Instalando com segurança o Wordpress em um subdiretório em um servidor

3

nossos dróides de marketing gostariam de ter um blog em nosso domínio. Eu verifiquei vários, e enquanto o MovableType parece ter menos vulnerabilidades, o Wordpress ganhou a corrida.

Eu sou muito cético em relação à instalação de uma ferramenta de software que é frequentemente explorada em nossos servidores principais. No entanto, os poderes que querem que a url do blog seja www.domain.com/blog/ em vez de blog.domain.com (o que, é claro, permitiria que eu executasse o blog em um VPS barato em algum lugar).

Eu sempre posso instalar o Wordpress, executar o endurecimento e esperar pelo melhor. Ou alguém tem uma ideia de como posso executar o blog em um subdiretório, mantendo-o separado, sem afetar a funcionalidade? Eu estava brincando com proxy em um htaccess etc. sem resultados. Estamos executando o LAMP e temos um balanceador de carga BIG IP na frente, se isso ajudar ...

Estou com medo de atacantes chegarem ao nosso banco de dados através do Wordpress (apesar de eu ter usado as precauções típicas, como diferentes nomes de usuários).

Alguma idéia?

    
por jotango 21.07.2010 / 08:39

2 respostas

2

Depende do ambiente, e isso pressupõe que você execute Linux e Apache, provavelmente alguma solução LAMP, se é comum do que eu ouço falar.

Sua explicação faz parecer que você sabe o que está fazendo, mas você já considerou um chroot / jail / o que você quiser chamar no seu jargão de OS escolha? É claro que alimentar corretamente tudo no ambiente chroot é um animal diferente, e é aí que a borracha encontra a estrada para você. Como você está falando sobre ambiente de produção, pode ser um problema de desempenho e estabilidade (eu vejo muitos documentos insistindo que serviços de produção de baixo nível como o BIND DNS são executados no chroot, então duvido que seja tão ruim assim, quero dizer no sentido de executar outra instância Apache chroot-ed ao lado de seu outro). Você pode querer começar aqui para uma explicação sobre o chroot para o Apache. Eu suponho que se você pode fazer isso e MySQL, você está definido.

No entanto, tudo isso parece um exagero. Você disse htaccess, então definitivamente soa como Apache para mim. Você tem balanceadores de carga. Na minha opinião, parece muito mais fácil "ter seu bolo e comê-lo também". Quero dizer, apenas reescreva os urls com seus arquivos conf do Apache (o que requer apenas um pouco de habilidade e testes) ou faça o balanceador de carga fazer isso (eu não tenho um, mas alguns os colegas de trabalho têm um F5 e dizem que pode fazer isso em um nível baixo, o que é divertido). De qualquer forma, faça a sua escolha, o primeiro parágrafo aborda diretamente a sua pergunta. Caça feliz.

    
por 21.07.2010 / 09:01
2

Desde que você fique por dentro das atualizações e não instale nenhum plug-in estranho, o WordPress é relativamente seguro. Também é relativamente isolado .. o pior alguém que hacks WP fará é desfigurar o blog.

Três pensamentos ...

1- Coloque o pé no WordPress exigindo um sub-domínio separado. Apesar de o WP ser relativamente seguro, mantê-lo isolado manterá sua vida simples na estrada.

2- Implemente nginx na frente do balanceador de carga e solicite que o proxy \blog solicite blog. . Esta é uma boa topologia a longo prazo.

3- O balanceador de carga pode ser configurado para proxy / reescrever? Se você especificar o balanceador de carga, poderá obter ajuda.

    
por 24.07.2010 / 18:48