Ultimamente  si stanno verificando molti attacchi Brute Force  a siti con installazioni di WordPress ed in particolar modo al file wp-login.php . Proteggere il wp-login.php dell’installazione del proprio wordpress è una pratica che aumenta il livello di sicurezza del sito e soprattutto può tornare utile in casi come quelli di attacchi Brute Force, di cui ne abbiamo parlato in un precedente articolo .

Vediamo come attivare una protezione sul proprio sito aggiuntiva rispetto a quelle utilizzabili con plugin ad hoc .

1. Come prima cosa andiamo sul sito htaccesstools.com e inseriamo un’username ed una password nell’apposito form. Potete utilizzare qualsiasi tipo di username e qualsiasi tipo di password, una media robustezza per entrambe sarebbe indicata. Come risultato avremo una stringa che ci verrà utile in uno step successivo, quindi salvatela su un editor di testo.
   ( potete creare quanti utenti volete senza nessun tipo di problema, basterà utilizzare sempre il sito proposto eseguire più volte la procedura e aggiungere una stringa per riga nel file .htpasswd. Vedi punto 3 )
2. Collegatevi in FTP oppure dal vostro pannello di controllo ( se siete clienti Seeoux avrete il cPanel, e potrete accedere da www.vostrodominio.it/cpanel ) ed andate nella vostra /home.
3. Create qui un file con il nome .htpasswd , nel file appena creato inserite la stringa che avete recuperato nel punto 1 . Salvatevi il percorso del file appena creato, ad esempio /home/nomeuser/.htpasswd ( dove nomeuser sarà il vostro nome utente per lo spazio web ) .
4. Spostatevi nella cartella d’installazione del vostro wordpress, prendiamo in esame la directory principale, ovvero la public_html , aprite con un editor il file .htaccess e incollate all’inizio di tale file il seguente codice:

<FilesMatch "wp-login.php$">
AuthName "Login protetto"
AuthType Basic
AuthUserFile /home/nomeuser/.htpasswd
Require valid-user
ErrorDocument 401 /errore.html
</FilesMatch>

A questo punto il wp-login.php del vostro wordpress sarà sicuro. Andnado su www.nomedominio.it/wp-admin o nomedominio.it/wp-login.php ( sostituite nomedominio.it con il vostro vero nome a dominio ) vi  apparirà sul browser una maschera di connessione ( diversa da quella normale di wordpress ) in cui dovrete andare ad inserire i dati inseriti nel punto 1.

Dopo questa autenticazione sarete indirizzati verso il wp-admin normale e classico in cui andrete ad inserire i normali account di accesso della vostra installazione WordPress.

[via]

The post Proteggere il wp-login del tuo wordpress first appeared on Web Hosting Seeoux.

Ultimamente molte installazioni di WordPress vengono prese di mira con attacchi Brute Force, portando problemi di lentezza nonchè di sicurezza ai siti e alle installazioni del CMS stesso. Cerchiamo di capire di cosa si tratt..

Cos’è un Brute Force?

Un attacco in Brute Force è un tipo di attacco che viene messo in pratica  per ottenere l’accesso a un sito o un’area dello stesso: si cercano attraverso tentativi multipli, di scoprire nomi utente e password, fino a quando questi non vengono trovati o fino a quando l’attacco stesso non viene terminato.

In WordPress soprattutto viene preso di mira il file wp-login.php che permette l’accesso al backend del CMS dal /wp-admin della propria installazione. Gli attacchi Brute Force per la loro natura, ovvero richieste HTTP continue e frequenti che vengono effettuate dai client verso il server, possono rallentare il caricamento del vostro sito web o comunque far notare un peggioramento delle prestazioni.

Vediamo come difenderci da un Brute Force in WordPress:

Andando sul sito ufficiale wordpress.org ci vengono riportate tutte le protezioni che si possono prendere ed attivare su un’ installazione per aumentare il livello di sicurezza evitando e riducendo i Brute Force.

Alcuni consigli che  vengono offerti sono quelli di non usare un nome utente e password comuni per l’area amministrativa, come possono essere username: admin e password: prova ( esempio ) , ma avere un’username ed anche password robusti e che non siano facilmente scopribili.

Altri consigli che possono essere utili per evitare i Brute Force sono l’attivazione di alcuni plugin come:

Limit Login Attempts il quale limiterà il numero di login errati da client che tenteranno di loggarsi nel vostro wp-admin.

Lockdown WP Admin Questo plugin bloccherà l’area wp-admin per utenti non connessi e sarà utile anche per rinominare l’url di login all’area amministrativa del vostro WordPress.

Better Wp Security Plugin che è uno dei must per aumentare la sicurezza di un’installazione in wordpress, questo plugin fa parecchie cose, per restare nel tema:

• Modifica l’URL per l’admin di WordPress.
• Rinomina l’account admin
• Cambia l’id sull’username di default che ha ID 1
• Cambia il prefisso delle tabelle dell’installazione di WordPress
• e molto altro ancora…

Vediamo ora come poter usare una migliore protezione sul proprio sito wordpress operando direttamente dallo spazio web e da file .htaccess.

The post Brute Force WordPress, come difendersi first appeared on Web Hosting Seeoux.