Site WordPress nou: pașii din prima zi, de la domeniu la securitate

Un site WordPress e cel mai expus în primele lui zile. Certificatele SSL apar în jurnale publice (Certificate Transparency), iar roboții care urmăresc acele jurnale ajung la un domeniu nou la câteva ore după ce a primit certificatul. Dacă pagina de instalare e încă deschisă sau parola de administrator se ghicește ușor, ei o încearcă înaintea ta.

Ordinea de mai jos merge pe orice găzduire. Unde e cazul, scriem și cum se face în panoul AYT.

1. Domeniul și DNS-ul

De la registrar ai nevoie de domeniul înregistrat pe numele tău sau al firmei și de acces la DNS. Verifică datele de contact din contul de la registrar. Dacă domeniul l-a cumpărat o agenție, pe contul ei, cere transferul acum, cât vă înțelegeți bine.

Apoi îndrepți domeniul spre găzduire, în unul din două feluri:

• schimbi serverele de nume (nameservers) cu cele ale găzduirii și administrezi DNS-ul din panoul ei;
• păstrezi DNS-ul unde e, la registrar sau în Cloudflare, și schimbi doar înregistrarea A a domeniului și pe cea pentru www.

La AYT merg amândouă. Dacă ai deja DNS-ul în Cloudflare, legi contul printr-un token API și editezi înregistrările din panoul nostru.

Schimbarea se vede de obicei în mai puțin de o oră, dar unele rețele țin minte adresa veche până la o zi sau două. Dacă domeniul are deja căsuțe de e-mail folosite, mută e-mailul separat, după ce site-ul merge.

2. Instalarea WordPress

Instalează WordPress din panou, nu urcând arhiva de mână. Instalatorul creează baza de date cu un utilizator propriu și o parolă lungă și scrie cheile de securitate în wp-config.php. În WordPress Toolkit, la AYT, completezi un singur formular cu domeniul, titlul site-ului, contul de administrator și limba.

Câteva alegeri din formular rămân cu tine mult timp. Numele de utilizator al administratorului poate fi orice în afară de „admin” sau numele domeniului, pentru că pe acestea le încearcă roboții primele. Parola o generezi, de cel puțin 16 caractere, și o ții într-un manager de parole. Adresa de e-mail a administratorului trebuie să fie una pe care o citești: acolo vin resetările de parolă și avertismentele WordPress.

3. HTTPS

După ce DNS-ul arată spre server, certificatul Let's Encrypt se emite singur și se reînnoiește fără să faci nimic. Verifică apoi două lucruri.

În Setări → General, ambele adrese (a WordPress și a site-ului) încep cu https://. Dacă le schimbi după ce ai pus conținut, imaginile pot rămâne în baza de date cu http://, iar browserul le blochează ca „conținut mixt”.

Alege o singură formă a adresei, cu www sau fără, și redirecționează-o pe cealaltă. Google le tratează ca două site-uri diferite. În panoul AYT setezi redirecționarea și trecerea de la HTTP la HTTPS din pagina domeniului.

4. Copiile de siguranță

Pe planurile plătite AYT facem în fiecare noapte o copie a fișierelor și a bazei de date, pe alt server. Prima copie se face în noaptea de după instalare. Până atunci nu ai nicio copie, așa că dacă vrei să încerci zece module în prima zi, încearcă-le pe mediul de test (staging), o copie a site-ului pe un subdomeniu, și pune pe site-ul live doar ce ai păstrat.

Uită-te și unde ține găzduirea copiile. O copie de pe același server dispare odată cu serverul.

5. Securitatea de bază

O parte o face serverul. La AYT, firewall-ul ModSecurity oprește atacurile cunoscute asupra WordPress, CrowdSec blochează adresele care încearcă parole la rând, iar fișierele PHP nu pot rula din wp-content/uploads. Restul e în wp-admin:

• Pornește autentificarea în doi pași pentru administratori, de exemplu cu modulul Two Factor.
• Oprește editorul de fișiere din wp-admin. Verificarea de securitate din WordPress Toolkit o face dintr-un clic, la fel și oprirea XML-RPC, de care nu ai nevoie dacă nu folosești aplicația mobilă WordPress sau Jetpack.
• Șterge temele și modulele pe care nu le folosești. Un modul dezactivat e tot pe disc, cu tot cu vulnerabilitățile lui.
• Dă fiecărui om contul lui, cu rolul de care are nevoie. Cine scrie articole are nevoie de rolul de autor sau de editor.

6. Înainte să anunți site-ul

Trimite un mesaj de test din formularul de contact la o adresă Gmail și verifică dacă ajunge în Inbox. Mesajele trimise de pe domeniul tău au nevoie de SPF și DKIM ca să nu fie marcate ca spam; în panoul AYT sunt puse pentru tine.

În Setări → Citire, debifează „Descurajează motoarele de căutare să indexeze acest site”. Bifa rămâne des de pe vremea când site-ul era în lucru, iar proprietarul se miră după o lună că nu apare în Google.

Dacă folosești Google Analytics, pixeli de reclame sau formulare, ai nevoie de o politică de confidențialitate și de una de cookies. Deschide site-ul și de pe telefon, pe date mobile, nu doar pe Wi-Fi-ul de la birou.

Pe planurile plătite, monitorizarea verifică site-ul din minut în minut și îți scrie pe e-mail dacă nu mai răspunde, așa că afli de o cădere înaintea clienților.

Dacă site-ul e deja la alt furnizor, nu trebuie să o iei de la capăt. Îl mutăm noi gratuit, cu fișiere, baze de date și e-mail, pe oricare dintre planurile plătite.