Sete verificações para blindar WordPress em hospedagem compartilhada cPanel

O WordPress move boa parte dos sites de qualquer servidor compartilhado e é por onde começam a maioria dos incidentes. Estas sete verificações fecham as portas que os atacantes mais usam.

A lista

• Atualize núcleo, plugins e temas automaticamente, com snapshot para voltar atrás.
• Apague plugins e temas que não usa. Desativado não é seguro.
• Mantenha diretórios em 755, arquivos em 644 e o wp-config.php em 640 ou mais restrito.
• Desative o XML-RPC quando o site não precisa dele.
• Use ModSecurity com um conjunto de regras mantido.
• Dê a cada conta seu próprio pool PHP-FPM para um site não ler o outro.
• Exija autenticação em dois fatores para administradores.

Corrija permissões de uma vez

$ find public_html -type d -exec chmod 755 {} \;
$ find public_html -type f -exec chmod 644 {} \;
$ chmod 640 public_html/wp-config.php

Rode por conta, nunca a partir da raiz do sistema de arquivos, e teste o site depois.