10 điều cần chú ý khi thiết kế Website wordpress để có website an toàn
1. Nên dùng WordPress, vừa tiết kiệm chi phí lại vừa là một nền tảng tốt. Các nền tảng lập trình bởi các cá nhân đều ít tin cậy do phần nhiều chưa được kiểm định chính thức.
2. Nếu dùng 1 theme có sẵn để bổ sung và chỉnh sửa thì cần:
– Mua license chính thức để được nhận cập nhật đầy đủ
– Chọn mua các theme có hỗ trợ Child Theme ( Child Theme là cơ chế cho phép lập trình viên bổ sung các thay đổi vào theme mà theme sau này vẫn update được từ nhà sản xuất )
– Theme khi bị chỉnh sửa thì mọi chỉnh sửa phải thực hiện trên Child Theme chứ tuyệt đối không thay đổi trong mã của theme chính
3. Các plugin nếu sử dụng thì 1 là dùng bản free, 2 là nếu cần dùng bản pro hay trả phí thì bắt buộc phải mua chứ không dùng bản Nulled hay cờ rắc
4. Các chỉnh sửa, bổ sung tính năng được thực hiện bởi lập trình viên thì cần thực hiện thông qua
– Child Theme nếu là chỉnh sửa giao diện
– Viết plugin mới nếu là bổ sung tính năng. Tuân thủ chuẩn viết plugin của WordPress, các can thiệp vào website phải thông qua Hook và Filter, tuyệt đối không thay đổi mã nguồn gốc của WordPress
5. Tuyệt đối đảm bảo các thành phần: WordPress Core ( lõi wordpress ), Theme, Plugin đều có thể update mỗi khi có phiên bản mới
6. Không mã hóa bất kỳ phần nào của mã nguồn ( các biện pháp như base64, eval, gzindeflate… đều không được áp dụng )
7. Các tính năng liên quan tới uploads hoặc đọc ghi file trên hệ thống cần lọc kỹ lưỡng nội dung file upload, lọc phía client và đồng thời lọc lại lần nữa phía Server. Các thư mục chứa file uploads hoặc file được ghi bởi PHP Script thì đều phải tắt PHP Execution ( chặn không được thực thi file PHP , bằng htaccess ), các thư mục nào không có chức năng upload file hoặc ghi file thì gỡ bỏ quyền ghi của chúng.
8. Các thành phần, plugin, tính năng mà lập trình viên thực hiện mà có liên quan tới truy vấn database thì tuyệt đối phải thông qua class wpdb và mọi mục input từ user ( $_GET, $_POST, $_FILE, $_SERVER … ) đều phải lọc kỹ thông qua $wpdb->prepare _Queries_Against_SQL_Injection_Attacks )
9. Lập trình viên không được cài đặt lại dưới bất kỳ hình thức nào các loại backdoor, engineer backdoor, shell script…etc
10. Luôn nhớ cập nhật WordPress, Theme và các Plugin ngay khi có thông báo có bản cập nhật trong WordPress Admin Dashboard.
