Jan Kraus » Blog

9 porad jak zabezpieczyć nową instalację Wordpressa

Jan Kraus — Thu, 20 Nov 2008 17:19:15 +0000

Po zaktualizowaniu i dostosowaniu mojej wersji Wordpressa, pozostało jeszcze kilka rzeczy do zrobienia. Jedną z ważniejszych spraw jest kwestia bezpieczeństwa. Wordpress jest świetnym silnikiem do blogowania, sprawdzonym na setkach tysięcy stron. Mimo to, nie należy bezgranicznie ufać wszystkim jego rozwiązaniom.

Każda strona w Internecie jest narażona na ataki. Dlatego szukając dobrych sposobów na zabezpieczenie swojego bloga, skompilowałem listę kilku najciekawszych porad, które w znacznym stopniu zwiększą bezpieczeństwo świeżo zainstalowanego Wordpressa.

Nie ma powodu dla których można by ignorować bezpieczeństwo Twojego bloga. O ile szansa, że ktoś celowo będzie próbował hackować Twoją stronę, nie jest zbyt duże, to z większym prawdopodobieństwem można spodziewać się wizyty różnych spambotów. Przeczesują one Internet w poszukiwaniu potencjalnych możliwości włamania. W najgorszym przypadku Twój blog może zostać wykorzystany jako farma linków lub jako bramka do wysyłania spamu.

Zawsze używaj najnowszej wersji Wordpressa. Z dużym prawdopodobieństwem można stwierdzić, że posiada ona najmniej błędów (przynajmniej wszystkie te, znane z poprzednich wersji były naprawione). O ile to możliwe, dobrze jest aktualizować zarówno silnik jak i zainstalowane wtyczki.
Zabezpiecz swój katalog wp-admin. To tam siedzą najwazniejsze pliki w Twoim blogu. Najprościej użyć pliku .htaccess. Możesz to zrobić na kilka sposobów, np. pozwalając na dostęp do tego katalogu tylko dla Twojego adres IP AuthUserFile /dev/null AuthGroupFile /dev/null AuthName "Administracja" AuthType Basic order deny,allow deny from all # dopuść adres z domu allow from 132.120.168.12 # dodaj mój adresy z pracy allow from 66.143.114.201 # itd...
Jak sprawdzić swoje IP? Na przykład tutaj lub tutaj . Takie zabezpieczenie nie zadziała jednak, gdy mamy zmienne adresy IP. Wtedy możesz dodać na przykład zabezpieczenie w postaci hasła:
AuthName "Administracja" AuthType Basic # ścieżka do pliku z hasłem np. AuthUserFile /home/johny/.htpasswd Require valid-user
W pliku .htpasswd powinny się znaleść login i hasło (można wyklikać np. tutaj) w postaci: username:password
Jeśli ktoś nie lubi ręcznej zabawy z plikiem .htaccess, można skorzystać z wtyczki AskApache Password Protect. Automatycznie zatroszczy się ona o zabezpieczenia plików i katalogów w Twojej instalacji Wordpressa. Niestety, nie odmawia współpracy z moim obecnym hostingiem. W najbliższych dniach planuję jednak przenieść się na lepszy serwer, więc później napiszę może jeszcze trochę o jej możliwościach.
Zabezpiecz Twój katalog z pluginami. Wtyczki do Wordpressa pozwalają rozszerzyć możliwości Twojego bloga. Tworzone przez społeczność skupioną wokół wordpressa mogą przecież zawierać błędy. W WP domyślnie, katalog z wtyczkami jest niezabezpieczony. Potencjalny włamywacz mógłby sprawdzić jakich wtyczek (lub ich wersji) używasz, a następnie wykorzystać znane w nich luki do próby włamania. Nie daj takiej szansy. Wystarczy że do katalogu /wp-content/plugins/ umieścisz pusty plik index.html aby uniemożliwić wyświetlenie zawartości takiego katalogu. Albo możesz użyć pliku .htaccess: Options -Indexes
Nie używaj defaultowego loginu: admin. Zmieniając domyślny login, w prosty sposób dodasz kolejne zabezpieczenie. Hakerowi będzie trudniej odkryć (złamać) Twoją kombinacje login/hasło. Jeśli nie zrobiłeś tego na samym początku, nie szkodzi. Utwórz nowego autora z prawami administratora, a następnie usuń starego przypisując jednocześnie jego rzeczy (posty i linki) do nowego konta.
Wtyczka Login Lockdown pozwoli zabezpieczyć Twój login przez atakami brute force. Jeśli zły login/hasło pojawia się zbyt często plugin chwilowo blokuje możliwość logowania.
Zmodyfikuj template z nagłówkiem Twojej strony. W sekcji nie musisz wyświetlać wersji Wordpressa, której używasz. Może to potencjalnie dać szansę na wykorzystanie luk bezpieczeństaw występujących w konkretnych wersjach. Ponieważ string z generatorem jest dodawany automatycznie przez Wordpressa, należy w pliku functions.php dla aktualnie używanego szablonu dodać linijkę: remove_action('wp_head', 'wp_generator');
Jeśli chcesz zostawić informacje o Wordpress możesz ręcznie w nagłówku strony wstaw wiersz
Jeśli na swojej stronie kontaktu używasz formularza, to upewnij się że jest dobrze zabezpieczony. Niezabezpieczone formularze do wysyłania poczty stanowią często bramkę do wysylania spamu. Możesz skorzystać z wtyczki Secure Form Mailer, która pomoże stworzyć Ci bezpieczny formularz kontaktu.
Na koniec – nigdy do końca nie ufaj zabezpieczeniom. Zrób kopie zapasową Twojej bazy danych. Zainstaluj plugin wp-database-backup i skonfiguruj codzienne backupy Twojej bazy.

Tym razem trochę ciemniej

Jan Kraus — Mon, 17 Nov 2008 02:21:43 +0000

Od kilkunastu dni pracowałem wytrwale nad nowym dizajnem dla mojej strony. Nie będę ukrywał, że moje umiejętności tworzenia layoutów są dalekie od idealnych. O niebo lepiej wychodzi mi na przykład ich implementacja w XHTML/CSS.

Po raz pierwszy tworzyłem layout w ciemnych kolorach. Nie było to proste, ale po kilku długich wieczorach udało mi się stworzyć wstępne zarysy. Screen, który zamieściłem we wcześniejszym wpisie stracił trochę na aktualności. Myślę jednak, że zmiany były tego warte.

Coś się zmieniło?

Nie da się nie zauważyć, że zmiany są dosyć gruntowne. Homepage stał się teraz takim hubem, od którego można zacząć przeglądanie reszty podstron. Zrezygnowałem ze standardowego układu bloga. Chronologiczna lista wpisów wydawała mi się trochę nudna, więc zaproponowałem coś, co moim zdaniem jest bardziej atrakcyjne dla czytelnika.

Strona główna zawiera tylko jeden, najświeższy wpis. Właściwie tylko nawet jego teaser mający zachęcić do przeczytania reszty. Jeśli odwiedzający nie będzie nim zainteresowany, to pod spodem znajdzie różnorodne sposoby na przeglądanie innych zasobów. Archiwum, kategorie, tagi, najnowsze wpisy i komentarze. Wszystko to jeszcze wizualnie rozdziela feed wyświetlający 12 ostatnich zdjęć na Flickr.

W takiej bardziej rozbudowanej stopce znalazły się niewielkie boksy zawierające:

krótkie informacje kontaktowe,
linki, którymi chcę się podzielić,
oraz fragment widget wyświetlający moją najnowszą aktywność (źródło z FriendFeedu)

Więcej informacji na mój temat oczywiście na stronie o mnie. Aktywność z FriendFeedu również wygląda tam dużo ciekawiej.

Widgety i javascript

Większość z elementów na głównej stronie jest poskładana z widgetów, które oferują sporo ciekawych funkcjonalności. Niestety w moim mniemaniu ich wyświetlanie nie jest zbyt elastyczne. Aby ułatwić pozycjonowanie elementów w kontenerze z czterema kolumnami, pomogłem sobie trochę prostą funkcją JS, która po załadowaniu strony grupuje dwa widgety (tagi i kategorie) przenosząc je do dodatkowego kontenera.

function fixWidgets(){ var middleBox = new Element('div',{'class':'second-col','id':'second-col'}) middleBox.insert($$('div.widget_categories')[0]).insert($$('div.widget_tag_cloud')[0]) $('archives').insert({ 'after': middleBox }) } document.observe('dom:loaded',fixWidgets)

Podobne funkcje wykorzystałem jeszcze w paru innych miejscach. Te kilka linijek kodu nie byłoby oczywiście możliwe bez wspaniałej biblioteki Prototype JS.

Problem z fontami

Przy okazji tworzenia ciemnego layotu jeden problem nie dawał mi spokoju. Używany przeze mnie font Lucida Grande (i jak się później okazało, w ogóle wszystkie fonty) wyglądają okropnie grubo na czarnym tle. Normalne – ciemne litery na białym tle – wyglądały całkiem w porządku.

Pogooglałem trochę w poszukiwaniu wyjaśnienia tego dziwnego zachowania. Na jednym z blogów znalazłem odpowiedź. Winnym okazał się bug w module Core Text odpowiedzialnym za renderowanie czcionek w systemie Mac OS X. Na Leopardzie wszystkie jasne czcionki na ciemnym tle wyglądają w ten sposób. Zarówno pod Firefoxem jak i Safari.

Autor podał rozwiązanie, które tymczasowo zastosowałem w swoim arkuszu stylów. Hack polega na ustawieniu opacity (przeźroczystości) na 0.999999 zmuszając w ten sposób przeglądarkę do zmiany sposobu renderowania tekstu.

/* OS X CSS font rendering hack */ h1,h2,h3,h4,h5,p,li,a,span,strong,input,td,th,caption,textarea{ opacity:0.999999; }

Doraźnie pomogło. Nie jestem jednak przekonany ostatecznie o stuprocentowej poprawności takiego rozwiązania. Przydałaby się tutaj jeszcze detekcja systemu operacyjnego odwiedzających. Użytkownicy systemów Windows i Linux są wolni od tego błędu. Nie potrzeba więc dodatkowo obciążać sposobu renderowania strony przez inne przeglądarki. Dodatkowo nie wiem też, czy zastosowanie przezroczystości nie będzie miało odczuwalnego wpływu na płynność wyświetlania strony. Musiałbym to przetestować na jakimś wolniejszym komputerze (co wcale nie jest takie proste )

Czy to wszystko?

Na początek wystarczy. Jestem zadowolony z efektu i chciałbym teraz moją uwagę poświęcić przede wszystkim pisaniu. Ale na pewno kilka elementów będę jeszcze dopracowywał. Nie do końca pasuje mi sekcja z archiwum. Muszę też zrobić porządek w postach, kategoriach i tagach. Niektóre rzeczy były tam wcześniej nie do końca przemyślane i zrobił się tam mały bałagan.

Chętnie wysłucham waszych opinii na temat zmiany, która zaszła. Czy podoba się wam nowy wygląd? Co sądzicie kolorach, tekstach, kontraście (sam chyba myślę, że w niektórych miejscach jest zbyt słaby), układzie i nawigacji? Które elementy się wam podobają, a które przeszkadzają?

Nowa wersja bloga

Jan Kraus — Thu, 23 Oct 2008 16:01:42 +0000

W wolnych chwilach pracuję nad nową szatą graficzną dla mojej strony. Zmiany będą dosyć poważne. Pod nóż pójdzie wszystko: kolorystyka, układ, nawigacja, sidebar, footer oraz tagi i kategorie…

Nie chcę na razie mówić o detalach. Poniżej wrzucam małą zajawkę tego, co będzie można zobaczyć wkrótce. Powiem tylko jedno: it is going to be dark.

Aktualności

Jan Kraus — Thu, 25 Sep 2008 14:55:43 +0000

Nie piszę, nie piszę. Bo nie mam ostatnio zbyt dużo czasu. Jest kilka spraw, które zabrały mi sporo wolnych zasobów

Wymieniając choćby kilka najważniejszych:

kupiłem MacBooka Pro. I jestem bardzo zadowolony.
kupiłem iPhone. Też mi się podoba. Brakuje mi tylko opcji udostępniania internetu. Ale z tego co się orientuję sprawę załatwi mi jakiś modem gsm pod slot Express Card. Trzeba będzie tylko wachlować kartą SIM. Chyba że Orange może wydać duplikat? Jak się dowiem to napiszę.
mam dużo pracy. I za tydzień lecę do Monachium. Szkoda że nie do Londynu na FOWA. Ale za rok postaram się tam być.
planuję własny startup. Development ruszy niedługo.

Bloga nie uaktualniałem zbyt często. Ale zamierzam to naprawić. Postaram się odświeżyć design oraz dodać parę widgetów i pluginów. No i oczywiście pisać. Zejdę trochę z tematu Apple’a i web2.0. O startupach niech pisze Hazan. Jest w tym dobry. Lubię go czytać. Trochę.

A o czym będzie? Mam w przygotowaniu kilka wpisów na tematy bardziej związane z webdevelopingiem. I jeszcze trochę o innych ciekawych rzeczach.

Gdyby ktoś mnie szukał, to znaleźć można mnie także na Twitter, Facebook, Digg, Flickr i Friendfeed. Tam byłem trochę bardziej aktywny.

WordPress w wersji 2.5

Jan Kraus — Sun, 30 Mar 2008 13:13:10 +0000

Wczoraj ukazał się kolejny release silnika, który stoi za tym blogiem. Wordpress w wersji 2.5 jest już publicznie dostępny. Postanowiłem więc poświęcić chwilę, żeby zaktualizować swojego bloga do najnowszej wersji i bliżej przyjrzeć się zawartym w niej zmianom.

Najpoważniejszym zmianom uległ interfejs użytkownika. Redesign panelu administracyjnego został przeprowadzony przy współpracy ze studiem Happy Cog (studio Jeffreya Zeldmana) i w oparciu o uwagi użytkowników Wordpressa.

Startowy dashboard ma być bardziej przejrzysty, szybszy i dużo prostszy w customizacji. W dashboardzie możemy znaleźć teraz na przykład listę stron, które linkują do naszego bloga, a za pomocą widgetów możemy dostosować praktycznie całą zawartość tej strony (muszę tylko odkryć jeszcze w jaki sposób). Zakładki do zarządzania notkami i komentarzami zyskały nowy wygląd, dodano wyszukiwarkę wpisów oraz możliwość edycji tagów. Poprzedni układ admina był według mnie całkiem w porządku ale zmiany, które teraz wprowadzono są jak najbardziej na plus.

Zmieniono także (dodano?) zarządzanie galeriami multimediów. Teraz upload, dodawanie zdjęć, filmów albo klipów audio ma być łatwiejsze i bardziej intuicyjne. Zobaczymy – ja nie umieszczam jakoś szczególnie wielu plików graficznych, żeby być zainteresowany tymi zmianami i osobiście wolę samodzielnie uploadować sobie obrazek i ręcznie wstawić go do wpisu – ale nie neguje tych zmian. Mam nadzieję, że okażą się pomocne.

Poza tym trochę zmian w źródle: optymalizacja bazy danych, zwiększone bezpieczeństwo haseł i jeszcze kilka innych zmian zaproponowanych przez społeczność Wordpressa. Więcej o zmianach można przeczytać na blogu Wordpressa we wpisie Matta poświęconemu temu wydaniu.

Przy okazji delikatnej przeróbce uległa też główna strona wordpress.org – jest schludna, czytelna i fajnie zrobiona. Bardzo lubię taki styl.

Ogólnie, bardzo mi się podoba ten release. Wprowadza dużo ciekawych zmian i otwiera (w mojej opinii) długą i żmudną drogę do wersji 3.0. A przy okazji tych zmian, ja muszę wreszcie pomyśleć nad dokończeniem kilku detali w moich szablonach.

Blog zyskuje nowy wygląd

Jan Kraus — Sun, 24 Feb 2008 18:00:17 +0000

Wreszcie po kilku miesiącach od uruchomienia mojego bloga, udało mi się znaleźć trochę czasu żeby zaprojektować własny design dla szablonów. Efektem ciężkiej pracy podczas tego weekendu jest nowy skin pod nazwą “div.blog”.

Najwięcej czasu zabrało mi wymyślenie samego konceptu i układu dla nagłówka. Chciałem w nim zawrzeć logo parafrazujące składnię CSS (bo składanie cssów to moja codzienna praca), niewielką nawigację i krótki tekst o mnie. Później dodałem jeszcze fotkę i wyszło całkiem ciekawie. Później standardowo treść podzielona na dwie kolumny – główną i sidebar ze spisem kategorii, archiwum i moimi zdjęciami z Flickr. Na dole stopka – właściwie to nawet jest to coś więcej niż zwykły footer. W dolnej części strony zawarłem linki do kilku ostatnich artykułów, komentarzy i polecanych stron. Nad zawartością tej sekcji muszę jeszcze trochę pomyśleć i graficznie dopracować (i to dosyć mocno dopracować).

Ostatecznie jestem bardzo zadowolony z tego designu. Oczywiście niektóre elementy wymagają jeszcze dopieszczenia tak, żeby nabrały większej okłady, CSS potrzebuje kilkunastu hacków dla znIEnawidzonego IE6, a do WordPress’a muszę doinstalować jeszcze kilka pluginów. Mimo wszystko, generalnie to co teraz widzicie ma spore szanse zostać na jakiś czas w tym miejscu.

Hello world!

Jan Kraus — Mon, 12 Nov 2007 15:44:41 +0000

To mój pierwszy post na nowo założonym blogu. Powinienem był go zacząć już dużo wcześniej, ale zawsze brakowało mi na to czasu… Aż do dzisiaj. Zamierzam wziąć się do pracy i pisać w miarę często. Oczywiście na tyle, na ile pozwalały będą mi praca i studia. Na razie czuję się bardziej czytelnikiem niż bloggerem, ale mam nadzieję, że niedługo te przyzwyczajenia ulegną zmianię.

Więc, o czym będzie ten blog?

Jak widać po nagłówku, najczęściej pojawiać się tu będą artykuły dotyczące szeroko pojmowanych nowych technologi – a w szczególności Internetu. Nie będę ukrywał, że w tym kierunku głównie zmierzają moje zainteresowania. Jest więc tu miejsce dla takich tematów jak aplikacje web2.0, sieci społecznościowe, Google, Facebook, Yahoo, Microsoft, blogi, startupy, mashupy, a także Apple, Iphone, BitTorrent, i tak dalej… Oczywiście, nie tylko za oceanem coś się dzieje. Dlatego chciałbym przyjrzeć się również temu co dzieje się u nas. Z uwagą będę starał się obserwować jak rozwija się polska branża internetowa.

Od czasu do czasu znajdzie się tu także trochę artykułów na tematy bardziej przyziemne, związane z tworzeniem stron WWW, ponieważ tym zajmuję się na co dzień. Tak więc, jeżeli znajdę trochę więcej czasu, postaram się pisać trochę na temat języka XHTML, CSS albo Javascript. No i oczywiście napiszę pewnie jeszcze o dziesiątkach innych rzeczy, które w tym momencie nie mogą mi przyjść do głowy. Mam nadzieję, że już niedługo będziecie mieli okazję się przekonać.

Sam blog działa oczywiście w oparciu o wspaniały, opensource’owy WordPress, a swój trochę bardziej estetyczny wygląd zawdzięcza stylowi Smashing Theme, stworzonemu przez Design Disease. Wierzę, że niedługo uda mi się przygotować własne szablony. No ale to wymaga jednak trochę czasu więc cierpliwości.

Trochę na mój temat

Nazywam się Jan Kraus, od prawie ~~trzech~~ czterech lat zajmuję się tworzeniem stron internetowych. O moich zainteresowaniach pisałem już powyżej, ale dorzucić mogę jeszcze fotografię, muzykę, ~~taniec~~… taniec nie. Od czasu do czasu (ale ostatnio rzadko można mnie spotkać w Orgrimmarze, na serwerze Sporeggar.

Bardzo często zaglądam na Digga. To dla mnie podstawowy dostarczyciel informacji i lektury do czytania. No i oczywiście blogi: Techcrunch Michaela Arringtona, Antyweb Grzegorza Marczaka, Netto Marcina Jagodzińskiego i jeszcze parę innych, które pewnie prędzej czy później znajdą się w sidebarze.

Zapraszam do lektury, komentarzy i dzielenia się swoimi opiniami.