Bir önceki içeriğimizde WordPress "wp-login.php" şifreleme konusunda bilgiler vermiştik. Şimdi ise WordPress'in bir diğer önemli uzantısı olan "wp-admin" şifreleme konusunda bilgiler vermek istiyoruz. WordPress'te bir saldırgan, wp-admin URL'sine gitmek istediğinde, öncelikle direkt olarak wp-login.php sayfasına yönlendirilir. Ancak biz neden wp-admin klasörünü de şifrelemeyelim?

Apache'nin izin verdiği .htpasswd dosyası ile bunu kolaylıkla yapabiliriz. Aşağıdaki adımları yavaş yavaş ve doğru bir şekilde tamamlayarak, siz de wp-admin klasörünüzü şifreleyebilirsiniz. Bu şekilde saldırganların sitenizin yönetim paneline ulaşması da bir o kadar zorlaşacaktır.

AYRICA: WordPress'te Veritabanı Performansını Artıralım

WordPress "wp-admin" Şifreleme Nasıl Yapılır?

1) Öncelikle masaüstünde bir dosya oluşturun. Bu dosyanın adı ise ".htpasswd" olsun. Ardından şuradaki siteye gidin ve istediğiniz kullanıcı adınızı ve şifrenizi girin. Bu ilk belirlediğiniz ana şifrenizi de not ediniz.

Karşınıza tek satırlık bir kod çıkacaktır. Bu satır ise kullaniciadi:sifrelenmisparola şeklinde olacaktır. Yani belirlediğiniz şifreyi de bu şekilde şifrelemiş oluyorsunuz. Bu satırı kopyalayıp, .htpasswd adlı oluşturduğunuz dosya içerisine kayıt edin. Bu dosyayı ise, FTP ile wp-admin klasörü içerisine gönderin.

2) FTP'de ana dizinde bulunan .htaccess dosyasını açın. İçerisinde yer alan aşağıdaki satırı bulun.

# END WordPress

3) Aşağıdaki kodları da, yukarıdaki satırdan hemen sonra ekleyin.

ErrorDocument 401 default
AuthUserFile /var/www/vhosts/domain.uzantisi/httpdocs/wp-admin/.htpasswd
AuthName "Blog"
AuthType Basic
<Files "wp-login.php">
require valid-user
</Files>


Yukarıdaki kırmızı alanı, kendi domain adresiniz ile değiştirmeyi unutmayınız. Kullandığınız sunucu paneline göre ilgili dosya yolu değişebilir. Biz Plesk'e göre ilgili dosya yolunu bu şekilde belirledik.

4) Yukarıdaki işlemler ardından, .htaccess dosyasını kayıt edin. Bu bağlamda, yapılacak farklı bir işlem kalmamıştır.

Sonuç: Şimdi sitenize gidin ve wp-admin veya wp-login.php uzantıları ile giriş yapmayı deneyin. Ardından sizden kullanıcı bilgileri istenecektir. Bu bilgileri, ilk oluşturduğunuz kullanıcı adı ve şifre ile doğrulayarak giriş yapabilirsiniz. Bu şekilde saldırganlar, admin şifrenizi öğrense bile, bu kullanıcı bilgilerini bilmediği için, yönetim panelinize giriş yapamayacaktır.