Obsah článku:
- Proč je tak důležitá bezpečnost tohoto souboru?
- Jak zabezpečit soubor wp-config.php ve WordPressu
- 1. Vytvořte si kopii souboru mimo adresář webu
- 2. Úprava původního souboru wp-config.php
- Nevíte, jak zjistit cestu k novému souboru?
- Chcete ještě více vylepšit bezpečnost souboru wp-config.php?
- Jak zabezpečit soubor wp-config.php ve WordPressu
- Závěr
Soubor wp-config.php je klíčový soubor Vašeho webu, ve kterém si WordPress ukládá velmi citlivé údaje. Jde mimo jiné i o připojení do databáze MySQL, které je v souboru uložena nešifrovaně v textové podobě. Proto je velmi důležité tento soubor zabezpečit proti tomu, aby se dostal do nepovolaných rukou. V tomto návodu si ukážeme velmi jednoduchý způsob pomocí přesunutí souboru mimo adresářovou strukturu webu.
Proč je tak důležitá bezpečnost tohoto souboru?
Soubor wp-config.php je jedním z nejdůležitějších souborů WordPressu, protože obsahuje klíčové informace o konfiguraci webu – přihlašovací údaje k databázi, bezpečnostní klíče a další citlivá nastavení. Pokud se tento soubor dostane do nepovolaných rukou, může útočník získat plnou kontrolu nad webem.
Ve výchozím nastavení je wp-config.php umístěn v kořenovém adresáři webu, což znamená, že je dostupný přes prohlížeč (ačkoliv servery obvykle neumožňují jeho přímé zobrazení). Přesto existují způsoby, jak může být tento soubor kompromitován – například špatnou konfigurací serveru nebo zranitelností v jiném pluginu či tématu.
Přesunutím souboru wp-config.php o úroveň výše, mimo kořenový adresář webu (tedy do složky, která není přístupná prohlížečem), eliminujete riziko, že by jej bylo možné stáhnout v případě špatného serverového nastavení. I kdyby došlo k nějaké chybě v konfiguraci serveru, soubor se nebude nacházet v adresáři dostupném přes HTTP(S), což výrazně snižuje bezpečnostní rizika.
Tuto metodu doporučuje i oficiální WordPress dokumentace jako jeden z klíčových kroků k zabezpečení webu. Více informací najdete zde: WordPress Hardening Guide.
I když toto opatření nezabrání všem typům útoků, je důležitým krokem ke zvýšení bezpečnosti. Spolu s pravidelnými aktualizacemi, silnými hesly a omezením přístupů na úrovni serveru tvoří základní pilíře ochrany WordPress webu.
Jak zabezpečit soubor wp-config.php ve WordPressu
1. Vytvořte si kopii souboru mimo adresář webu
V první fázi si nejprve uděláte kopii souboru, který umístíte mimo adresář webu:
- přihlaste se na FTP svého webu pomocí libovolného FTP klienta
- otevřete si složku s webem (www nebo public_html)
- najděte si soubor wp-config.php a zkopírujte si jej k sobě do počítače
- přesuňte se mimo složku webu o úroveň výše
- nahrajte kopii souboru wp-config.php ze svého počítače do tohoto umístění mimo složku webu
2. Úprava původního souboru wp-config.php
Aktuálně jste ve fázi, kdy máte dva konfigurační soubory WordPressu. Jeden ve složce webu (původní) a jeden mimo úroveň webu, který je nedostupný přes prohlížeč. Nyní se přesuňte zpět do složky webu a upravte původní soubor wp-config.php:
- přesuňte se do složky s webem
- editujte původní soubor wp-config.php
- smažte jeho původní obsah a nahraďte jej tímto kódem
- nezapomeňte upravit cestu k novému souboru mimo úroveň webu
<?php
include('/cesta_k_novému_souboru_mimo_složku_webu/wp-config.php');
Nevíte, jak zjistit cestu k novému souboru?
Pokud nevíte, jakou cestu máte napsat do výše uvedeného skriptu, může Vám pomoct další skript, který Vám ukáže cesty, které web server používá. Pomůžete si takto:
- vytvořte si soubor cesta.php pomocí textového editoru
- vložte do něj následující kód a soubor uložte
- nahrajte soubor cesta.php do složky s Vaším webem
- zavolejte soubor přes prohlížeč (https://vasedomena.koncovka/cesta.php)
- soubor Vám ukáže absolutní cestu složky, ve které se nachází
- podle zobrazené cesty skriptem už budete znát adresářovou strukturu webu na serveru
- pokud Vám ani toto nepomůže, kontaktujte providera webhostingu a on Vám jistě pomůže také
<?php
echo dirname(__FILE__);
?>
Chcete ještě více vylepšit bezpečnost souboru wp-config.php?
Pokud chcete přidat ještě další vrstvu zabezpečení svého konfiguračního souboru, můžete si pomoc pomocí souboru .htaccess
- přesuňte se do složky, kam jste nahráli kopii wp-config.php (tedy složka mimo úroveň webu)
- vytvořte zde soubor .htaccess
- vložte do něj tento kód
<files wp-config.php>
order allow,deny
deny from all
</files>
Jak zabezpečit soubor wp-config.php ve WordPressu
Závěr
Jak vidíte, postup není nijak zásadně složitý. Naproti tomu je ale velmi efektivní a přidává další vrstvu ochrany do Vašeho WordPressu. Celkově jde o práci na několik minut ale efekt bude opravdu znatelný. Internet není bezpečné místo a proto je tímto způsobem nutné přistupovat i k ochraně Vašeho webu.
Pokud by Vás bezpečnost WordPressu zajímala více, můžete si prohlédnout kompletního průvodce zabezpečením WordPressu zde: Jak zabezpečit WordPress – kompletní průvodce 2024.
Web je vytvářen s pečlivostí k obsaženým informacím. Snažím se poskytovat kvalitní a užitečný obsah, který ostatním pomáhá, nebo je inspiruje. Pokud jste spokojeni s mou prací a chtěli byste mě podpořit, můžete to udělat prostřednictvím jednoduchých možností.
Odebírejte Newsletter
Buďte v obraze! Připojte se k odběru newsletteru a buďte první, kdo získá nejnovější informace přímo do vaší e-mailové schránky. Sledujte aktuality, exkluzivní události a inspirativní obsah, přímo na Vašem e-mailu.
Zajímá Vás redakční systém WordPress? Pak Vás určitě bude zajímat i jeho bezpečnost. Pod tlačítkem níže jsem pro Vás připravil kompletního průvodce zabezpečením WordPressu, který máte dostupný zcela zdarma.
