Ühenduse võti võib töötada veel kaua pärast seda, kui oled unustanud, millises haldus paneelis see üldse loodi. 17.-18. oktoobril murti sisse UpdraftPlusi taga seisvasse ettevõttesse TeamUpdraft. Varastatud UpdraftCentral ühenduse võtmetega saadeti seotud veebidele käske, muu hulgas administraatori kontode loomiseks ja pahatahtlike pluginate paigaldamiseks. Samal ajal võib tulevane WooCommerce’i muudatus tuua rohkematele poeomanikele vajaduse luua AI-tööriistade jaoks WordPressi rakenduse paroole. Mina vaataks mõlemad ligipääsud kohe üle. Varu umbes 10 minutit.
Mida rakenduse parool päriselt teeb?
Rakenduse paroolid on WordPressis olemas alates versioonist 5.6. Nendega saab äpp, skript või muu ühendus veebiga REST API või XML-RPC kaudu suhelda. Tavalisse wp-login.php vormi neid sisestada ei saa. Just seepärast ei küsita nende puhul ka sinu sisselogimise kaheastmelist kinnitust: see vorm jääb üldse vahele.
Iga rakenduse parool kuulub kindlale WordPressi kasutajale ja saab kaasa selle kasutaja õigused. Parooli ennast ei saa eraldi ainult lugemiseks piirata. Administraatori rakenduse parool saab teha kõike, mida too administraator teha saab. WordPress salvestab paroolid räsitult ja näitab tegelikku parooli ainult loomise hetkel. Hiljem seda vaadata või muuta ei saa - saad vana tühistada ja uue teha.
Tülikas koht? Kogu saidi peale ühist nimekirja pole. Pead vaatama iga kasutaja profiili eraldi. Projekti jaoks antud ligipääs kipub pärast projekti lõppu alles jääma, eriti kui keegi pole võtnud enda peale selle koristamist. Ma ei eeldaks, et vana ühendus on eemaldatud ainult sellepärast, et sellest enam keegi ei räägi.
10 minuti kontrollnimekiri
- Vaata kasutajad üle. Ava
Users > All Users. Otsi endisi töötajaid, agentuure ja vabakutselisi. Kustuta kontod, millel pole enam ligipääsu vaja, või anna väiksem roll, kui inimene peab midagi endiselt tegema. Alustaksin administraatoritest ja vaataks siis üle teised, kes võisid mõne tööriista ühendada. - Ava vajalikud profiilid. Enda konto jaoks mine
Users > Profile. Teise inimese puhul vali ta vaatesUsers > All Usersja vajuta Edit. Keri jaotiseni Application Passwords. Iga rea juures näed välju Name, Created, Last Used ja Last IP. Seal on Revoke nupp ning võimalus tühistada kõik rakenduse paroolid korraga. Last Used uueneb kõige sagedamini kord 24 tunni jooksul, ehk võta seda ligikaudse päeva, mitte täpse kellaajana. - Tühista see, mille otstarvet sa ei tea. Võrdle tööriista nime nende äppidega, mida veel kasutad. Enne võimaliku töötava ühenduse parooli eemaldamist küsi üle inimeselt, kes selle seadistas. Kui oled kindel, et seda enam vaja pole, tühista see. Kasutaja tavalise parooli muutmine rakenduse paroole ei eemalda - paroolivahetus seda kontrolli ei asenda.
- Kui haldad palju kontosid, kasuta WP-CLI-d.
wp user application-password list <user>näitab ühe kasutaja rakenduse paroole.wp user application-password delete <user> --allkustutab need kõik selle kasutaja jaoks. Ära jooksuta teist käsku lihtsalt aja säästmiseks, kui sa pole valmis selleks, et kasutaja ühendused lakkavad töötamast. - Kontrolli UpdraftCentral võtmeid. Ava
Settings > UpdraftPlus Backups > Advanced Tools > UpdraftCentralja kustuta ühendused, mida sa ei kasuta. UpdraftPlus 1.26.13 (tasuta) ja 2.26.13 (Premium) tühistavad sissemurdmisega seotud vanad võtmed. Tausta saad lugeda meie UpdraftCentral võtmete loost. - Otsi muid kaughalduse ühendusi. Vaata üle ManageWP Worker plugin, MainWP Child plugin, Jetpack ning kõik varunduse ja kaughalduse ühendused, mille oled paigaldanud. Kui sa mõnd juhtpaneeli enam ei kasuta, eemalda veeb esmalt sealt või katkesta ühendus. Seejärel lülita oma veebis plugin välja ja kustuta see. Kui paneel või konto on sulle võõras, eemalda vastav ühendus.
- Vaata poe võtmed üle. Jaotises
WooCommerce > Settings > Advanced > REST APIkontrolli iga võtme kirjeldust, kasutajat, õigusi ja välja Last access. Tühista võtmed, mille otstarvet sa ei oska selgitada või mida pole ammu kasutatud. Võti tegutseb selle WordPressi kasutaja õigustega, kelle jaoks see loodi. Kasutaja kustutamine peatab ka võtme töö. - Kontrolli ligipääsu väljaspool WordPressi. Vana agentuuri konto võib olla jaotisest
Userskadunud, aga ligipääs majutusele, SFTP-le või mõnele teisele paneelile alles. Vaata need eraldi üle, samuti inimese rakenduse paroolid ja WooCommerce’i võtmed. Enne järgmist projekti on abiks meie juhend, kuidas anda arendajale ligipääs nii, et kontroll jääb sulle. - Tee alles jäävatele ühendustele plaan. Loo igale tööriistale oma rakenduse parool ja võimaluse korral oma kasutaja, kellel on tööks piisav, kuid võimalikult väike roll. Pane kalendrisse meeldetuulletus need kord kvartalis üle vaadata. Kui inimene lahkub või loobud tööriistast, tühista vana parool ja loo vajaduse korral uus. Muidu võib kasulik ühendus jääda tööle veel siis, kui keegi ei mäleta, kes selle üles pani.
AI-ühendusele anna samuti piiratud õigustega kasutaja
WooCommerce teatas 21. oktoobril, et tulevases versioonis 11.3 eemaldatakse /wp-json/woocommerce/mcp aadress ja MCP klientide sisselogimine REST API võtmega. Edaspidi vajavad MCP kliendid WordPress MCP Adapter pluginat ja WordPressi rakenduse parooli. Selle loo kirjutamise ajal pole versioon 11.3 veel väljas. Üksnes selle teate pärast ei pea sa täna toimivat ühendust muutma.
Kui hakkad uut ühendust seadistama, ära anna AI-tööriistale kohe oma põhilist Administrator kontot. Prooviksin esmalt eraldi Editor või Shop manager kontot ja vaataks, mida tööriist päriselt vajab. Pane rakenduse parooli nimesse tööriist ja kuu, et hiljem aru saada, mille jaoks see loodi. Üks parool tööriista kohta tähendab, et saad ühe ühenduse sulgeda, teisi puutumata. Paroolil endal pole eraldi õiguste piirangut - piiri seab kasutaja roll.
Kui sa rakenduse paroole ei kasuta
Saad selle võimaluse välja lülitada, lisades väikesesse pluginasse või mu-pluginasse add_filter( 'wp_is_application_passwords_available', '__return_false' );. Mina ei paneks seda teema faili functions.php, kui võid kunagi teemat vahetada. Täpsemaks piiramiseks on olemas ka kasutajapõhine filter wp_is_application_passwords_available_for_user.
Väljalülitamine peidab rakenduse paroolid profiilidest ja olemasolevad paroolid ei saa enam veebiga ühendust luua. Vaata enne Last Used üle ja tee kindlaks, millised äpid neist sõltuvad. Meie tasuta WordPressi turvaseadetes on valik Disable Application Passwords jaotises Hardening > Access hardening. See lülitab võimaluse lihtsalt välja. Ühenduste ülevaatus tuleb ikka käsitsi teha ja mina teeks selle enne lüliti vajutamist.
Kui mõni võti tundub kahtlane
Võõras ligipääs, mida on hiljuti kasutatud, vajab rohkem tähelepanu kui selline, mille kasutust pole kirjas. Ära arva, et kõik on korras, sest konto tavaline parool sai ära vahetatud. Mina teeks nii:
- Tühista rakenduse parool või ühenduse võti, mille otstarvet sa ei suuda selgitada.
- Kontrolli jaotisest
Users, kas seal on tundmatuid administraatoreid, ning jaotisestPlugins, kas paigaldatud on pluginaid, mida sa pole heaks kiitnud. - Kui kahtlustad, et keegi pääses sisse, küsi abi veebilehe puhastamiseks ja pahavara eemaldamiseks. Ainult imeliku kirje kustutamisest ei pruugi piisata.
Täna ava oma profiil ja keri jaotiseni Application Passwords. Loe läbi nimed ja Last Used kuupäevad. Kui sa ei tea, millega mõni parool ühendub siis on see esimene asi, mis välja selgitada.