問題描述

我的妻子已經開始了業務，網站是吸引潛在客户的重要途徑。我是一個軟件開發人員，所以’of course’ 我在照顧技術的東西。我安排了一個 webhost，並上傳並配置了 WordPress(它與一個體面的主題，很適合我們的賬單) 。我的老婆有一些 HTML 和 CSS 的知識，所以她可以自己定製網站。

現在，我想把這個東西專業化。如果任何愚蠢的事情發生 (偶然弄亂文件，WordPress 更新中的錯誤，網站被黑客入侵)，我們失去了整個網站。

我需要管理網站？當 Google 搜索這個主題時，我只會發現 FTP 教程，這不是我以後的信息級別。我想到：

  • 備份文件+數據庫 (我已經有了這些，但是我還沒有測試是否還原)

  • 用於編輯主題和測試 wordpress 更新的本地測試環境

  • 測試計劃，包含在將測試環境上傳到實際站點之前要測試的一些內容

  • 版本控制 – 應該有什麼問題，我們應該可以去以前的版本。

  • 正常運行時間監控 – 如果站點出現故障，我將不必從客户那裏聽到

建議由 bybe，主要是安全相關：

  • 使用 VPS 。這將阻止我對其他共享主機帳户的攻擊，但是它會打開另一個蠕蟲病毒，因為我必須保持服務器的安全。

  • 刪除所有不需要寫入的文件的寫入權限 (模板文件.htaccess)

  • 訂閲 CMS 郵件列表 (在這種情況下為 Wordpress)，並在新版本可用時立即更新

  • 最小化 CMS 插件的數量 – 他們有自己的漏洞

  • 刪除 CMS 的默認管理帳户

  • 修改時將網站置於維護模式。它允許一致的備份，並且對訪問者更好。

這個清單有沒有什麼？

最佳解決方案

好的問題，安全是你的主要問題，對於那些正在管理自己的網站的人來説，安全是一樣的。 WordPress 並不是地球上最安全的內容管理系統，但是它可以通過良好的託管和良好的知識來保護和確保設置成為安全的。

主機

託管您的站點的最安全的方式是在 VPS 或專用的，假設您在操作系統上具有良好的安全性。共享託管的問題是，惡意軟件可以從一個帳户傳播到另一個帳户，即使他們在這些黑客中找到自己的方式並感染多個站點。例如 GoDaddy 上個月遭到黑客入侵，並將 100,000 個網站的灰色反向插入​​插入黑客。

從我所看到的，您想要使用 VPS，但重要的是您需要一些管理備份，您需要的是使用帶有 Cpanel 的 CentOS6 的 VPS 。您將需要為 Cpanel 支付額外費用，但這將使得設置網站和備份數據庫，文件系統自動化，並在備份完成或由於某種原因導致失敗時每天發送電子郵件。

現在我不知道你在 linux 本身有多麼強大的技能，但如果你在這個部門不夠強大，VPS 就會帶來其他安全問題。幸運的是，這些天我們有像 Google 這樣的東西，你幾乎可以輕鬆學習如何保護您的 VPS 。您的 VPS 框的基本信息是確保您在計算機上使用的 SSL 密鑰意味着即使他們知道密碼，即使沒有該認證也無法訪問您的系統。此外，為了阻止人們猜測密碼，您可以隨時更改 ssh 端口。

有很多事情你可以做，以防止訪問你的盒子和谷歌服務最好的，這是很多很多要列出。

WordPress 的

保護 Wordpress 非常簡單，我最強烈的建議是保護/wp-content/themes directory 中的模板文件。由於您的妻子將不會編輯模板文件，您要 chmod 這些，所以他們不能直接從 WordPress 寫入。在 configuration.php 中有一個設置可以設置，但是嚴重的只是使用 FTP 進行 CHMOD，或者如果您使用 VPS 將這些文件的所有權更改為 www-data 到 root 。這樣，它們不能從 WordPress 或服務器上運行的任何其他軟件更改。大多數注射，基於腳本將攻擊模板的 index.php 文件並添加惡意軟件。此外，還有一些.htaccess 重定向攻擊，所以一旦有了所需的設置，再次將.htaccess 文件改為.htaccess 文件，或者再次從 www-data 更改為 root 。另外 configuration.php 你應該設置為 root，或者 chmod，所以它不能被客人和外部人員讀取。

不要估計 CHMOD 的力量，你可以使越多的文件變得越來越好。儘量避免不必要的 WordPress 插件。雖然有些是偉大的，問你自己需要的。安裝越多的黑客必須玩，所以避免插件儘可能多，不要與他們的網站膨脹。

WordPress 每週更新到每月，儘快更新 – 有一個原因，他們有這麼多的更新，其中一個是安全問題和漏洞他們發現。

此外，默認情況下，您將擁有一個”admin” “password” 帳户，使另一個管理員，如你的名字以及一個好的密碼。然後刪除該管理員帳户。

測試計劃

您可以隨時模仿您的網站，即擁有克隆。使用 cpanel，您可以設置子域 test.subdomain.com，並使其運行相同的 WordPress 以及數據庫的克隆。

就個人而言，如果您不使用 WordPress 的主要擴展程序，那麼您可以將站點脱機，即正在進行維護。然後更新系統，如果出現任何問題，那麼您具有自動備份或在進行維護時所做的備份。這樣你的安全無論哪種方式。

總是最好在維護模式下更新，而一些更新不要求，有些更新。最好讓它離線，所以你有一個很好的快餐店。

版本控制通過每個日常備份，您將有一個日期，在 GZ /Zip 內，您可以使用版本號的 WordPress 讀取配置文件。

正常運行良好的 VPS 系統將監控它，並且如果需要重新啓動，由於您操作服務器，您可以隨時安裝一個 cron 作業，如果服務器關閉，則再次發送電子郵件。一個好的服務器永遠不會下降，選擇一個優秀的 VPS 公司，在雲上運行冗餘電源和硬件，例如 Rackspace，或亞馬遜在雲上工作。

測試版本再次將站點克隆到使用.htaccess 密碼的子域上。

希望這有幫助，如果您有任何其他問題請問。

參考文獻

注：本文內容整合自 Google/Baidu/Bing 輔助翻譯的英文資料結果。如果您對結果不滿意，可以加入我們改善翻譯效果：薇曉朵技術論壇。