Как понять, что вы выбрали безопасную тему WordPress

Безопасность часто упускается из виду при выборе темы WordPress. Хотя она должна быть одним из главных приоритетов. Помимо функциональности и внешнего вида, нужно убедиться, что код темы чист, регулярно обновляется и может защитить сайт от утечек данных, взломов или атак вредоносных программ, которые приводят к ухудшению SEO.

Обеспечить все это сложно. Но если сделать это правильно, результаты точно порадуют. Вы получите беспроблемный и плавный опыт использования темплейта.

Итак, если ищете проверенный, оптимизированный для СЕО способ выбора безопасной темы WordPress, продолжайте читать это руководство. Я покажу самый надежный процесс шаг за шагом.

Что делает тему WordPress безопасной

Существуют важные факторы, которые делают тему WP безопасной. Их изучение поможет вам принять обоснованное решение.

Чистый и современный код

Если тема построена на чистом и современном коде, она будет легкой и совместимой с постоянно меняющейся экосистемой ВордПресс. Кроме того, он должен соответствовать стандартам программирования WP. Они являются основой для совместной работы над кодом и его проверки сообществом WordPress.

Общие причины, по которым тема должна иметь чистый код, соответствующий стандартам программирования WP:

• Это вдохновляет разработчиков на очистку и экранирование данных для блокирования XSS-атак.
• Сфокусированное программирование, которое избегает устаревших функций, чтобы уменьшить количество ошибок.
• Чистый код улучшает читаемость и упрощает аудит.

Вот небольшой пример чистого и раздутого кода:

Хорошее программирование:

echo esc_html( get_the_title() );

Плохое программирование:

echo $_GET[‘title’]; // unsanitized, insecure

Следуйте лучшим практикам OWASP (XSS, CSRF mitigation)

OWASP (Open Web Application Security Project) — это стандарт безопасности для программирования. Ему следуют разработчики по всему миру.

Некоторые из лучших практик OWASP включают: тестирование безопасности, аутентификацию и авторизацию, регулярные обновления и системы исправлений, шифрование конфиденциальных данных и т. д.

Следуя им, тема ВордПресс снижает следующие риски:

• XSS (межсайтовый скриптинг), который помогает избежать всех динамических выводов.
• CSRF (межсайтовая подделка запросов) обманывает аутентифицированных пользователей, заставляя их выполнять нежелательные действия.
• Небезопасная прямая ссылка на объект.

Активное обслуживание

Активно обслуживаемая тема гарантирует защиту от любых угроз безопасности. Это доказывает, что разработчик серьезно относится к исправлению ошибок и хочет поддерживать темплейт в актуальном состоянии, чтобы он соответствовал последней версии WordPress и плагинов.

Непрерывный цикл обновлений улучшает качество кода, выявляет уязвимости и устраняет их. Когда выбираете тему, возможно увидеть следующие изменения.

Большинство темплейтов, которые регулярно обновляются и поддерживаются, имеют открытый журнал. Вы можете увидеть его либо на официальном сайте темы, либо на таких платформах, как ThemeForest или Envato.

Репутация

Вы должны проверить репутацию темы, чтобы узнать, заслуживает ли она доверия. Это важно, потому что только надежные поставщики продают безопасные шаблоны. Чтобы проверить это, можете посмотреть рейтинги продавца на WordPress.org, GitHub и обсуждения на форумах.

Кроме того, всегда отдавайте предпочтение покупкам на популярных торговых площадках, таких как Themeforest или TemplateMonster. Большинство надежных поставщиков, таких как Elegant Themes, Astra или ThemeIsle, имеют собственные библиотеки тем. Хотя есть отдельные продавцы темплейтов, которым можно доверять, просто проверьте, соответствуют ли они стандартам торговой площадки.

Легкая архитектура

Безопасная тема требует легкой кодовой базы. Современное, чистое и совместимое программирование оставляет меньше требований для дальнейшей кастомизации. Это уменьшит зависимости и в конечном итоге снизит уязвимости.

Поэтому лучше выбирать тему, которая имеет стандартный кастомайзер WP и минимальное использование JavaScript.

Выбор безопасной темы

Вот основные шаги по выбору безопасной темы WordPress для бизнеса.

Покупайте на надежных торговых площадках

Я уже говорил, насколько важно покупать темы у надежных поставщиков. К счастью, вы можете найти отличные варианты на следующих торговых площадках:

• WordPress.org. Это лучшее место для начала тестового запуска. Большинство тем ВордПресс предлагают бесплатную версию. Вы можете проверить рейтинг, отзывы пользователей и собственный опыт, чтобы принять решение.
• ThemeForest. Это крупнейший и, возможно, самый популярный рынок для покупки и продажи премиум-тем. Здесь вы можете найти практически любой шаблон WP. Получите доступ к веб-сайтам поставщиков, отзывам пользователей, журналам изменений и демо-версиям тем, которые хотите попробовать.
• StudioPress. Он известен фреймворком Genesis и темой Genesis Pro. Кроме того, здесь есть библиотека премиум-шаблонов WordPress. При покупке Genesis Pro вы получите коллекцию тем в комплекте.

Проверьте частоту обновлений

Нет идеальной частоты обновлений для поддержания безопасности темы. Но ведущие разработчики следуют основному принципу.

Они продолжают обновлять тему для основных изменений ВордПресс, исправлений безопасности, ошибок и улучшений функций. Это означает, что темплейт получает обновления всякий раз, когда это необходимо.

Поставщики или продавцы гарантируют это. Вы можете увидеть изменения в подробностях в журнале. Перед тем как принять решение о покупке, проверка графика обновлений может дать четкое представление.

Не следует выбирать тему, которая не поддерживается регулярно. Предположим, что темплейт, последнее обновление которого было 2 года назад, не считается полностью безопасным. Существуют такие риски, как раздутый код, ошибки и несовместимость с улучшенными версиями любых современных плагинов.

Никогда не используйте нулевые/пиратские темы

Если заботитесь о безопасности сайта WP, избегайте покупки данных темплейтов.

Обычно они обладают следующими факторами риска:

• Подвергают сайт угрозам безопасности (вы никогда не знаете, содержат ли они вредоносное ПО).
• Перенаправляют посетителей на подозрительные/незаконные ресурсы.
• Крадут важные данные сайта.

Кроме того, есть и другие недостатки. Вы не будете получать официальные исправления ошибок или проверки уязвимостей. Поэтому придется использовать старую версию, так как не будет обновлений.

Проверяйте журналы изменений

Я уже упоминал, как важно проверять журналы изменений. Из множества обновлений обязательно внимательно просмотрите последние патчи безопасности, такие как «Исправлена уязвимость XSS в шаблоне комментариев» или «Экранированный вывод в атрибутах шорткодов» и т. д.

Где же найти эту ценную информацию? Вы можете увидеть журналы изменений на официальном сайте (обычно в разделе документации), WordPress ORG (вкладка «Документация») и на всех рынках премиум-шаблонов.

Проверьте совместимость с плагинами безопасности

Теперь осталось всего несколько задач. Я полагаю, что вы уже проверили совместимость плагинов с желаемой темой. Поэтому посмотрите, хорошо ли темплейт согласуется с популярными расширениями безопасности, такими как WordFence или Sucuri.

Критерии проверки совместимости просты:

• Отсутствие конфликтов/ошибок при установке.
• Простой и чистый код. Это позволит плагину безопасности легко сканировать/проверять сайт.
• Отсутствие раздутого/ошибочного кода, который расширение может заблокировать.

Чтобы узнать, соответствует ли тема этим критериям, сделайте следующее:

Оцените прозрачность разработчика и оперативность поддержки

Вы почти готовы, просто проверьте одну вещь, прежде чем окончательно приобрести тему. Прозрачность разработчика и репутация поддержки имеют решающее значение, потому что они важны.

Поэтому проведите оценку. Для этого проверьте, предоставляет ли разработчик достаточную документацию, учебные материалы и поддерживает ли он актуальные журналы изменений. Кроме того, просмотрите сообщество пользователей и выясните, насколько отзывчивой и эффективной является их система обратной связи.

Контрольный список безопасности перед установкой

После выбора безопасной темы WP следует выполнить ряд рекомендаций по подготовке к установке. Перед активацией на сайте проверьте, нет ли в только что купленном пакете уязвимостей. При необходимости исправьте их.

Запустите Theme Check + WPScan на пакете

Эти 2 теста позволят выяснить, соответствует ли тема стандартам программирования ВордПресс, и проверить, нет ли уязвимостей в основных файлах.

Чтобы запустить его, сначала поставьте темплейт на демо-ресурс или тестовый проект. Теперь установите и активируйте Theme Check и WP Scan.

Theme Check — полезный плагин, разработанный WordPress. После активации можете проверить любую предустановленную тему и узнать о любых ошибках, скрытых в ее коде.

После этого просканируйте с помощью WPScan. Найдите оставшиеся уязвимости в файле темы.

Обычно WPScan видит уязвимости, подобные следующим:

• Отсутствующие хуки wp_head(), wp_footer(). Такие проблемы вредны для СЕО сайта.
• Критические функции, такие как eval(), base64_decode(). Они являются вредными.

Статический анализ (RIPS/SAST) для глубокого обнаружения уязвимостей

Статический анализ необходим для глубокого сканирования кодовой базы PHP темы. Для этого понадобится SAST (статическое тестирование безопасности приложений).

Самым популярным инструментом для этой задачи является сканер RIPS PHP. Можете начать бесплатно с Sonar. Этот тест позволит узнать следующее:

• Произвольный доступ к файлам.
• Непроверенные загрузки документов.
• Риски SQL-инъекций.
• Нарушенный контроль доступа или уязвимости XSS и т. д.

Проверка на тестовом сайте

Поскольку вы уже выполняете предварительные тесты на демо-сайте, проведите еще несколько проверок. Это позволит убедиться в правильной настройке темы WP.

Обычно типичные рекомендуемые права доступа выглядят следующим образом: Файлы: 644, Папки: 777.

Перейдите в cPanel или файловый менеджер > public_html > wp-content > themes.

В столбце «Права доступа» вы увидите цифры, если нет никаких проблем.

А если есть неполадки, будет отображено сообщение примерно такого содержания: functions.php 777 (исправьте это!).

Чтобы решить эту проблему, перейдите к файлам темы из cPanel аналогичным образом. Найдите function.php. Далее измените число 777 на обычное 0644. Нажмите «Сохранить».

Следующим необходимым шагом является отключение редактирования файлов темы/плагина. Это еще проще.

Перейдите в cPanel > File Manager > public_html и дважды щелкните по нему. Вы найдете wp-config.php. Если редактирование файлов темы уже отключено, не нужно ничего делать. Если нет, добавьте эту простую строку в wp-config.php: define(‘DISALLOW_FILE_EDIT’, true);. Сохраните изменения, и все готово.

Рекомендации по действиям после установки

Сложные части остались позади. Вы готовы активировать тему. Чтобы получить лучший опыт и снизить вероятность дальнейших рисков, всегда можете следовать этим рекомендациям по поводу действий после установки.

Используйте дочернюю тему для безопасной кастомизации

Использование дочерней темы всегда является более безопасным вариантом. Можете начать кастомизацию с той, которая имеет все черты и функции родительской. Это даст двойную выгоду.

Во-первых, можете кастомизировать тему по своему усмотрению. Это не влияет на родительскую. Кроме того, когда разработчик вносит изменения или обновления, это не касается дочерней темы, с которой работаете в данный момент. Это означает, что можно применять улучшения родительского темплейта к ней в удобное время, только после того, как сделаете резервную копию кастомизации.

Включите автоматические обновления или запланированные проверки

Включение автоматического обновления сокращает дополнительные усилия по поиску новых улучшений для версий WordPress или исправлений ошибок. Все, что разработчик добавляет в них — патчи безопасности, функции и многое другое — вы получите, даже не заметив этого.

Однако есть 2 сценария, в которых следует избегать автоматических обновлений:

• Если кастомизируете родительскую тему напрямую, любое незамеченное улучшение повредит сайт, если оно содержит какие-либо ошибки.
• Вы управляете интернет-магазином или важным ресурсом.

В таких случаях предпочтительнее запланировать аудит обновлений или ручной мониторинг. Например, можете самостоятельно проверять журналы изменений, исправления неполадок и улучшения с дашборда WordPress. Раз в 2 недели или в месяц.

Удалите неиспользуемые темы/плагины

Неиспользуемые темы или плагины занимают место. Кроме того, вы редко проверяете их работоспособность. Это делает их потенциальным фактором безопасности, если включено автоматическое обновление.

Добавьте заголовки безопасности, отключите XML-RPC, переименуйте URL-адрес входа

Есть еще несколько рекомендаций по безопасности после установки. Они помогут сделать работу с темой WP защищенной. Давайте рассмотрим их подробнее.

Добавьте заголовки безопасности

Заголовки безопасности — это заголовки HTTP-ответов. Они передают браузерам инструкции по защищенному обращению с контентом сайта. Они обеспечивают дополнительную защиту от любых вредоносных веб-атак.

Вы редактируете файл .htaccess и записываете следующие инструкции сервера, чтобы добавить заголовки безопасности:

# Security Headers

Header set X-Frame-Options “SAMEORIGIN”

Header set X-Content-Type-Options «nosniff»

Header set X-XSS-Protection «1; mode=block»Header always set Referrer-Policy «strict-origin-when-cross-origin»

Header set Strict-Transport-Security «max-age=31536000; includeSubDomains; preload»

Отключите XML-RPC

XML-RPC — протокол связи. Он позволяет ресурсу ВордПресс обмениваться данными с внешними сервисами. Например, если он включен, можете удаленно публиковать контент на своем проекте через мобильные приложения.

Возможно, в прошлом он имел какое-то применение, но большинству современных пользователей ВордПресс он не нужен. REST API заменяет все его функции. В настоящее время даже мобильные приложения имеют REST API. Его деактивация снижает риск определенных уязвимостей, таких как DDoS-атаки.

Для беспроблемного отключения можете использовать бесплатный плагин, такой как Disable XML-RPC. Однако, если уже есть Wordfence или любое современное расширение безопасности, то у них имеются опции для этого.

Переименуйте URL-адрес входа

URL-адреса входа в WordPress по умолчанию подвержены рискам безопасности и легко взламываются ботами. Поэтому изменение их имени — более безопасный способ смягчить последствия атак.

Для переименования URL-адреса входа в систему лучше всего подойдут такие плагины, как WP Cyber Security, iThemes Security и WPS Hide Logins.

Чего следует избегать

Наряду со всеми вышеупомянутыми шагами, вот несколько красных флагов, которых следует избегать в первую очередь:

• NULLED/пиратские или дешевые шаблоны.
• Отсутствие информации об авторе или «сиротские» темы. На надежных торговых площадках вы не найдете таких вариантов. Даже если можете получить премиум-тему бесплатно, и у нее нет указанного автора, скорее всего, она пиратская или содержит ошибки.
• Отсутствие журнала изменений или истории обновлений. Это как дневник разработчика темы. Если этого нет, скорее всего, темплейт останется устаревшим и может никогда не получить обновлений.
• Чрезмерно раздутые «универсальные» темы (производительность + риск безопасности). Никогда не выбирайте такой шаблон (с потрясающим внешним видом, макетами с большим количеством анимации и всеми возможными функциями). Это часто снижает производительность и создает угрозы безопасности.

Мониторинг и ресурсы

Даже после того, как начнете использовать безопасную тему ВордПресс, важно регулярно контролировать ее работу. Не волнуйтесь, вы уже предприняли необходимые действия, чтобы делать это:

• Инструменты безопасности. Продолжайте использовать WP Scan и Theme Check, чтобы выявлять уязвимости и проверять, соответствует ли тема стандартам программирования WordPress.
• Усиление безопасности на уровне хостинга. Ограничьте права доступа к файлам, чтобы предотвратить нежелательные изменения в коде. Всегда выбирайте надежный хостинг и убедитесь, что он обеспечивает защиту сервера. Кроме того, можете внедрить WAF (Web Application Firewall) для усиления безопасности.
• RSS-каналы и списки уязвимостей. Можете использовать WPScan для получения обновлений о слабых местах в режиме реального времени или мониторинга угроз. Кроме того, WP Vulnerability поможет защитить список рассылки ВордПресс.

Заключение

Если хотите, чтобы бизнес-сайт был надежным, использование безопасной темы WordPress обеспечит это. Но это сопряжено с некоторыми трудностями, потому что одного выбора правильного темплейта недостаточно.

После того, как создадите полноценную среду для борьбы с любыми потенциальными угрозами, которые могут возникнуть на сайте, ваша задача будет заключаться в том, чтобы мониторить, все ли находится на своем месте и работает.

Так что подготовьте инструменты, следите за состоянием и производительностью ресурса, вносите изменения, когда это необходимо, и оставляйте место для улучшений.