Bezpieczeństwo WordPressa: passkeys, MFA i WAF

Passkey, MFA i WAF rozwiązują różne części problemu. Bezpieczeństwo WordPressa wymaga warstw: ograniczonych kont, aktualnego kodu, ochrony ruchu, sprawdzonych kopii oraz procedury reagowania.

Ogranicz powierzchnię ataku

Usuwamy nieużywane wtyczki i motywy, aktualizujemy wspierane składniki oraz ograniczamy role do potrzebnego zakresu. Oddzielamy konta osób i nie współdzielimy danych administratora. Dostęp do hostingu i domeny podlega tej samej dyscyplinie.

Wzmocnij logowanie

MFA dodaje drugi składnik, a passkeys mogą ograniczyć ryzyko związane z hasłami i phishingiem, jeśli cały proces odzyskiwania jest równie dobrze chroniony. Testujemy logowanie, utratę urządzenia, zmianę pracownika i awaryjny dostęp.

Traktuj WAF jako jedną warstwę

Oficjalny poradnik WordPress opisuje możliwość filtrowania ruchu przez zaporę aplikacyjną przed obsługą żądania przez WordPress. WAF nie zastępuje aktualizacji ani poprawnych uprawnień. Reguły obserwujemy pod kątem blokowania prawidłowych użytkowników.

Dokumentacja: WordPress Developer Resources.

Przygotuj odzyskiwanie

Kopia obejmuje pliki i bazę z tego samego punktu. Jest przechowywana poza bieżącym środowiskiem i ma określoną retencję. Regularnie wykonujemy próbne odtworzenie, ponieważ samo istnienie archiwum nie potwierdza jego użyteczności.

Monitoruj zmiany i incydenty

Rejestrujemy logowania administracyjne, aktualizacje, zmiany plików i istotne alerty. Procedura wskazuje, kto izoluje problem, zachowuje dowody, odtwarza usługę i zmienia poświadczenia. Po incydencie usuwamy przyczynę, nie tylko widoczny skutek.