Nginx-Sicherheitsregeln für SEO-optimierte WordPress-Website-Sicherheit

Bevor Sie eine WordPress-Website erstellen, konfigurieren Sie bitte Nginx-Sicherheitsregeln

Nginx-Sicherheitsregeln Es bautWordPressBevor Sie eine Website erstellen, müssen Sie diese zunächst konfigurieren. WordPress ist derzeit das beliebteste Website-Erstellungsprogramm. Es hat einen Marktanteil von über 30 % im Internet, wodurch WordPress häufig zum Ziel von Sicherheitsbedrohungen wird. Nginx-Sicherheitsregeln sind sehr wichtig. Daher empfiehlt es sich für WordPress-Website-Betreiber, einige Nginx-Sicherheitsregeln festzulegen, um die Sicherheit der Website zu erhöhen.

WordPress kann entweder auf Apache oder Nginx ausgeführt werden. Heute stellen wir einige Nginx-Regeln zur Verbesserung der WordPress-Sicherheit vor.

Herunterladen von Dateien mit der Endung XXX verbieten

Legen Sie Dateierweiterungen fest, deren Download auf der Website verboten ist, um zu verhindern, dass vertrauliche Dateien wie Datenbanken verpackt und heruntergeladen werden.

Speicherort ~ \.(zip|rar|sql|bak|gz|7z)$ { return 444; }

URL-sensitiver Zeichensprung

URL-Zugriffslinks, die Schlüsselwörter enthalten, springen immer zur Homepage der Website oder verweisen auf die 404-Seite.

#url enthält einen Test, um direkt zur Homepage zu springen, wenn ($request_uri ~* test=) { return 301 https://uzbox.com; } #url enthält die folgenden Schlüsselwörter, zur Homepage springen, wenn ($request_uri ~* "(\.gz)|(")|(\.tar)|(admin)|(\.zip)|(\.sql)|(\.asp)|(\.rar)|(function)|($_GET)|(eval)|(\?php)|(config)|(\')|(\.bak)") { return 301 https://uzbox.com;

Bösartige Crawler verhindern

Nginx-Konfiguration zum Blockieren von Spam-Spider-Crawlern. Sie können den Namen des Spam-Crawlers zu den folgenden Blockierungsregeln hinzufügen.

Nachfolgend sind einige Crawlernamen aufgeführt, die lediglich als Referenz dienen.

if ($http_user_agent ~* (SemrushBot|python|MJ12bot|AhrefsBot|AhrefsBot|hubspot|opensiteexplorer|leiki|webmeup)) { return 404; }

Blockieren Sie den Zugriff auf die Website durch Nicht-Browser

#Nicht-Browser-Zugriff verbietenif ($http_user_agent ~ ^$) { return 404; }

Nginx- und PHP-Versionen ausblenden

Es ist ratsam, Nginx- und PHP-Versionen nicht öffentlich zu machen. Wenn eine bestimmte Nginx- oder PHP-Version eine Sicherheitslücke aufweist und ein Angreifer die entsprechende anfällige Version auf Ihrem Server findet, kann dies sehr gefährlich sein. Mit den folgenden Regeln können Sie Nginx- und PHP-Versionen verbergen:

# Nginx-Version ausblenden. Server-Token aus; # PHP-Version ausblenden fastcgi_hide_header X-Powered-By; proxy_hide_header X-Powered-By;

Sicherheitsheader

Sicherheitsheader bieten zusätzliche Sicherheit, indem sie das Browserverhalten steuern. Beispielsweise können X-Frame-Optionen verhindern, dass Ihre Website in einen Iframe eingebettet wird. Strict-Transport-Security wirdLassen Sie den Browser die Site per HTTPS laden.

add_header X-Frame-Optionen SAMEORIGIN; add_header Strikte Transportsicherheit "max-age=31536000"; add_header X-Inhaltstyp-Optionen nosniff; add_header

Zugriff auf Unterverzeichnisse blockieren

Wenn Ihre Website in einem Unterverzeichnis wie /blog ausgeführt wird, sollten Sie den Zugriff auf andere Unterverzeichnisse als /blog einschränken.

Standort ~ ^/(?!(Blog)/?) {alles verweigern; Zugriffsabmeldung aus; Protokoll nicht gefunden aus; }

Einschränken des Zugriffs auf XMLRPC

Der XMLRPC-Endpunkt in WordPress (Datei xmlrpc.php im Stammverzeichnis) ermöglicht externen Anwendungen die Interaktion mit WordPress-Daten. So können beispielsweise Beiträge hinzugefügt, erstellt oder gelöscht werden. XMLRPC ist jedoch auch ein häufiger Angriffsvektor, über den Angreifer diese Aktionen unbefugt ausführen können. Daher empfiehlt es sich, XMLRPC-Anfragen von autorisierten IP-Adressen zuzulassen, denen Sie vertrauen, wie unten gezeigt:

Standort ~* /xmlrpc.php$ { 172.0.1.1 zulassen; alles verweigern; }

Nachdem Sie das Obige hinzugefügt haben, sollte beim Zugriff auf xmlrpc.php in Ihrem Browser ein 403-Fehlerantwortcode angezeigt werden.

Anforderungstypen einschränken

Meistens führt Ihre Website wahrscheinlich nur zwei Arten von Anfragen aus:

GET – Daten von Ihrer Website abrufen
POST – Übermittelt Daten an Ihre Website

Daher ist es auch eine Möglichkeit, die Sicherheit zu erhöhen, wenn wir unserer Website nur die Ausführung dieser beiden Anfragetypen gestatten.

if ($Anforderungsmethode !~ ^(GET|POST)$ ) { return 444; }

Deaktivieren Sie den direkten Zugriff auf PHP-Dateien

Unbemerkt könnte ein Hacker eine PHP-Datei auf Ihren Server hochladen und dann eine Hintertür auf Ihrer Website erstellen, indem er auf die schädliche Datei zugreift und bestimmte Aktionen ausführt.Der direkte Zugriff auf PHP-Dateien sollte verboten werden:

Standort ~* /(?:uploads|files|wp-content|wp-includes|akismet)/.*.php$ { alles verweigern; access_log aus; log_not_found aus; }

Deaktivieren Sie den Zugriff auf bestimmte vertrauliche Dateien

Ähnlich wie PHP-Dateien können Dateien, die mit einem Punkt beginnen, wie z. B. .htaccess, .user.ini und .git, vertrauliche Informationen enthalten. Für zusätzliche Sicherheit empfiehlt es sich,Deaktivieren Sie den direkten Zugriff auf diese Dateien.

Standort ~ /\.(svn|git)/* { alles verweigern; Zugriffsprotokoll aus; Protokoll nicht gefunden aus; } Standort ~ /\.ht { alles verweigern; Zugriffsprotokoll aus; Protokoll nicht gefunden aus; } Standort ~ /\.user.ini { alles verweigern; Zugriffsprotokoll aus; Protokoll nicht gefunden aus; }

Reduzieren Sie Spam-Kommentare

Spam-Kommentare schaden Ihrer Website möglicherweise nicht, fügen Ihrer Datenbank jedoch Spam hinzu und dienen als Werbung.Reduzieren Sie Spam-Inhalte, können Sie Ihrer Nginx-Konfiguration zusammen mit einem Spamschutz-Plugin wie Akismet die folgenden Regeln hinzufügen.

setze $comment_flagged auf 0; setze $comment_request_method auf 0; setze $comment_request_uri auf 0; setze $comment_referrer auf 1; wenn ($request_method ~ "POST"){ setze $comment_request_method auf 1; } wenn ($request_uri ~ "/wp-comments-post\.php$"){ setze $comment_request_method auf 1; } wenn ($http_referer !~ "^https?://(([^/]+\.)?site\.com|jetpack\.wordpress\.com/jetpack-comment)(/|$)"){ setze $comment_referrer auf 0; } setze $comment_flagged "${Kommentaranforderungsmethode}${Kommentaranforderungs-URI}${Kommentarreferrer}"; wenn ($comment_flagged = "111") { return 403; }

Limit-Anfragen

Die WordPress-Anmeldeseite wp-login.php ist ein häufiger Endpunkt für Brute-Force-Angriffe.Angreifer versuchen, sich anzumelden, indem sie Benutzernamen und Passwörter stapelweise eingeben. Sie können Ihr Passwort möglicherweise nicht knacken, beanspruchen aber viele Serverressourcen und können die Website unzugänglich machen..

Dazu können wir eine Regel anwenden, um die Anzahl der Anfragen pro Sekunde zu begrenzen, die die Seite verarbeiten kann. HierSetzen Sie das Limit auf 2 Anfragen pro Sekunde, Anfragen, die diese Zahl überschreiten, werden blockiert.

limit_req_zone $binary_remote_addr Zone=WPRATELIMIT:10m Rate=2r/s; Standort ~ \wp-login.php$ { limit_req Zone=WPRATELIMIT; }

Verzeichnisliste deaktivieren

Zu guter Letzt sollten Sie Verzeichnislisten deaktivieren, damit Angreifer nicht erkennen können, was sich im Verzeichnis befindet.

Autoindex aus;

Zusammenfassen

Die Sicherheit der Website ist bereitsSuchmaschinenoptimierung (SEO)OptimierungDies ist ein sehr wichtiger Aspekt der Website-Sicherheit. Sobald eine Website gehackt wird, kann dies dazu führen, dass sie nicht mehr geöffnet werden kann, die Zugriffsgeschwindigkeit verlangsamt wird und schwarze Links angezeigt werden. Bei solchen Problemen besteht die Gefahr, von der Suchmaschine auf die schwarze Liste gesetzt zu werden. Es ist daher unerlässlich, grundlegende Kenntnisse zur Website-Sicherheitsprävention zu beherrschen.

Punktzahl