Всем привет! В статье о массовых брутфорс атаках, которые стали особенно активны в начале этого лета, я описал несколько простых от взлома. В одном из пунктов упоминался плагин wSecure Authentication , который позволяет сменить адрес админки WordPress и усложнить задачу для взломщиков. Сегодня решил написать о нем подробнее, тем более что Brute Force атаки продолжаются.
Как зайти в админку WordPress?
Многие начинающие блоггеры (и не только), чтобы не забыть адрес панели администратора устанавливают в сайдбаре виджет “Мета ” с прямой ссылкой “Вход “. Запомните раз и навсегда – этот виджет не нужен на блоге, если вы не используете систему регистрации пользователей. Чтобы попасть в админку WordPress достаточно перейти по ссылке ваш-сайт.ru/wp-login.php или ваш-сайт.ru/wp-admin .
Надеюсь, все это прекрасно знают? Во всяком случае, хакеры уж точно знают и используют эти адреса для взлома админки Вордпресс. Поэтому не надо им помогать, лишний раз показывая где “Вход “. Будет лучше спрятать админку, изменив стандартные ссылки.
Как скрыть админку WordPress с помощью плагина wSecure Authentication
Для решения этой задачи существует несколько способов. Например, с помощью скрипта, как это реализовано на хостинге Макхост, или некоторых сложных плагинов, типа Better WP Security . Но я покажу самый простой способ, который не вызовет ни у кого сложностей.
Для этого установим плагин wSecure Authentication , единственной задачей которого является скрыть страницы /wp-admin и /wp-login.php и ограничить доступ в админку посторонним. Взамен мы создадим свой уникальный URL для входа в панель администратора блога WordPress.
Переходим в меню “Настройки ” – “wSecure Configuration “. Настраиваем плагин, заполнив три строчки:
- 1. Enable (Включить) – включаем плагин и ставим “Да”.
- 2. Ключ – вводим секретный ключ. Можно использовать английские буквы в разном регистре и цифры. Например, если выбрать wpMgSkz , то адрес админки WordPress будет выглядеть так: /wp-admin/?wpMgSkz . Обязательно перед ключом ставить знак вопроса.
- 3. Redirect Options (Опции перенаправления) – указываем, куда будет перенаправлен пользователь, если он введет стандартный URL входа.
По умолчанию в “Redirect Options ” стоит редирект на главную страницу, но можно задать “Пользовательский путь “. Для этого выбираем в выпадающем списке “Custom Path ” и вписываем любой адрес или оставляем тот, который прописан в плагине. В этом случае все будут видеть такую страницу:
Можно вообще перенаправить взломщика на специально созданную страницу и написать ему там пару ласковых слов:-).
Чтобы проверить работу плагина зайдите на блог с другого браузера или почистите cookie. А то бывает, что сначала админпанель блога открывается и по новому, и по старому адресу.
Вот так просто можно изменить адрес админки WordPress, спрятав стандартный URL. Если вдобавок к этому выбрать сложный пароль, не использовать логин “admin” и установить плагин блокировки IP при подборе пароля, то это практически обезопасит ваш блог от взлома путем перебора паролей.
Что делать, если невозможно зайти в админку?
Если по каким-то причинам, после установки плагина wSecure Authentication у вас не получается попасть в админпанель блога, то не стоит паниковать. Лично у меня проблем с этим не возникало, но была похожая ситуация.
Дело в том, что некоторые хостинги, например, Макхост и Спринтхост, заботясь о безопасности сайтов своих клиентов, сами сменили стандартные адреса и предоставили альтернативные ссылки для входа в админку Вордпресс. У меня уже был установлен плагин, и по этим ссылкам меня перебрасывало на несуществующую страницу. Что делать?
Добрый день!
Сегодня я расскажу вам как скрыть страницу в WordPress.
Под скрытием страницы имеется в виду исключение её из общего списка страниц при выводе. Но это не означает, что эта страница не будет индексироваться поисковыми роботами. Т.е., если робот узнает об этой странице, то обязательно её проиндексирует. Это может произойти если где-то на сайте будет ссылка на эту скрытую страницу или вы или кто-то другой известит поисковик об этой странице. Вообщем, если вам нужно скрыть страницу именно от роботов, то для этих целей используйте файл .
Для чего может применяться скрытие страницы из списка вывода?
Например, при подключении поиска Яндекс или Google по сайту. Для вывода результатов поиска на сайте вам понадобится страница. По умолчанию, она будет пустой и прямой переход на неё вам не нужен.
Или, просто, у вас есть страницы, на которые вы хотите ссылаться с других страниц, но не с главной. Также, можно часть ссылок на страницы выводить в хедере, а другую часть – в футере или сайдбаре.
Ранее, я писал . Страница скрывается аналогичном способом, только для вывода списка страниц используется функция wp_list_pages .
Как узнать id страницы WordPress
Для того, чтобы скрыть страницу нам понадобится узнать её порядковый номер, который присвоен странице в базе данных (идентификатор или просто id).
Для этого и перейдите в раздел Страницы .
В списке страниц наведите курсор мыши на название той страницы, id которой нужно узнать.
В браузере внизу в информационной строке вы увидите url-адрес ссылки такого типа:
http://сайт/wp-admin/post.php?post=192&action=edit
Найдите в этой строке значение параметра post . В данном случае post=192 – это и есть id страницы. Т.е. в данном примере id страницы равно 192.
Также, чтобы увидеть этот url-адрес, можно нажать на ссылку редактирования страницы и тогда нужный url будет уже вверху в адресной строке браузера.
Еще, id страницы WordPress можно узнать непосредственно в базе данных в таблице wp_posts . Все записи, у которых post_type = "page" – это страницы. Т.е. получить список всех страниц можно следующим SQL-запросом: .
В поле ID хранится нужный нам идентификатор.
Как скрыть страницу в WordPress
Теперь, когда мы знаем id страницы, можем приступить непосредственно к скрытию этой страницы.
Список страниц в WordPress выводится с помощью функции wp_list_pages .
Откройте файл /wp-content/themes/ваш_шаблон/header.php и найдите в нем вызов функции wp_list_pages .
Вот какой код был в моем header.php:
Если вам нужно скрыть несколько страниц, то перечислите их id через запятую.
Иногда бывают ситуации, когда нужно на сайте с Вордпресс скрыть страницы или записи: временно / навсегда / от незарегистрированных юзеров и т.п. Рассмотрим несколько вариантов как это можно сделать. Плюс заодно расскажу об одном простом интересном плагине WP Hide Post.
Ранее в блоге у меня уже была заметка о том как , но сегодня речь пойдет о фронтенде, то есть о видимости тех или иных элементов для посетителей вашего веб-проекта. Кстати, если требуется спрятать виджеты в определенных местах сайта, посмотрите модуль .
Все необходимые нам настройки находятся в блоке «Опубликовать» (Publish), который обычно располагается справа от текстового редактора. Здесь есть параметры «Видимость» и «Статус».
Чтобы поменять какую-то опцию кликаете по ссылке «Изменить» и выбираете новое значение. После нужно обязательно сохранить эти правки. Разберется даже абсолютный .
Полностью скрываем записи и WordPress страницы
Данный подход позволяет:
- спрятать публикации от всех посетителей веб-ресурса: независимо от того залогинены они или нет, никто не сможет увидеть тексты (разумеется, кроме админа и ее автора).
- убрать заметки из архивов и общего списка постов блога.
Для этого в параметре «Статус» выбираем вариант «Черновик» и жмем «Обновить».
Соответствующая статья будет переведена в черновой вариант, и надписи в блоке слегка изменятся. Просматривать содержимое сможет только залогиненый админ или тот, кто создавал данную публикацию. Чтобы вернуть ее обратно на сайт надо будет кликнуть «Опубликовать».
Также для скрытия страниц в Вордпресс допускается :
Отмечаете несколько заметок, и устанавливайте им выбранный статус одновременно. Здесь же над списком статей увидите ссылку «Черновики», позволяющую отобразить их все сразу.
Страницы / посты для зарегистрированных пользователей, по паролю
Теперь попробуем скрыть записи в WordPress от всех, кто не залогинен на сайте. То есть чтобы увидеть приватные тексты люди должны войти под своим логином/паролем. В противном случае по ссылке им будет выводиться 404 ошибка. Разумеется, ограничение не распространяется на администратора. Для реализации задачи в параметре «Видимость» выбираете пункт «Личное».
Если же хотите установить специальный пароль для прочтения статьи, кликаете по варианту «Защищено паролем» и вводите определенное значение. После этого на сайте посетителю нужно будет ввести пароль чтобы получить доступ к содержимому. Не забудьте нажать кнопку «Обновить» после задания настроек.
Кстати, вариант выше — не единственный способ показать определенным пользователям скрытую информацию. Есть еще плагин — он генерирует временную ссылку, по которой любой человек сможет увидеть его содержимое (если знает URL).
Как скрыть страницу в WordPress меню
Иногда в проекте требуется убрать ту или иную ссылку из меню, но чтобы она при этом была доступна по прямому адресу (черновики не подходят). Задача возникает в тех шаблонах, где настроен автоматический вывод всех ваших новых страниц.
В данном случае вопрос решается через , где вручную добавляете нужные пункты.
Редактирование навигации производится в разделе «Внешний вид» — «Меню». Затем сохраняете ее. Для отображения на сайте используйте соответствующий виджет или функцию .
WP Hide Post — дополнительные опции видимости в WordPress
Модуль внедряет парочку интересных фишек, позволяющих скрывать статьи и WordPress страницы в тех или иных ситуациях. По умолчанию система сразу добавляет все записи блога на главную или архивы, но иногда хочется этого избежать, а оставить их доступными лишь по прямой ссылке. В таких случаях и пригодится WP Hide Post — он позволяет реализовать задачу через админку.
Важно! После установки WP Hide Post надо перейти в его настройки и во вкладке General определить типы публикаций, для которых будут актуальны новые функции видимости.
Плагин обновлялся полгода назад (рассматриваю версию 2.0.10) и, если честно, некоторые из последних комментариев говорят об определенных проблемах (хотя не всегда это правда). Число в 50к активных загрузок и оценка 4,5 свидетельствует о том, что все весьма неплохо, хотя здесь имеются 4 нерешенных бага. Тестировался модуль до версии WP 4.8.5.
Вы можете скрыть записи в WordPress на/в:
- главной;
- страницах категорий/тегов;
- архивах по датам, авторам;
- результатах поиска (есть еще модуль );
- RSS фидах;
- классическом видежете последний постов.
Также при желании допускается удаление линка на предыдущие/следующие публикации в head вашего HTML кода. Все настройки задаются для конкретной заметки. Также важно, что при этом прямая ссылка будет работать + она корректно отображается в , например, Google XML Sitemaps и других.
Для скрытия страниц в Вордпресс опций чуть меньше:
Их можно убрать:
- с главной;
- из любой навигации;
- из всех списков/элементов, но оставить в результатах поиска.
При этом в sitemaps.xml они также сохраняются.
Таким образом, плагин WP Hide Post позволяет добавлять на сайте «специфический» и SEO контент, который не выводится на главной, архивах, в меню, но остается доступным по прямым ссылкам. Отдаленно по назначению он смахивает на решения для — Exclude categories и Ultimate Category Excluder.
Если у вас остались вопросы по скрытию страниц в WordPress или есть что рассказать, пишите ниже.
На самом деле на сегодняшний день существует большое количество причин, по которым вам стоит закрыть от лишних глаз страницу авторизации сайта на движке WordPress. Одной из самых главных и весомых причин станет то, что закрыв от любого желающего страницу авторизации, вы сможете защитить свой сайт от несанкционированного доступа – взлома.
Ведь сегодня в интернете очень много мошенников, которые с помощью специальных программ методом перебора паролей или поиска уязвимостей смогут получить доступ к вашему аккаунту администратора. Конечно, от эксперта по взлому сайтов на WordPress вы не сможете с полной уверенностью на 100% защититься, но это поможет вам сберечь свои нервы от дилетантов-любителей.
Также, некоторые прибегают к методу проверки вашего сайта, автоматически вписывая после URL адреса строку /wp-admin, и если злоумышленнику это удастся сделать – то он будет точно знать куда «копать» и на какие уязвимости вашей CMS стоит обращать большее внимание.
Такие программы мошенники частенько используют для того, чтобы, например, узнать сведения о версии установленной на ваш сайт системы WordPress или любой другой CMS, так как в более старых сборках присутствуют конкретные ошибки и уязвимости, с помощью которых злоумышленнику возможно будет произвести взлом не только вашей информации для входа в панель администрирования сайтом, но и для более глубоко и детального доступа.
Например, мошенник сможет наполнить ваш сайт вирусами или своей навязчивой рекламой, а может и вовсе скопировать себе конфиденциальные данные о ваших клиентах, завладеть базой данных с заказами, почтами зарегистрировавшихся, узнать их логин и пароль.
Установим плагины, повышающие безопасность сайтов, сразу же после загрузки движка на хостинг https://s-host.com.ua . В первую очередь мы изменим спрячем страницу входа в админку веб-портала, изменив стандартный путь к ней (домен/wp-admin).
Установка плагина
Для того, чтобы задать странице новый адрес, мы будем использовать WPS Hide Login - простой, но при этом весьма функциональный плагин. Его преимущество заключается в отсутствие дополнительных настроек.
По сути, вам нужно только перейти на страницу “Консоль”/”Плагины”/”Добавить новый”, а затем воспользоваться поиском. Найдите WPS Hide Login, чтобы установить и активировать его.
Изменение страницы входа в админку WordPress
После установки и активации плагина он появится в списке всех расширений на странице “Консоль”/”Плагины” (обратите внимание на то, что в общем меню плагин не выводится).
Теперь кликните на кнопку Settings под плагином:
Оказавшись на странице “Настройки”/”Общие” вам остается найти блок WPS Hide Login и внести корректировки.
Так, в Login url представлено два поля: первое статичное - ваш домен (изменить нельзя), второе - поле для заполнения (по умолчанию предлагается вариант login).
Впишите желаемый адрес админки и сохраните изменения:
Теперь, если вы перейдете по адресу ваш-сайт/wp-admin, то ничего, кроме уведомления об ошибке не увидите:
Если вы управляете мульти авторским блогом на WordPress или у вас несколько клиентских сайтов, которые необходимо обслуживать не только вам, но и вашим редакторам, то вам было бы интересно знать как ограничить или вообще скрыть некоторые элементы админки wordpress для ваших пользователей?
Существует множество пунктов, в которые пользователям лучше не лезть. И в этой статье я наглядно продемонстрирую как скрыть админку wordpress, а точнее ненужные для других пользователей элементы.
Совершать действия мы будем при помощи полезного плагина Adminimize, скачать который вы можете с официального сайта wordpress.
Устанавливаем и активируем плагин с админки. После активации заходим в Настройки — > Adminimize и шаманим там.
На странице настроек есть Mini меню, которое делит страницу на различные разделы для wordpress экранов администратора. Нажатие на каждую приведет вас к дополнительным опциям. Для каждого раздела вы увидите ряд элементов, которые можно дезактивировать или изменить. Так же вы заметите чек боксы с выбором ролей для ваших пользователей.
После того как вы деактивировали некоторые пункты, вам нужно нажать на «Обновить» или Update Option, которая будет ниже, чтобы сохранить изменения.
Пожалуйста обратите внимание, что изменения не будут видны на странице настроек плагина. Чтобы увидеть их в действии нужно будет открыть новую вкладку в браузере и в ней зайти в админку.
Мы покажем вам каждый элемент в Мини Меню и как его изменить.
После элемента «О плагине» идет следующий элемент Admin Bar Option (проще говоря опции администратора). Он появляется всякий раз, когда вы входите внутрь своего блога. Некоторые из его пунктов могут быть выключены или назначены для разных пользователей вашего сайта, т.е вы можете задать разные роли для своих читателей.
Первая опция позволяет вам скрыть меню пользователя и его подкатегории, которые появляются в правом верхнем углу . После этого вы заметите, что оно подсвечивается розоватым цветом. Деактивация главного меню, скрывает также и его элементы. Например вы можете отключить логотип WordPress и вместе с ним скроются все ссылки, в него входящие.
Среди других опций вы увидите чекбоксы где можно скрыть иконку комментирования + добавить новую.
Помните, что вы также можете скрыть подменю. Например, вы хотите сохранить текущее меню + добавить новое в админ панели, но вы хотите еще при этом скрыть страницы из него, тогда просто добавьте страницы и включите пункт «деактивировать» выборочно для пользователей.
Опция администрирования (бэкенд)
Не все секции настроек плагина будут иметь чекбоксы. Опция администрирования значительно отличается от предыдущих. Она позволяет вам сделать глобальные настройки в админке для всех типов пользователей.
Первая опция здесь — это конфигурация инфо раздела для пользователей в самом верху справа панели администратора, которая находится рядом с аватаром пользователя. Вы можете выбрать либо скрыть ее, либо показать или выйти или показать только «выйти».
Следующая опция – это редиректы. Вы можете перенаправить пользователя, когда тот «кликает» на инфо раздел. Вы уже можете настроить либо перебрасываете вашего пользователя на любую другую страницу, либо оставляете по умолчанию в разделе, либо этот раздел прячете. Все это сохраняете, нажав на кнопку Update Options.
По умолчанию, когда вы работаете над постом (статьей), время публикации скрыто ссылкой, которую можно редактировать. Чтобы запланировать выпуск, вы должны нажать на ссылку редактирования, чтобы метка времени стала видимой.
В опциях администрирования вы можете сделать так, чтобы дата всегда была видимой.
Точно также, по умолчанию в WordPress вы можете скрыть некоторые из категорий в поле категории на странице редактирования записи. Вы можете управлять поведением, выбрав «Активировать» рядом с опцией «Высота категории». Тем самым вы регулируете высоту, чтобы все ваши категории отобразились.
В область футера вы можете поместить любой ваш текст или ссылку, чтобы все пользователи смогли ее увидеть на всех страницах панели управления WordPress. Сделать это можно нажатием на пункт «Advice in footer». Это может быть использовано для для брендинга, добавления шорткода, всего чего угодно.
Последняя опция в панели администрирования плагина – установка переадресации на админку wordpress. Чтобы ее использовать вам нужно деактивировать саму панель в первую очередь. Об этом мы расскажем в будущей статье.
Глобальные настройки
Секция с глобальными опциями позволяет активировать/деактивировать определенные настройки для разных ролей пользователей. Первый пункт здесь – скрыть или показать панель администратора. В отличие от варианта раздела Admin bar, который изменяет лишь верхнее меню админ панели, этот чекбокс отключит целиком всю панель для некоторых выбранных ролей пользователей.