WordPress tidak rawan. Situs yang memakainya jebol karena empat sebab, menurut urutan seringnya berikut ini, dan tak satu pun di antaranya cacat WordPress sendiri.

1. Pengaya yang tidak diperbarui

Sebab yang paling besar, jauh di atas yang lain. Sebuah celah diumumkan, dalam hitungan hari pemindai menemukan tiap situs yang masih memakai versi lama, dan sisanya berjalan sendiri.

  • Nyalakan pembaruan otomatis bagi pengaya yang Anda percayai.
  • HAPUS yang tak Anda pakai. Pengaya yang tidak aktif tetaplah berkas yang bisa dicapai langsung.
  • Periksa apakah sebuah pengaya sudah ditinggalkan - "terakhir diperbarui 3 tahun lalu" adalah keputusan untuk berhenti memakainya.

2. Kata sandi yang dipakai di tempat lain

Bocor dari situs yang tak ada hubungannya lalu dicoba di sini. Pengesahan dua langkah membuat kebocoran itu tak berarti, dan karena itu ia lebih berharga daripada pengaya mana pun.

3. Unggahan yang bisa dijalankan

Kalau berkas yang ditaruh di wp-content/uploads bisa dijalankan sebagai PHP, borang unggahan adalah jalan masuk. Tutup di peladennya, bukan dengan pengaya.
location ~* /wp-content/uploads/.*\.(php|phtml|phar)$ {
    deny all;
}

4. Menyunting berkas dari dasbor

Penyunting bawaannya mengubah sesi pengelola yang dicuri menjadi kode sesuka hati di peladen Anda. Hampir tak ada yang memakainya dengan sengaja.

define('DISALLOW_FILE_EDIT', true);

Tiga lagi yang tak memakan biaya

  • Pindahkan wp-config.php ke atas akar web, atau tolak aksesnya secara tegas. Di dalamnya ada kata sandi basis data.
  • Matikan XML-RPC kecuali ada yang memerlukannya - ia sasaran yang lazim bagi serangan coba-coba.
  • Sembunyikan nomor versinya. Ini bukan keamanan, tapi ia mengeluarkan Anda dari pencarian "situs yang memakai versi X".
Sesudah pembobolan apa pun, ganti garam di wp-config.php. Itu membatalkan tiap sesi, termasuk sesi penyerangnya, dan itulah langkah yang paling sering terlewat waktu bersih-bersih.