to email alerts
Informe o email para onde os alertas serão enviados. Mais de um endereço pode ser informado, separados por vírgulas.
Security Level
Permite carregar configurações de segurança pré definidas, divididas em 5 níveis, além da opção de Custom settings.
Level 0: Todas as medidas de segurança desabilitadas
Level 1: Proteção leve. Apenas o básico.
Level 2: Proteção média. Pode ser usada para a maioria dos sites
Level 3: Alta proteção. Utilize quando souber que um grande ataque irá ocorrer.
Level 4: Protege o site contra um ataque em curso. Pode trazer algum impacto para usuários legítimos do site.
Custom settings: Configurações personalizadas. Sempre que uma configuração for alterada de seu padrão, esta opção será definida como “Custom settings”.
How does Wordfence get IPs
O Wordfence identifica quem acessa seu site através do endereço IP. Normalmente a configuração padrão funciona corretamente, porém existem situações onde será necessário alterações. Caso você utilize os serviços Cloudflare por exemplo, selecione a opção específica para este caso.
Advanced Options
O Wordfence, logo após a instalação, está pronto para proteger seu site, porém caso deseje efetuar um “ajuste fino” estão disponíveis diversas opções.
Alerts
Configure quais eventos irão gerar uma notificação via email, que será enviada para o endereço cadastrado anteriormente.
Live Traffic View
Esta opção permite configurar o que não será mostrado na opção “Live Traffic”.
Scans to include
Selecione o que será verificado quando o Wordfence executar uma verificação da sua instalação. Existe ainda a possibilidade de se excluir arquivos da verificação.
Firewall Rules
Permite aplicar ajustes mais específicos para o firewall, cada regra oferece diversas condições. Para a condição escolhida, existem 2 opções: bloquear o ip ou limitar seu acesso.
Também permite configurar por quanto tempo o ip permanecerá bloqueado.
Login Security Options
Define como o Wordfence irá tratar as contas de usuários do seu WordPress. Abrange desde a complexidade das senhas até previnir tentativas de descobrir quais usuários estão cadastrados.
Other Options
Permite mais ajustes do Wordfence, como white e blacklist de IPs, uso de memória, tempo de execução das verificações. Oferece ainda ferramentas de teste das configurações e do funcionamento do plugin.
Uma opção interessante é exportar/importar as configurações, assim você pode manter um backup das alterações aplicadas no Wordfence.
Como dissemos, o uso de CMS é de grande ajuda, pois torna automáticas umas série de tarefas, deixando mais tempo para cuidar do conteúdo, o que não significa deixar a segurança de lado. Conhecer seu ambiente e escolher bons plugins, inclusive de segurança, irá contribuir muito para a qualidade e disponibilidade do seu conteúdo.
Agradecemos esta fonte de informação: www-security-unicamp-br
