Vamos começar com uma verdade, a maioria das configurações de segurança prontas para uso tendem a não ser muito seguras. Isso geralmente é verdade para todos as ferramentas, e o WordPress não fica de fora.
Existe uma infinidade de maneiras diferentes para bloquear seu site contra ataques.
Neste post, vamos relembrar os mecanismos de proteção mais básicos que os donos de sites WordPress podem usar para melhorar sua segurança. Também vamos comparar os prós e os contras de cada uma destas táticas.
Bloqueie seu wp-admin
Vamos começar com o básico, a página de login do adm do WordPress:
A página de login do WordPress é padronizada para ser aberta para todos. Na sua configuração inicial, ela não tem limite no número de tentativas de autenticação com falha. Isso a torna extremamente vulnerável a ataques de força bruta. Por em prática as melhores ações de autenticação é, sem dúvida nenhuma, um dos pontos mais importantes para proteger seu site no WordPress.
Veja os passos que podemos tomar para reduzir o risco do seu site ser atacado:
– Restrição de acesso IP
– Autenticação multifatorial
– Requisito de CAPTCHA
– Senha dupla
– Limitar o número de tentativas de login
– Usar um URL não padrão
Um serviço de firewall de qualidade pode ajudar a empregar facilmente a maioria das ações acima. Mas diversas destas práticas podem ser feitas gratuitamente.
Vamos analisar neste post cada uma delas e explicar de forma didática alguns métodos que podemos implementar.
Recomendamos o uso de certos plugins nesta postagem do blog, mas não verificamos independentemente a segurança desses plugins, nem os examinamos quanto a quaisquer vulnerabilidades de segurança. Fique atento que alguns desses métodos podem ser alcançados somente através do uso de um ou mais plugins de segurança, mas o uso de vários plugins de segurança ao mesmo tempo pode resultar no bloqueio do wp-admin, sem aviso da plataforma, portanto, proceda com atenção e sempre faça um backup do seu site antes de fazer qualquer mudança!
Restrinja o acesso IP
Restringir o acesso IP é provavelmente a ação mais eficaz que podemos tomar para bloquear nosso painel de administração, pois assim, qualquer solicitação ao wp-admin que não venha de um endereço permitido por você vai resultar automaticamente em uma resposta 403 Forbidden. Empregar restrição de acesso IP usando um firewall é muito fácil!
Restringir seu acesso IP via .htaccess
Caso não esteja usando um firewall pago, poderá recorrer a um arquivo .htaccess em ambientes Apache para evitar acessos não autorizados. Você deve se conectar ao seu servidor usando FTP e um programa como o Filezilla. Outra opção é acessar seu gerenciador de arquivos a partir do seu cPanel ou de uma conta de hospedagem. Quando estive lá, crie um arquivo com o nome .htaccess e coloque-o no diretório wp-admin como a imagem abaixo:
O próximo passo é editar o arquivo e verificar se o conteúdo é o seguinte
(O 1.2.3.4 deve ser substituído pelo seu endereço IP):
Depois desta ação, todas as solicitações para wp-admin que não venham do endereço IP que você especificou vão resultar em uma resposta 403 Forbidden:
Caso receba uma resposta 403 para seu endereço IP que já está na lista de permissões, entre imediatamente em contato com seu provedor de hospedagem. Eles podem utilizar algum firewall ou outra configuração adicional que está causando o bloqueio.
Restringir seu acesso IP utilizando arquivo de configuração
Caso o seu servidor web seja baseado em NGINX (em vez de Apache), basta editar o arquivo de configuração para o site:
Restringir o acesso IP manual vs. Restrição automática de acesso IP
Uma dúvida sempre é recorrente aos desenvolvedores:
“Por que eu tenho que enfrentar todos esses problemas se eu posso usar apenas um plugin?” Esta pergunta tem seu ponto. Existem plugins disponíveis para criar facilmente passos como os mostrados neste post, mas se você usar um plugin para restringir o acesso em vez de .htaccess, ele poderá estar armazenando os endereços IP permitidos no banco de dados do site.
Caso queira acessar o painel wp-admin fora de sua casa, ou fora do ambiente de trabalho, não poderá alterar isso facilmente, enquanto seria muito fácil fazer login via Filezilla e simplesmente editar o arquivo. Ambas as opções são aceitáveis e vão deixar seu site mais seguro.
Vantagens de fazer restrição de acesso IP manual: Este é o método mais eficaz para proteger seu painel de administração contra acessos não autorizado.
Desvantagens de fazer restrição de acesso IP manual: Este método pode ser potencialmente irritante e trabalhoso (especialmente se seu endereço IP for dinâmico).
Utilizar a autenticação multifatorial
Uma ótima forma de proteger seu login é utilizar um prompt de autenticação adicional. Esta ação está aumentando em popularidade em sites, apps e serviços. Existem diferentes tipos de A2F, o mais usado é um código de login enviado ao seu dispositivo móvel ou uma mensagem SMS. Especialistas alertam que o SMS não deve ser usado por motivos de segurança, portanto, normalmente, recomendamos que você use sempre o código de login móvel. O plugin abaixo pode ser usado para implementar o WP-2FA diretamente:
Existem várias opções de bloqueio com este plug-in acima, uma delas é a capacidade de especificar quais usuários devem verificar com o código de login.
Depois de você executar este passo, os invasores precisarão de acesso físico ao seu dispositivo móvel para se autenticarem e entrarem no seu painel de controle.
Vantagens de usar 2FA no WordPress: Fácil, didático, confiável e eficaz.
Desvantagens de usar 2FA no WordPress: Caso perca seu telefone, terá um grande problema.
CAPTCHA
A maioria dos ataques que miram sites WordPress são 100% automatizados e feitos por robôs hackers. Os invasores normalmente procuram as opções mais fáceis de ataque. Isso quer dizer que os sites e painéis de administração mais vulneráveis são protegidos pelas senhas mais fracas e fáceis de adivinhar. Adicionando um CAPTCHA à sua página de login do wp-admin, você vai evitar os robôs abusem do painel!
Agora vamos a um fato, nenhum usuário gosta de CAPTCHAs, mas o serviço reCAPTCHA do Google deixa o processo o menos irritante possível.
Fato extra: CAPTCHA é uma abreviação do termo em inglês Completely Automated Program to tell Computers and Humans. Agora, uma pessoa que tenha tido que passar pelo processo de selecionar todas os návios, semáforos, trens ou hidrante nas imagens exibidas pode se opor ao uso da palavra “automatizado”, mas discordamos.
Empregar o uso do serviço reCAPTCHA é mais facilmente realizado através do uso de um plug-in do WordPress: Advanced Nocaptcha Recaptcha.
Configurar o plugin é bastante simples depois de instalado! Basta entrar no console de administração do site reCAPTCHA, registrar o seu site e adicionar as chaves de API geradas às configurações do plugin.
Caso o seu site permita que os usuários criem contas, também recomendamos adicionar este serviço reCAPTCHA à sua página de registro do usuário. Caso administre uma loja online, isso também deve ser ativado na sua página de checkout. Isto vai ajudar a evitar ataques de teste de cartão e transações falsas.
Vantagens de usar CAPTCHA no WordPress: Reduz o perigo de abuso de robôs automatizados no seu painel de administração.
Desvantagens de usar CAPTCHA no WordPress: Irritante para o usuário.
Senhas Duplas
Melhor que uma senha, apenas duas.
Mesmo que seja um processo cansativo, as senhas duplas ainda são o principal mecanismo de defesa que temos à nossa disposição para impedir o acesso não autorizado aos nossos sites e sistemas.
Existem plugins de segurança que permitem adicionar uma senha dupla com facilidade. Mas você pode fazer isso sozinho no wp-admin, com o uso de um arquivo .htpasswd. Esse arquivo é usado em ambientes Apache para fornecer autenticação e segurança adicionais a diretórios específicos e confidenciais.
Antes de tudo, você deve gerar esse arquivo e fazer o hash da senha usando uma ferramenta online de sua escolha. Carregue esse arquivo .htpasswd para o servidor em algum lugar fora do diretório raiz do site (que normalmente é public_html). O segundo passo é fazer referência a esse arquivo em um arquivo .htaccess dentro do wp-admin da seguinte forma:
AuthName “Restricted”
AuthUserFile /home/username/.htpasswd
AuthGroupFile /dev/null
AuthType basic
require user <your user name>
Tenha certeza de que o AuthUserFile corresponda ao local onde você colocou o arquivo .htpasswd. Caso tenha sucesso nesta etapa, as tentativas de acessar seu painel de administração solicitarão que o conjunto de credenciais de login http-auth seja inserido no mesmo momento.
Isto dificulta o trabalho dos hackers, pois eles não apenas teriam que forçar essa segunda senha, mas também teriam que adivinhar o nome de usuário!
Vantagens de senhas duplas no WordPress: Reduz com eficácia ataques de força bruta.
Desvantagens de senhas duplas no WordPress: Você terá mais uma senha que deve ser lembrada.
Limite tentativas de login
Um jeito eficaz de enfraquecer os ataques de força bruta é limitar o número de tentativas de autenticação com falha que podem ser feitas na sua página de login. Esta ação torna significativamente mais difícil para os hackers entrarem no seu painel de administração.
Um dos plugins que fazem este serviço com eficácia é o Limit Login Attempts Reloaded.
Este plugin também consegue de incluir intervalos de IP na lista de permissões, uma ação que ajuda a evitar bloqueios indesejados. Vamos a um exemplo: se você conhece o intervalo aproximado de endereços IP que seu provedor de serviços de Internet usa, terá a capacidade de colocar todo o intervalo na lista de permissões. Isto vai garantir que você não se bloqueie por acidente.
Não podemos esquecer que os invasores conhecem a tentativa máxima de login padrão deste e da maioria dos outros plugins com funcionalidade semelhante. E respondem de acordo. Caso o limite de tentativas de login padrão for 15, eles vão programar seus robôs de força bruta para interromper as tentativas em 14 e aguardar o tempo necessário até o próximo ataque. Esses plugins de limite de login não são a solução final, mas segurança é reduzir o risco, já que é impossível eliminá-lo.
Vantagens de limitar as tentativas de login no WordPress: reduz a eficácia da força bruta.
Desvantagens de limitar as tentativas de login no WordPress: Se você esquecer sua senha, ou não estiver usando um gerenciador para as mesmas, pode ficar trancado para fora do próprio site.
Usar uma URL que não seja padrão
Este item podemos dizer que tem o estilo “segurança através da obscuridade”: não deve ser sua única saída, mas também não vai trazer danos para o seu site. A maneira mais fácil de executar esta ação é através de plugins como o WPS Hide login:
plugins como o WPS Hide login permitem que você altere o URL de login facilmente A vantagem de alterar a URL de login é que os robôs que estão vasculhando automaticamente sites com URLs /wp-login.php e /wp-admin podem ser bloqueados ou não verão seu site como vulnerável a um ataque.
Vantagens de alterar os URLs de login no WordPress: segurança adicionada
Desvantagens de alterar URLs de login no WordPress: Não é confiável. Você também pode esquecer o novo endereço definido.
Reforçar seu wp-config.php
Uma ação que vai ajudar na segurança do seu site é diminuir a exposição do seu painel wp-admin. Mas lembre-se, esta etapa deve ser executada com profundidade. Você deve tomar todas as ações possíveis para impedir, obstruir, atrasar e frustrar os hackers de alcançarem seus objetivos.
Vamos imaginar uma hipótese desastrosa: todas as suas barreiras do wp-admin acabam caindo. Talvez você esteja usando algum plugin vulnerável em seu site que permite acesso de administrador não autenticado ou até escalonamento de privilégios (um assinante pode se tornar um administrador devido a uma falha na segurança). Quando falamos na segurança do seu site, essas são possibilidades muito reais, principalmente se você estiver usando um grande número de plugins (quanto mais você usa, maior é a superfície para os hackers atacarem). Você deve estar se perguntando: O que devo fazer então?
Existem duas regras de segurança adicionais principais que vão ajudar a proteger seu site, se chamam disallow_file_edit e disallow_file_mods. Agora vamos explorar como cada uma delas funciona!
disallow_file_edit
Esta função, que pode ser adicionada ao wp-config.php, deveria estar habilitada de forma padrão na instalação do WordPress, mas infelizmente não está. Essencialmente, esta função impede que os invasores modifiquem arquivos diretamente pelo painel wp-admin. É muito comum que os invasores editem em backdoors, em arquivos de tema ou plugins depois da invasão, particularmente para arquivos como o 404.php no tema como pode ver abaixo:
Uma vez que o backdoor do invasor é estabelecido, ele é capaz de manter o acesso mesmo depois que as senhas são alteradas, e esse é o principal perigo de deixar esta área vulnerável.
Esta funcionalidade pode ser desabilitada adicionando o seguinte ao seu arquivo wp-config.php:
Depois de você executar esta ação, a função do editor não estará mais acessível aos ataques:
Além do bloqueio, as tentativas de acessar manualmente o editor são recebidas com um erro de permissão:
Vantagens de usar disallow_file_edit: Limita a capacidade dos invasores de estabelecer acesso backdoor, bem como entregar sua carga útil.
Desvantagens de usar disallow_file_edit: Limita a funcionalidade do administrador do seu site.
disallow_file_mods
O que um hacker faria em seguida? Já eliminamos a capacidade de editar arquivos, então deve estar se perguntando, como entregaríamos nossa carga útil?
De forma fácil! Basta instalar um plug-in do repositório do WordPress que nos permite fazer upload de arquivos:
O próximo passo é carregar nosso webshell e está tudo pronto, você já tem acesso sustentado ao meio ambiente. Este não é um exemplo raro ou sem histórico; já vimos esses tipos de plugins sendo usados como vetores de ataque com muita frequência.
Como podemos evitar que os invasores fizessem isso? Adicionando o seguinte ao wp-config.php:
No entanto, assim que tomamos esta ação de segurança adicional, você vai sentir falta de algo claramente na página de plugins:
O botão Adicionar novo sumiu! Conseguimos bloquear com sucesso o wp-admin, também nos limitamos a realizar facilmente manutenção completa ou trabalho de rotina no site, particularmente a capacidade de atualizar e instalar plugins através do painel!
Isto obviamente causa mais problemas do que resolve, já que o uso de software desatualizado e vulnerável é de longe a causa número um de vulnerabilidade e ataques a sites; a última coisa que queremos fazer é tornar tudo mais complicado na hora de atualizar nosso software. Além disso, quando disallow_file_mods é definido como true, isso também remove as notificações de que os plugins estão desatualizados!
Mas lembre-se, mesmo com plugins habilitados para disallow_file_mods, os mesmos ainda podem ser atualizados facilmente através do backend, basta usar uma ferramenta de linha de comando como WP-CLI:
Você deve lembrar que o WordPress não mostra a notificação de plug-in desatualizada com esse recurso de segurança ativado, então, caso essa seja sua escolha, você deve executar este comando diariamente:
php wp-cli.phar plugin update –all
Com as dicas acima, nosso ambiente ainda pode ser mantido facilmente, mas não pelos botões que você está acostumado a usar no painel. Lembre-se de ter um serviço de backup diário em execução caso precise restaurar alguma coisa.
Vantagens de usar disallow_file_mods: Esta ação diminui significativamente a capacidade dos invasores de fazer upload de malware e atacar seu site.
Desvantagens de usar disallow_file_mods: Esta ação prejudica significativamente sua capacidade de realizar manutenção básica e funções administrativas de rotina, isso significa, mais trabalho.
A implementação de segurança ideal para você e seu site
Como vimos neste post, existem inúmeros métodos que podem ser usados para melhorar a segurança do seu site e evitar vulnerabilidades. Alguns deles são práticos, didáticos e leves, enquanto outros são mais complexos e vêm com desvantagens para facilidade de uso da plataforma e sua funcionalidade. Como proprietário de um site, a decisão é sua sobre qual nível de redução de risco é adequado para seu negócio.
Você pode misturar e combinar os diferentes métodos aqui. Talvez sua necessidade seja apenas manter a restrição de acesso IP e parar por aí. Ou, se isso também for muito trabalhoso, você pode colocar algumas proteções de força bruta e um CAPTCHA e ficar satisfeito com isso. Outra opção é implementar todas as proteções listadas acima e realizar toda a manutenção e atualizações do site por meio do back-end, usando a ferramenta de linha de comando wp-cli. A escolha da proteção máxima é sua.
