Bagaimana cara cek keamanan WordPress dan melihat apa saja yang terbuka di situs saya?

Cara paling jujur untuk cek keamanan WordPress adalah mengujinya dari luar seperti bot: buka /wp- login.php, /xmlrpc.php, /wp-json/wp/v2/users, /?author=1, dan /wp-sitemap-users-1.xml tanpa login. Responsnya menunjukkan pintu login mana yang terbuka dan nama pengguna mana yang bocor. Pindai Permukaan di Hushfort Security, plugin keamanan WordPress gratis, menjalankan pemeriksaan yang sama untuk Anda.

Mengapa ini penting

Sebagian besar saran keamanan berkisar pada tombol: aktifkan ini, nonaktifkan itu. Namun tombol hanya memberi tahu apa yang Anda minta, bukan apa yang terjadi. Lapisan cache mungkin menyajikan respons lama. Aturan CDN mungkin memblokir sebuah file sebelum WordPress sempat melihat permintaannya. Sebuah plugin mungkin membuka kembali sesuatu yang sudah ditutup plugin lain. Satu-satunya jawaban jujur untuk "apa saja yang terbuka di situs saya?" adalah menanyakannya seperti yang dilakukan orang asing.

Kabar baiknya: daftar hal yang perlu diperiksa di sisi login itu pendek. Bot mencari segelintir alamat yang sama di setiap situs WordPress:

Tidak satu pun dari ini merupakan bencana jika berdiri sendiri. Namun bersama-sama, semuanya memberi bot daftar nama dan dua pintu untuk mencobanya. Dengan mengetahui mana yang terbuka, Anda bisa menutupnya dengan urutan yang benar: pintu dulu, nama kemudian.

Kesalahan umum

• Menguji dalam keadaan login. WordPress menampilkan lebih banyak kepada pengguna yang sudah login. Gunakan jendela pribadi atau curl.
• Menguji halaman yang di-cache. Jika Anda baru saja mengubah pengaturan, bersihkan dulu cache halaman dan cache CDN, atau Anda akan melihat jawaban lama.
• Berhenti di lampu hijau pertama. Menutup formulir login sementara XML-RPC tetap terbuka adalah perbaikan setengah jalan yang paling sering kami temui.
• Mengharapkan audit keamanan menyeluruh. Pengecekan ini hanya tentang jalan masuk. Tidak ada yang dikatakannya tentang malware, perubahan file, atau plugin yang ketinggalan versi.

Tanpa plugin

Lima perintah curl di langkah 1 adalah cara manualnya, dan layak diketahui. Baca hasilnya seperti ini:

• HTTP/2 200 pada wp-login.php: login bawaan bersifat publik. 404: sudah disembunyikan.
• XML-RPC server accepts POST requests only. dari xmlrpc.php: endpoint aktif. Untuk melihat apakah login diterima, Anda harus mengirim panggilan wp.getUsersBlogs dengan akun uji.
• Array JSON dari /wp/v2/users dengan kolom "slug": nama pengguna bersifat publik. 401 atau array kosong: tertutup.
• Location: /author/nama/ dari ?author=1: bocor. Ulangi dengan 2, 3, dan seterusnya untuk melihat berapa banyak pengguna yang bisa dikumpulkan bot.
• 200 pada sitemap pengguna: URL penulis tercantum.

Kekurangannya ada pada waktu dan cara membaca hasilnya. Anda harus mengulanginya setiap kali ada perubahan, dan menguji login XML-RPC dengan benar berarti menyusun XML secara manual.

Jika ada yang salah

• Hasil pindaian bilang "terbuka", padahal sudah Anda matikan. Bersihkan cache halaman dan CDN, lalu pindai lagi. Jika masih terbuka, mungkin ada plugin lain atau aturan server yang menimpa pengaturan itu.
• Pemindaian tidak bisa menjangkau situs Anda. Beberapa hosting memblokir situs untuk mengirim permintaan ke dirinya sendiri (loopback). Minta penyedia hosting Anda mengizinkan permintaan loopback, atau gunakan cara curl dari luar.
• Nama pengguna masih bocor setelah penguatan. Periksa kotak penulis di tema Anda dan sitemap penulis dari plugin SEO. Ganti nama tampilan penulis jika tema mencetaknya.

Dengan Hushfort

Pindai Permukaan ada di panel Penguatan Permukaan Hushfort. Fitur ini mengukur apa yang benar-benar terbuka di situs Anda dengan permintaan sungguhan, sama seperti cara manual, dan menyebutkan nama pengguna yang ditemukannya satu per satu. Setiap temuan terhubung ke lapisan Hushfort yang menutupnya:

• Login XML-RPC → Kunci Pintu Belakang (Pro)
• Daftar pengguna REST, pemindaian penulis, sitemap → Perisai Nama Pengguna (Pro)
• Login bawaan → Sembunyikan Login (gratis)

Kami membangun Pindai Permukaan setelah sebuah toko terus menerima percobaan kata sandi melalui XML-RPC, padahal halaman login-nya sudah disembunyikan. Pengaturannya tampak baik-baik saja; hanya permintaan sungguhan yang memperlihatkan pintu yang masih terbuka.