ความจำเป็นของปลั๊กอิน
สิ่งที่จำเป็นสำหรับปลั๊กอินคืออะไรคำถามคือ " ฉันพอใจหรือไม่ว่าการทำงานหลักของ WordPress นั้นเป็นสิ่งที่ฉันต้องการ? "
หากคุณต้องการเพียงแค่บล็อกง่ายๆที่มีหมวดหมู่และหน้าสแตติกจำนวนหนึ่งที่คุณตั้งไว้ แต่ถ้าคุณต้องการเริ่มรวมแผนที่แบบอินเทอร์แอคทีฟปฏิทินเข้ากับเหตุการณ์บางที API ของบุคคลที่สามบังคับให้ผู้ใช้ใช้รหัสผ่านที่คาดเดายากหรือแม้แต่เปลี่ยนไซต์ให้เป็นเครือข่ายโซเชียลแล้วคุณต้องใช้ปลั๊กอิน คำตอบของ Grant Palinให้ข้อมูลเชิงลึกมากขึ้นว่าทำไมบางคนอาจต้องการปลั๊กอิน คำตอบของ Dan Gayleชี้ให้เห็นว่ามีหลายธีมที่มีฟังก์ชั่นการใช้งานปลั๊กอินทุกประเภทโดยไม่ต้องใช้ปลั๊กอิน WordPress
ความปลอดภัยหลัก
WordPress หลักนั้นมีความปลอดภัยเป็นอย่างมากและชุมชนนักพัฒนาหลักจะแยกงานที่น่านับถือและแก้ไขจุดอ่อนด้านความปลอดภัยทันทีที่พบ - หนึ่งในข้อดีของการมีผู้ใช้หลายร้อยล้านคนและผู้สนับสนุนหลักเฉลี่ยประมาณ 200 คนต่อรุ่น . และความเสี่ยงที่ใช้ในการจะอยู่ในช่วงระยะเวลาระหว่างบัตรประจำตัวของช่องโหว่และการเปิดตัวของการแก้ไขปัญหาของตนเป็นอย่างรวดเร็วถูกกำจัดด้วยนอกเหนือจากการปรับปรุงหลักอัตโนมัติ
WordPress ความปลอดภัย Infographic จาก Pagely (จำนวนข้อมูลที่เป็นของแข็ง - คลิกผ่านเพื่อดูทั้งหมด)
ใช่WordPress มีช่องโหว่ความปลอดภัยโดยธรรมชาติ แต่Drupal , CakePHP, Ruby on Rails , Symfony, Zend และอื่น ๆ ... ไม่มีแพลตฟอร์มหรือระบบที่ฉันจะใช้โดยไม่ต้องใช้มาตรการป้องกันด้านความปลอดภัยเพิ่มเติมนอกเหนือจากแพลตฟอร์มที่มีอยู่แล้ว ฉันคิดว่ามันเป็นความคิดที่ดีที่จะพึ่งพา CMS หรือกรอบงานเพียงอย่างเดียวสำหรับการรักษาความปลอดภัยระดับแนวหน้าของเว็บไซต์ใด ๆ โดยเฉพาะกรอบใด ๆ ที่มีอัตราการยอมรับที่โดดเด่น
ความปลอดภัยของปลั๊กอิน
ปลั๊กอินไม่ปลอดภัยอย่างแน่นอน ปัญหาคือปลั๊กอินไม่ได้รับการตรวจสอบเพื่อให้แน่ใจว่าผู้เขียนปฏิบัติตามแนวทางปฏิบัติด้านความปลอดภัยที่ดี WordPress ได้กำหนดมาตรฐานจำนวนหนึ่งที่ผู้เขียนควรปฏิบัติตาม แต่ปลั๊กอินจำนวนมากถูกเขียนโดยสามเณรหรือคนอื่น ๆ ที่เพิกเฉยต่อมาตรฐาน แต่เช่นเดียวกับที่มีอยู่ทั้งหมดของรหัสนั้นยิ่งคุณเพิ่มโค้ดเข้ากับระบบมากเท่าไหร่โอกาสในการแนะนำบั๊กและช่องโหว่ก็จะยิ่งมากขึ้นเท่านั้น ยิ่งคุณเพิ่มปลั๊กอินในการติดตั้งความเสี่ยงที่คุณมักจะทำก็จะยิ่งมากขึ้นเท่านั้น ด้วยวิธีเดียวกันรู้ว่าชุดรูปแบบของ WordPress นำเสนอภัยคุกคามที่เป็นอันตรายเท่า ๆ กันโดยเฉพาะอย่างยิ่ง "ชุดรูปแบบฟรี" ที่หาได้จากเว็บไซต์ชุดรูปแบบที่คลุมเครือซึ่งหลายแห่งพยายามที่จะใช้ประโยชน์จากไซต์ของคุณโดยตรงแทนที่จะเปิดเผยความไร้เดียงสาด้านความปลอดภัยผ่านความไม่รู้หรืออุบัติเหตุ รับเฉพาะธีมและปลั๊กอินจากแหล่งที่เชื่อถือได้และผู้เขียนที่น่าเชื่อถือ
กฎง่ายๆคือการไม่ติดตั้งปลั๊กอินจากผู้เขียนที่ไม่รู้จักหรือปลั๊กอินที่ค่อนข้างใหม่ในที่เกิดเหตุ หากทำได้ให้ใช้เวลาในการสร้างความน่าเชื่อถือของผู้เขียน จะเป็นการดีที่ได้เรียนรู้ปัจจัยที่ไปเป็นปลั๊กอินที่ดีที่มีความปลอดภัย ( หมายเลขที่ใช้ครั้งเดียว [อาคา "nonce" s] สำหรับการร้องขอและการตรวจสอบ URL ของการรักษาสุขอนามัยการป้อนข้อมูล , เอาท์พุทหลบหนี , การป้องกันการเข้าถึงโดยตรงไปยังปลั๊กอินไฟล์ , การเข้าถึงที่เหมาะสมของ ฐานข้อมูลผ่านวิธีการและฟังก์ชั่น WordPress , ไม่มีข้อผิดพลาดและประกาศเลิกเมื่อเปิดใช้งานการดีบัก [ละเว้นจากการเปิดใช้งานในสภาพแวดล้อมการผลิต] ฯลฯ ) และสัตวแพทย์ทุกปลั๊กอินที่คุณติดตั้งด้วยตัวคุณเองไม่มีสิ่งใดทดแทนความเข้าใจสิ่งที่จะเข้าสู่สคริปต์ปลั๊กอินที่ปลอดภัยหรือการป้องกันที่ดีกว่าจากปลั๊กอินเส็งเคร็ง
หากความคิดของปลั๊กอินและชุดรูปแบบที่ไม่ปลอดภัยทำให้คุณกลัวหรือคุณไม่คุ้นเคยหรือมองหาที่คุ้นเคยกับ PHP คุณอาจพบว่าบริการของWordPress.comเป็นส่วนหนึ่งของการดื่มชาของคุณมากขึ้น อนุญาตเฉพาะผู้ที่มุ่งมั่นที่จะปลอดภัยที่จะติดตั้งบนเว็บไซต์ของผู้ใช้ คุณยังสามารถใช้โดเมนที่กำหนดเองกับ WordPress.com ได้หากต้องการ
สำรองข้อมูล
โฮสต์บางแห่งให้บริการดังกล่าว เช่นเดียวกับที่ฉันไม่เชื่อถือความปลอดภัยของแพลตฟอร์มใด ๆ ที่จะยืนเป็นของตัวเองฉันไม่เชื่อถือโฮสต์ใด ๆ ที่จะดูแลการสำรองข้อมูลของฉัน แต่ฉันต้องการสำรองข้อมูลของฉันไว้ใน Dropbox ของฉันและซิงค์กับเซิร์ฟเวอร์ที่แตกต่างกันเพื่อให้ฉันมั่นใจได้ว่าฉันจะสามารถเข้าถึงสำเนาสำรองของฉันโดยตรงด้วยระบบต่างๆหลายระบบ หากโฮสต์ของฉันลดลงหรือถูกซื้อโดย บริษัท ขนาดใหญ่หรือโฮสติ้งอื่น ๆ ที่โชคร้ายไซต์ของฉันจะถูกคลิกเพียงไม่กี่ครั้งโดยที่ไม่ต้องเสี่ยงกับการจัดการกับโฮสต์ของฉัน
หมายเหตุสุดท้าย
คุณควรอ่านรายการ codex บนHardening WordPressเพื่อรับคำแนะนำด้านความปลอดภัยเพิ่มเติม หากคุณไม่คิดว่าคุณจะต้องใช้ปลั๊กอินจำนวนมากหรือปลั๊กอินที่ไม่ชัดเจนในอนาคตอาจเป็นเรื่องที่ฉลาดกว่าหากมีWordPress.comหรือผู้ให้บริการโฮสติ้ง WordPress ที่มีการจัดการทางเลือกเช่นPagelyโฮสต์บล็อกของคุณ
โดยไม่คำนึงถึงคุณสมบัติ "Automatic Core Updates" ใหม่ของ WordPress คุณยังคงต้องพยายามให้แน่ใจว่าการติดตั้งของคุณและปลั๊กอินและชุดรูปแบบทั้งหมดของคุณเป็นรุ่นล่าสุด บางคนอาจคิดว่ามันมากเกินไป แต่ฉันต้องการเปิดใช้งานการดีบักหลังจากการอัปเดตและตรวจสอบให้แน่ใจว่าไม่มีปลั๊กอินหรือชุดรูปแบบที่สูญเสียความเข้ากันได้ (กระแสของข้อผิดพลาดและประกาศเลิกใช้เป็นอาการที่รุนแรง) หากพวกเขามีฉันปิดการใช้งานพวกเขาจนกว่าผู้เขียนของพวกเขาปรับปรุงพวกเขาหรือทำการเปลี่ยนแปลงที่จำเป็นตัวเองเพื่อให้ฉันค้างไว้จนกว่าพวกเขาจะปล่อยการปรับปรุงอย่างเป็นทางการ โปรดทราบว่าคุณควรออฟไลน์เว็บไซต์ของคุณหรือเรียกใช้สำเนาการพัฒนาแบบออฟไลน์ของเว็บไซต์ของคุณก่อนที่คุณจะเปิดใช้งานการดีบักเพื่อแก้ไขปัญหาอะไรก็ได้
ฉันไม่แน่ใจว่าเป็นเรื่องที่แพร่หลายของ Ad-sense Click-bombing practice แต่ปลั๊กอินของ WordPress เสนอเพื่อลดผลกระทบของ Click-Bombs ดังกล่าวกำลังเสนอระดับความปลอดภัยเพิ่มเติมนอกเหนือจากข้อควรระวังที่ Google มี เว็บไซต์ที่ไม่ได้ใช้งาน WordPress ต้องเผชิญกับภัยคุกคามที่แน่นอนเกี่ยวกับการคลิกวางระเบิดและอาจต้องใช้การป้องกันด้วยวิธีการอื่นหรืออยู่รอดโดยปราศจากมัน
แหล่งข้อมูลเพิ่มเติม