it-swarm-ko.tech

보안 문제를 해결하기위한 이상적인 설정은 무엇입니까?

특정 디렉토리 및 파일에 쓰기 권한이 있어야한다는 요구 사항을 알고 있습니다 WP. 또한 퍼미션을 너무 느슨하게 만들면 보안상의 허점을 열 수 있다는 것도 알고 있습니다. 마지막으로, (사용자의 서버를 여기에 삽입하는) 사용자가 Linux 시스템에서 실행되는 것이 중요하다는 것을 알고 있습니다.

보안은 제쳐두고 테마와 플러그인을 블로그에 다운로드하고 필요할 때 업데이트 할 수 있기를 바랍니다. 적절한 사용 권한은이 기본 설정과 약간의 차이가있는 것 같습니다.

나는 여기저기서 약간의 세부 사항을 수집했지만, 확실한 답을 원한다. 보안에 대한 기본 설정은 무엇인가? 어떤 권한을 가져야하는지, 사이트를 실행할 사용자 등.

8
Grant Palin

서버에 대한 FTP 액세스 권한이있는 경우 가장 안전한 설정에는 웹 서버에서 테마 또는 플러그인 디렉토리를 쓸 수없고 대신 FTP를 사용하여 WordPress 업데이트 파일을 가지고 있습니다. 플러그인을 업데이트하려고하면 WordPress에서 FTP 세부 정보를 묻습니다.

FTP 방법은 직접 파일 쓰기보다 훨씬 느리지 만, 불량 스크립트가 파일을 수정할 수 없으므로 훨씬 안전합니다.

10
Viper007Bond

@ Viper007Bond가 지적했듯이, 내장 된 업데이트 메커니즘을 통해 핵심, 플러그인 및 테마를 업데이트하는 것은 실제 사용자 자격 증명을 사용할 수 있기 때문에 파일 사용 권한에 관한 한 매우 안전합니다. 안전을 극대화하려면 SSH2 PHP 확장 이 설치되어 있는지 확인하십시오. 설치 방법 (가능하면)은 Host-to-Host에 따라 다를 수 있으므로 이미없는 경우 호스팅 서비스에 문의하거나 인터넷 검색을해야 할 수도 있습니다.

많은 공유 호스팅 서비스는 Apache 설정에서 suexec을 사용하므로 웹 서비스가 실제 사용자로 실행됩니다. 이렇게하면 대부분의 사용 권한 문제가 제거되고 서버의 다른 사용자로부터 파일을 보호하는 데 도움이됩니다. 그러나 Apache가 별도의 사용자로 실행되는 경우 WordPress에 파일을 업로드하려면 업로드 디렉토리에 대한 권한을 열어야합니다.

이 경우 wp-content/uploads 디렉토리에 0713 권한 (AKA rwx--x-wx)이 있어야합니다. 전체 경로를 알고있는if그룹이 파일을 읽을 수 있고, 웹 서버를 포함하여 다른 사람이 경로를 알고있는 파일을 읽을 수 있으며, 파일을 작성하십시오.

일부 캐싱 플러그인은 쓸 수있는 wp-content/cache 디렉토리 (또는 유사)를 사용할 것으로 기대합니다. 동일한 사용 권한에 대한 조언이 해당 내용에 적용됩니다.

마지막으로 예쁜 퍼머 링크의 경우 WordPress에서 수동으로 업데이트하지 않는 한 .htaccess 파일을 수정할 수 있어야합니다. 이 경우 파일 모드에 대해 0646를 원할 수 있습니다. 그러나 퍼머 링크 구조를 정한 후에는 다시 변경하지 않아도되므로 추가 쓰기 권한을 해제하고 0644로 설정할 수 있습니다. 간혹 플러그인 또는 코어 업그레이드에 액세스해야 할 수 있으므로 임시로 쓰기 권한을 다시 설정 한 다음 다시 사용하도록 설정할 수 있습니다.

다른 모든 파일에는 0644 권한이 있어야합니다. extra-mananoid 인 경우 디렉토리는 0711 여야하지만 디렉토리에서 파일 목록을 가져와야하는 모든 플러그인을 방해 할 수 있습니다. 이 경우 또는 편집증 환자가 아닌 경우 0755를 사용하십시오. 다른 사람이 읽을 수는 있지만 쓸 수는 없습니다.

공유 호스팅을 사용하는 경우 대부분이 문제가됩니다. 전용 서버 (VPS 포함)가 있고 ssh/ftp 액세스 권한을 가진 다른 사용자가없는 경우 조금 더 휴식을 취할 수 있습니다. 나는 모든 것을 공개적으로 쓸 수 있도록해야 함을 의미하지는 않지만, 시스템 기본값을 신뢰할 수는 있습니다. 아마도 0755 대신 디렉토리에 대한 0711 권한 일 것입니다.

옵션 인 경우 사이트에 SSL 인증서가 설치되어 있고 https을 통해 사이트에 액세스 할 수 있는지 테스트 한 후에는 관리자 로그인에 SSL을 적용하고이 줄을 wp-config.php 파일에 추가하여 액세스 할 수 있습니다 '편집 중지'코멘트 :

define('FORCE_SSL_ADMIN', true);
define('FORCE_SSL_LOGIN', true);
8
Dougal Campbell