Sådan sikrer du din WordPress installation

Ligesom alle andre CMS’er, så er WordPress også mål for diverse angreb. Du behøver dog ikke stå måbende tilbage og lade gale russere overtage dit site. Du kan tage sagen i egen hånd, og gøre dit for at forhindre uindbudte gæster.

Hold din WordPress installation opdateret

Det gælder både plugins, temaer og WordPress i sig selv. Selvom det altid er rart at have den danske udgave af WordPress, så kan det på det varmeste anbefale at opdatere, når der kommer nye versioner. Du kan eventuelt gemme sprogfilerne, og genbruge dem indtil den danske udgave er klar.

Jeg bruger med stor fornøjelse Ozh’ Admin Drop Down Menu, som viser små talebobler, når der er opdateringer til noget. På den måde er jeg aldrig i tvivl. Plus det er umådeligt meget federe med en horisontal navigation end en vertikal i backenden.

Fjern versionsinformationer

Selvom du selvfølgelig sørger for at holde din installation up-to-date så kan det anbefales at fjerne informationer om hvilken version af WordPress du kører. I nogle temaer (men ikke alle) kan du finde denne information i din header.php. Og den ser cirka således ud:
meta name=”generator” content=”WordPress <?php bloginfo(’version’); ?>”

Slet det fra filen og gem den. Fra WordPress 2.6 kom denne information automatisk i headeren, som en del af WP core. Derfor kan du med fordel installere WP Security Scan eller Exploit Scanner, som kigger på flere risici ved dit site, og fortæller dig hvad du kan gøre for at løse problemet.

Installér Akismet og undgå spam

Dette er for så vidt ikke noget som vil afhjælpe nogle hackere, men det vil fjerne 99,9% spam fra dit site.

Akismet stopper næsten alt spam

Akismet er et plugin som er udviklet af Automattic (dem som er primus motor på WordPress).

Skift dit login navn

Fra WordPress 3.0 kan man vælge login navn ved installation. Men os som har været med i længere tid, har som standard fået admin som brugernavn. Det ved de onde hackere også!

Derfor bør man oprette en ny administrator-bruger og slette den eksisterende admin-bruger. Du gør bare således:

1. Opret en nye admin-bruger med et “ordentligt” brugernavn
2. Log ud og log ind som den nye admin bruger
3. Navigér hen til brugere og slet den gamle admin bruger
4. I sletteprocessen får du mulighed for at overføre alle den gamle admin-brugers indlæg og kommentarer til den nye bruger.

Tag backup

Det kan aldrig siges nok gange, det er så vigtigt, for du kan ikke altid regne med at din host kan finde deres backup, hvis de altså tager en

Brug fx Filosofico’s plugin WordPress Database Backup, som tager backup af din database og sender det til din mail eller lægger det på din server.

Vælg et specielt database prefix

Når du installerer WordPress, så skal du vælge et database prefix. Som standard er dette _wp, men det anbefales at ændre dette til noget andet. For ligesom med standard admin-brugerens navn, så ved de onde også dette

Hvis du allerede har _wp som databaseprefix, så kan du ændre det i din wp-config.php (men husk også at ændre det hos din host så)

Sørg for cookie kryptering

define('AUTH_KEY',         'A3js^-2aTz$K{AYtqY,F?>h=U*;4Ghn85T-;mD^n_Nr>&3*`~ne_|Xw;4b>7Q[hy');
define('SECURE_AUTH_KEY',  'U?n[STc>X?gW0!{a-0F)o!c1bN48w)YlG6I-VRt)rVF[WdYm7cUV{joO|Q;+6<sZ');
define('LOGGED_IN_KEY',    '/#1n@[8I>0XNLN%D&ZjB(fr%TLY}2<xF#dcn:r+wQx2R)p:Mj*BRH4~|xU<lpH21');
define('NONCE_KEY',        'X$~a!^r;_qQ/q1!TyXBQ2+6GB8[Z:ntFPScD@^^%,5 #J6@Wh.3O$ C~#![ooH=q');
define('AUTH_SALT',        'nVGrdlIY/tq4RQ?#n{[6}5v{!D|Bz8B+CQgT88~gjzc%a&we&x6~*O|CF>Z$Qo`^');
define('SECURE_AUTH_SALT', '1-m#&wg)IPv|=~B2r9~smnH$7(2RqIY= f0DFIvZN/t2y?sp7+@=1`V>wrUza2U!');
define('LOGGED_IN_SALT',   'tTnm?|bcJJ]NV.!j-a0$]Afg+Q0C^dv@_a C4*S9[;:TA|rZPFl1,0k>B>QW(~Tb');
define('NONCE_SALT',       ']5Nu8Yk3oSyk_Wn>]eplQ15h78}Atnd>MC|.iF*HZ`QQK3YgHl9WJUbytzJ%+,5k');

Med WordPress’ secret key generator, kan du sørge for, at cookies bliver krypteret og det bliver mere besværligt at stjæle din identitet. Det kan så også være du skal logge ind lidt oftere, men det er en lille pris at betale…

Du skal bare klikke på linket ovenfor og få en vilkårlig genereret nøgle. Disse 6 linjer skal så ind i din wp-config.php

Men mit WordPress site er allerede blevet hacket

Hvis det er gået galt, så kig på dette overblik over hvad du skal gøre.

Der er et utal af andre tiltag man kan foretage sig såsom: IP blokering af ens WP-admin mappe, IP-banning, Log ind via SSL, skift navn på din .htaccess fil og en masse andet, men jeg har taget fat i nogle af de mest fundamentale ting her. Men har du andre gode råd eller ideer, så kom endelig med dem i kommentarerne.

Så bygger vi om på WordPress.dk (Klik på billedet for at komme til ophavspersonen på Flickr)

I forbindelse med opdateringen til WordPress 3.0, fik WordPress et nyt standard tema. Det gamle tema var udviklet af danske Michael Heilemann, men nu er det blevet sendt på pension.

Det nye standard-tema tilbyder en masse lækre features, som helt sikkert gør det værd at overveje på dit site.

Jeg har tweaket 2010-temaet her på WordPress.dk lidt, så vi på forsiden kun ser uddrag af artiklerne. Men tilgæld har jeg sørget for, at vi får vist thumbnails (hvis de er der). Det er ikke store ting, men djævlen er i detaljen

Det næste trin bliver at kigge lidt på menuen. Der trænger til at blive ryddet op.

Men kom gerne med tanker ideer og irritationer i kommentarerne

Det er en mindre udgivelse, der retter forskellige småfejl og mulige sikkerhedshuller. Jeg synes nu alligevel, at der var kommet mange tekststrenge til, som skulle oversættes. Flere hunderede faktisk. Men det lykkedes at komme til bunds i dem.

Multisite

Så skete der det glædelige, at Georg tog Multisite-strengene ved hornene og fik oversat de lidt over 150 strenge, der manglede der. Tak til Georg for det. På min opfordring har Georg anmodet om at blive validator i den danske del af GlotPress. Så skal det han oversætter ikke igennem mig først, og så går det hele meget hurtigere. Han vil selvfølgelig også kunne godkende andres oversættelser.

Den lange bane

Mht. til det fortsatte arbejde med at oversætte, så er ambitionen stadig, at den danske udgave kommer et par timer efter den officielle. Det vil sige, at jeg vil undgå, at der ligger f.eks. 150 strenge og venter. Derudover er der også andre projekter, der skal oversættes. Der er WordPress for Android og Blackberry, samt diverse plugins.

Andre tiltag

Så er wppolyglots-mailinglisten blevet nedlagt til fordel for denne blog. Drevet af P2. Jeg overvejer, at oprette noget tilsvarende til den WordPress Danmark kernegruppe, som jeg håber, vi kan få stablet på benene. Der vil vi kunne diskutere den danske oversættelse, form og indhold på wordpress.dk, WordCamps, Meetups og den slags. Mere om det senere.

Den danske WordPress 3.0.1 er til download her:

http://da.wordpress.org/wordpress-3.0.1-da_DK.zip

Og dukker selvfølgelig op til autoopdatering i danske WordPress-sider. Igen krydser vi fingre for at alt er som det skal være. Jeg har selv testet pakken ved at installere den, samt opdatere et par testinstallationer. Det gik som det skulle. Men husk nu …

Frist ikke skæbnen

Husk at tage backup af filer og database, inden du opdaterer. Husk at deaktivere alle plugins, inden du opdaterer. Tag mit (stadig) ord for, at det er mindre fedt, når et plugin ikke er ‘3.0.1 ready’.

Det er blevet meget nemmere at opdatere WordPress, men det skader (stadig) ikke at tage backup. Samt genaktivere dine plugins ét ad gangen.

Jeg vil tro, at du kan opdatere med den engelske version, hvis du er nervøs for sikkerheden. Hvis nogen gider teste det og melde tilbage, så vil det være meget værdsat. Visse dele af WordPress vil så ikke være oversat, men det vil de blive, når du genopdaterer til dansk senere.

Jeg havde håbet på, at Multisite-strengene var klar på nuværende tidspunkt, men sådan skulle det ikke være. Som tidligere nævnt er man nødt til at have en testinstallation at kikke på, hvis oversættelsen ikke skal være det rene gætværk. Det er er selvfølgelig ikke et problem med en testinstallation, men Multisite er vist ukendt territorium for de fleste med en masse nye og uvante termer.

Jeg har tænkt mig at afsætte minimum en time dagligt til at få den Multisite-pukkel afviklet. Så Multisite  (forhåbentlig) også er oversat til dansk i WordPress 3.0.2-pakken.

Derudover arbejder Thomas Clausen og jeg på en generel opdatering og omstrukturering af wordpress.dk. Det er meget tiltrængt. Mere om det senere.

Debatten mellem Matt Mullenweg og Chris Pearson

For nyligt har Matt Mullenweg fra Automattic og Chris Pearson som står bag WordPress temaet Thesis haft heftig debat på Twitter. Debatten tangerer et intellektuelt slagsmål over hvilke muligheder Chris Pearson har for at lave sit tema som closed source og kan ende i et søgsmål, da Chris ikke gider at bøje sig på trods af at Matt flere gange har spurgt om Chris har lyst til at være den første indenfor WordPress verdenen der skal prøves mod GPL’en.

Afledt af de skriftlige slagsmål har Andrew Warner fra Mixergy.com inviteret dem til en debat, som man kan høre her (Jeg ville gerne embedde videoen, men jeg kan ikke få det til at fungere). Det er spændende, for det giver stof til eftertanke ift. hvad det indebærer at bygge temaer og for den sags skyld plugins ovenpå WordPress.

Det er helt sikkert værd at høre deres slagsmål, og jeg synes Matt klart kommer ud som sejr-herre.

Der er flere underholdende indslag undervejs. Fx når Chris mener har er i en historisk top 3 af WordPress skikkelser i verden (og Matt kommenterer hans ydmyghed), eller når han siger at han ikke gider at følge licenser (GPL), fordi det passer dårligt til hans forretningsmodel

Et kig i GPL’en ift temaer og plugins i WordPress

Diskussionen handler mest af alt om, hvad et afledt værk er. I GPL’en står der i § 5

5. You are not required to accept this License, since you have not signed it. However, nothing else grants you permission to modify or distribute the Program or its derivative works. These actions are prohibited by law if you do not accept this License. Therefore, by modifying or distributing the Program (or any work based on the Program), you indicate your acceptance of this License to do so, and all its terms and conditions for copying, distributing or modifying the Program or works based on it.

OK, men har Chris Pearson lavet afledte værker af WordPress? Nej, det har han selvfølgelig ikke, men derfor skal vi forstå hvad der menes med Program. Og her skal vi kigge til § 0 som skriver:

The “Program”, below, refers to any such program or work, and a “work based on the Program” means either the Program or any derivative work under copyright law

Og her kommer jeg til kort, for den vigtige sætning må være work based on the Program. Det er temaer formentlig, men det er ret vagt formuleret. For der kunne også menes videreudviklinger af WordPress.

Matt har dog tidligere haft fat i Software Freedom Law Center. Og de mener at alt php kode skal licenseres som GPL, men CSS og billeder kan gå fri med denne udtalelse:

In the WordPress themes, CSS files and images exist purely as data to be served by a web server. WordPress itself ignores these files[1]. The CSS and image files are simply read by the server as data and delivered verbatim to the user, avoiding the WordPress instance altogether. The CSS and images could easily be used with a range of HTML documents and read and displayed by a variety of software having no relation to WordPress. As such, these files are separate works from the WordPress code itself.

Så hvem har ret? Let the flamewar begin

Hvorfor må vi ikke vælge hvordan det skal se ud, når vi skriver WordPress? (billede af Pattista fra flickr)

Vi er sikkert flere som har forsøgt at finde ud af hvad påskeægget var i den nye WordPress 3.0 video. Flere har foreslået sammenligning af revisioner, hvilket fører til Matrix-lignende tilstande men denne lille feature blev introduceret allerede i WordPress 2.6.

Nej, umiddelbart er det en lille feature, der længe har huseret på WordPress.com. Den gør, at hvis man staver WordPress forkert, så rette WordPress det selv. Umiddelbart en rar feature, men den er ikke uden problemer. Funktionen hedder capital_P_dangit og har fundet vej til WordPress af en interessant vej…

Vejen til WordPress core

I WordPress’ Codex står der følgende:

Your code won’t go far without a ticket in trac. Create one.

Og det er her, at et af problemerne opstår, for der har aldrig været en trac-ticket på denne “feature”. Den er kommet direkte ind i core, uden at WordPress-communitiet kunne kommentere, eller komme med bedre kodeforslag.

Matt Mullenweg er tit blevet beskrevet som en godmodig eller velvillig diktator, men flere synes at dette er at gå over stregen. For spillereglerne skal gælde alle, ikke kun øvrigheden.

Til en bruger som prøver at gøre opmærksom på det via Trac skriver Austin Matzko bedre kendt som Filosofo

I’m sympathetic. But proliferating tickets doesn’t help anyone.

Matt Mullenweg is the WordPress project leader; he originated the change and has repeatedly defended it, so it’s unlikely to change in the short term.

Hvorfor er dette et problem?

Jeg synes at Justin Tadlock har summeret det udemærket op i hans meget kommenterede blogindlæg.

• The code literally breaks things like URLs on some sites. For example, suppose you installed WordPress in a /Wordpress directory. That would cause all kinds of trouble with things like images.
• This function is effectively changing what people write, and WordPress should not have editorial control over the content of anyone’s blog.
• The code was committed to WordPress without a Trac ticket, so it wasn’t left open to community discussion beforehand.
• Matt’s responses seem to dismiss the very community of people that help make WordPress what it is.

Justin Tadlock Tema og plugin udvikler

Og Justin fortsætter med at true (for sjov, men også for at vise hvor irriteret han er), at alle hans plugins vil fjerne dette filter:

But, since we’re voting with plugins, there’ll be 16 other plugins that will disable this filter soon enough. All of my plugins will have this bug fix added to them in their next updates.

Det er da en form for “civil” ulydighed, som WordPress “ledelsen” ikke kan se sig blind for eller hvad?

Opt-in eller opt-out

Alle der arbejder (eller leger) med at sælge et produkt, en idé, et nyhedsbrev eller lignende ved at der er en stor forskel på, om ting er fortjekket. Man vil kunne øge sine konverteringer betragteligt, ved “at hjælpe” brugerne på vej, til at tage de rigtige beslutning.

På samme måde med denne diskussion, så er der en del debat om hvad der er plugin-territory. Matt Mullenweg argumenterer for at man bare kan lave et plugin, der fjerner denne funktion. Men der er flere der mener at denne feature burde være et plugin á la Hello Dolly, som vi alle kender (og har deaktiveret eller slettet…).

I don’t think WordPress should be forcing anything upon its users, especially when it comes to content. If people want to misspell something, let them do that.

Jeffro fra WPtawern

Hvis ikke du kan lide lugten i bageriet, så…

Matt står dog rimelig stejlt på, at der ikke kommer ændringer med følgende (lidt harske) udtalelse fra WP-hackers mailing listen.

As I said before, you are in /complete control/ of your site. It’s a single line to remove a filter. If you don’t like the filter, vote with your feet or with a plugin.

Matt Mullenweg Lead developer WordPress

Men hvis flere af de store kanoner som Justin, Jeffro og Dougal (nedenfor) ikke synes om det, så kan vi da håbe på at Matt ændrer sin mening.

I was all ready to ignore this issue as “dontcare” until I realized that it could break URLs. So now I find myself reversing my feelings on it in favor of removing the filter.

Dougal Campbell WordPress ‘Developer Emeritus’

Gad vide hvor mange der staver Mat Mulenweeg rigtigt, det kræver da et filter

Hvad synes du? Er der behov for dette? Hvorfor fylde ekstra kode på WordPress, som ikke er med til at gøre det et bedre CMS?

Jeg vil i dette eksempel lege med WP-PostRating (et plugin der gør det muligt at vurdere indlæg) og Contact Form 7 (et kontakt formular plugin).

Pointen er at jeg kun vil have PostRatings til at loade på indlægssiderne, og jeg vil kun have Contact Form til at loade på min kontaktside og en anden side hvor jeg har et lille spørgeskema kørende.

Så jeg må ned i kildekoden og finde ud af hvad den loader. Du skal lede efter noget som ender på .css og .js Jeg finder disse to steder:

Her er CSS-kildekoden fra mit site

Her er JavaScript-kildekoden fra mit site

Nu skal jeg sørge for, at WordPress kun henter de to funktioner, på de sider som bruger dem. Det gør jeg ved at smide denne lille kodestump ind i functions.php (og jeg beklager, men vores tema styler ikke koden så pænt ):

Denne funktion fjerner stylesheets
add_action( 'wp_print_styles', 'my_deregister_styles', 100 );

function my_deregister_styles() {
if ( !is_page('230') && !is_single('1228') ) {
wp_deregister_style( 'contact-form-7' );
}
if ( !is_single() ) {
wp_deregister_style( 'wp-postratings' );
}
}


Denne funktion fjerner javascripts
add_action( 'wp_print_scripts', 'my_deregister_javascript', 100 );

function my_deregister_javascript() {
if ( !is_page('230') && !is_single('1228') ) {
wp_deregister_script( 'contact-form-7' );
}
if ( !is_single() ) {
wp_deregister_script( 'wp-postratings' );
}
}

Det som foregår er: Hvis IKKE (!) vi er på siden med ID 230 eller indlæget med ID 1228, så skal Contact Form ikke loade. Og hvis ikke vi er på en indlægsside, så skal PostRating ikke loade. Så simpelt er det, og nu har du sparet en masse loadtid hos dine brugere, Google og din host. Og det er alle glade for

Den danske WordPress 3.0 er til download her:

http://da.wordpress.org/wordpress-3.0-da_DK.zip

Og dukker selvfølgelig op til autoopdatering i danske WordPress-sider. Det er på grund af det sidste, at jeg ville være helt sikker på, at pakken havde den seneste oversættelse med og lige var testet ordentligt. Der skulle jo nødigt gå noget galt, når I klikker på ‘Opdater automatisk’.

Frist ikke skæbnen

Husk at tage backup af filer og database, inden du opdaterer. Husk at deaktivere alle plugins, inden du opdaterer. Tag mit ord for, at det er mindre fedt, når et plugin ikke er ‘3.0 ready’, for at sige det på moderne dansk.

Det er blevet meget nemmere at opdatere WordPress, men det skader (stadig) ikke at tage backup. Samt genaktivere dine plugins ét ad gangen.

Tak til …

Jeg havde stadig siddet og oversat version 3.0 hvis det ikke var for:

xspot, ahhansen, Masterj, kimlinnet, pj1s, tbar, stutley, jelly, dejliglama, Anetq, dadman, GroveMedia, oz1sej, xyzites, GeorgWP, mkjeldsen, BartAfterDark, Jayjdk, fraabye, fiskeben, daerchwing, risager, tntc1978, denblaagnu, Jayjdk, tdekov, lkoudal, Fellowman.

Hvis du er glemt på listen, så er det min fejl. Tøv ikke med at skrive en “Hey, hvad med mig?”-kommentar, hvis det er tilfældet.

Jeg har justeret og ensrettet oversættelsen. Så vidt den slags nu er muligt. Den vil bære præg af, at mange har været involveret, men så vidt jeg kan se, er det ikke så tydeligt. Uanset hvad, hvis du ser en fejl eller en dårlig formulering, så gå ind på GlotPress og kom med et andet forslag. Det vil være fremgangsmåden nu og fremover.

Multisite

Jeg håber, I har mod på, at give en hånd med Multisite-strengene, så de evt. kan være klar til 3.0.1. Jeg er i gang og synes, det er en anelse sværere. De originale formuleringer er ikke altid helt lækre.

Held og lykke med opdateringerne.

Jeg gik straks i gang med at se, hvordan jeg kunne få den frigivet på dansk. Takket være de mange aktive bidragydere ligger den danske oversættelse klar på GlotPress. Så langt så godt.

Øvelsen nu er at få ‘bygget’ en pakke med installationsfilerne og den danske oversættelse. GlotPress spiller nemlig sammen med da.wordpress.org.

Jeg kan sagtens bygge pakke, men det er ikke de rigtige filer, der kommer med. Så derfor har jeg ikke udgivet den. Når den er udgivet så ryger den ind i autoopdateringsfunktionen, hvilket jo normalt er sejt. Bare ikke når det ikke er den nye oversættelse, der kommer med. Og den havner jo samtidig til download i den orange kasse på da.wordpress.org.

Jeg lægger pres på GlotPress-folkene og ser om det kan lykkedes.

I mellemtiden mangler der en del oversættelse af WordPress Multisite. Det er på en måde en del af pakken og på en måde ikke. Det er kun når du bruger multisite, du bruger den del. Og det burde ikke være betyde noget for den oversættelse, der ligger. Jeg kan dog heller ikke udelukke det.

Men for at gøre en lang historie kort, så burde en dansk WordPress 3.0 pakke snart udkomme.

Kun at den danske oversættelse ligger klar og venter på den endelige frigivelse fra officielt hold. De mest utålmodige og progressive kan gå ind her:

http://translate.wordpress.org/projects/wp/dev/da/default

Og eksportere filen.

• I skal være logget ind på wordpress.org
• Omdøbe filen til da_DK.po
• Hive den ind i PoEdit, så der kommer en da_DK.mo-fil
• Uploade da_DK.po og da_DK.mo til wp-content/languages/ i jeres installation

Hvis der findes en smartere måde at generere en *.mo-fil, end den jeg har beskrevet, så sig endelig til.

Den har faktisk ligget klar siden søndag aften, men jeg troede, at jeg ville vågne op til frigivelsen i går morges (og få travlt), men det skete ikke.

Det gav mig så tid til også at få det nye standardtema 2010 (eller Twenty Ten) klart. Godt hjulpet af Frederik Raabye, som havde startet på det. Det er jo en del af pakken og det er faktisk ganske lækkert. Enkelt, men med muligheder for egne tilpasninger.

Nu er der kun den søde ventetid tilbage. Hvis det kan nås, og jeg orker det, så vil jeg hive oversættelsen ind i min testinstallation og se den igennem. Men ellers vil finpudsningen af oversættelsen komme i den første sikkerhedsopdatering.