Gyakorlati útmutató · Webbiztonság
WordPress biztonsági ellenőrzőlista
Frissítések, fiókok, fájlok, űrlapok és mentés: amit a saját oldalán a fejlesztővel együtt végignézhet.
2026. november 4. · P1R4T3 Kutatás
A lista a saját WordPress-oldalához készült, lehetőleg a fejlesztővel együtt. Módosítás előtt készítsen mentést. Idegen oldalt engedély nélkül ne vizsgáljon.
Frissítések és bővítmények
- A WordPress, a témák és a bővítmények frissítve vannak.
- A nem használt bővítményeket és témákat törölték, nem csak kikapcsolták.
- Minden bővítményt támogat még a fejlesztője, és megbízható forrásból származik.
- Van terv arra, ki és milyen gyakran frissít.
Fiókok és belépés
- Az adminisztrátori fiókokon kétlépcsős azonosítás van.
- Korábbi fejlesztők és ügynökségek fiókjait törölték, a szerepkörök a szükséges minimumot adják.
- A belépési kísérletek korlátozottak.
- Nincs „admin” nevű alapértelmezett fiók és közös belépés.
Fájlok és beállítások
- A wp-config.php, a mentések és a telepítési fájlok nem érhetők el a webről.
- A hibakereső mód éles oldalon ki van kapcsolva.
- A könyvtárlistázás tiltott, a fájlszerkesztő az adminból kikapcsolható (DISALLOW_FILE_EDIT).
- Az XML-RPC ki van kapcsolva, ha nincs rá szükség.
Űrlapok, adatok, WooCommerce
- Az űrlapok védettek a kéretlen beküldés ellen, és a feltöltött fájlok típusa korlátozott.
- Webshopnál két tesztfiókkal: az egyik vásárló nem éri el a másik rendelését.
- A régi űrlapbeküldéseket és rendeléseket a megőrzési szabályok szerint törlik.
Mentés és helyreállítás
- A mentés a tárhelytől külön is megvan, és a visszaállítást kipróbálták.
- HTTPS mindenhol, a fő biztonsági fejlécek be vannak állítva.
- Tudja, kit kell hívni, ha feltörik az oldalt.
Mikor nem elég a lista?
Ha egyedi bővítmény, webshop, több szerepkör vagy személyes adat is van az oldalon, a lista nem pótolja a kézi vizsgálatot. Így végezzük a webes behatolástesztet.