Hadkan Akses ke Fail Penting seperti wp-config.php dan .htaccess

Cara Menghadkan Akses ke Fail Penting WordPress

Fail seperti wp-config.php dan .htaccess adalah antara fail paling kritikal dalam laman web WordPress kerana ia mengandungi maklumat sensitif dan konfigurasi utama. Menghadkan akses kepada fail ini adalah langkah keselamatan asas untuk mengelakkan serangan siber dan kebocoran data.

Menggunakan Fail .htaccess untuk Menghadkan Akses

Fail .htaccess boleh digunakan untuk menyekat akses terus ke fail-fail penting. Berikut adalah contoh kod yang boleh anda tambahkan ke dalam fail .htaccess di direktori utama WordPress anda:

<files wp-config.php>
    order allow,deny
    deny from all
</files>

Kod ini akan menyekat sebarang akses terus ke wp-config.php melalui pelayar web, tetapi masih membenarkan WordPress sendiri mengakses fail tersebut untuk operasi biasa.

Untuk fail .htaccess itu sendiri, anda boleh menetapkan permission (keizinan fail) kepada 644 atau 640 supaya hanya pemilik (owner) sahaja yang boleh menulis, manakala kumpulan (group) dan lain-lain hanya boleh membaca. Ini boleh dilakukan melalui cPanel, File Manager, atau menggunakan perintah FTP.

Melindungi Direktori Penting

Selain fail individu, anda juga boleh melindungi direktori seperti /wp-admin/, /wp-includes/, dan /wp-content/uploads/ dengan menambah fail .htaccess di setiap direktori tersebut. Contohnya, untuk /wp-admin/, anda boleh menambah perlindungan kata laluan asas (basic auth) seperti berikut:

AuthName "Admins Only"
AuthUserFile /home/yourdirectory/.htpasswds/public_html/wp-admin/passwd
AuthGroupFile /dev/null
AuthType basic
require user yourusername

Pastikan fail .htpasswds diletakkan di luar direktori web untuk keselamatan tambahan.

Langkah Keselamatan Tambahan

• Backup Fail: Sentiasa buat salinan sandaran (backup) sebelum mengubah sebarang fail konfigurasi.
• Semak Keizinan Fail: Pastikan keizinan fail wp-config.php dan .htaccess tidak membenarkan tulis (write) oleh pengguna lain selain pemilik.
• Sembunyikan Fail: Pastikan fail-fail ini tidak boleh diakses terus melalui URL. Jika boleh, sembunyikan fail wp-config.php daripada direktori root dengan memindahkannya ke satu tingkat atas (jika persekitaran pelayan membenarkan), tetapi ini memerlukan penyesuaian konfigurasi WordPress.
• Pantau Perubahan: Pantau sebarang perubahan tidak dijangka pada fail-fail ini sebagai tanda kemungkinan serangan.

Kesimpulan

Menghadkan akses ke wp-config.php dan .htaccess adalah langkah keselamatan wajib untuk mana-mana laman web WordPress. Gunakan fail .htaccess untuk menyekat akses terus, tetapkan keizinan fail yang ketat, dan pertimbangkan perlindungan kata laluan untuk direktori pentadbiran. Langkah-langkah ini akan mengurangkan risiko serangan dan kebocoran maklumat sensitif.