⚙️ All In One WP Security: WordPressin tietoturvan vaiheittainen asennus 16 vaiheessa
Joka päivä keskiverto WordPress-sivusto saa 200-500 luvatonta pyyntöä osoitteeseen wp-login.php. Kyseessä eivät ole hupparipäiset hakkerit, vaan skriptit. Ne haravoivat internetiä, löytävät vakiosisäänkirjautumissivun ja aloittavat brute-force-hyökkäyksen: admin/123456, admin/qwerty, admin/vuodettu_tietokantasana. Ennemmin tai myöhemmin ne murtavat sen.
Hosting ei suojaa tältä. Palvelimen palomuuri näkee sallitun POST-pyynnön osoitteeseen wp-login.php ja päästää sen läpi, se ei pysty erottamaan, syötätkö salasanaa sinä vai botti. WordPressin suojaus ja palvelinsuojaus ovat kaksi eri kerrosta, ja sinä vastaat ensimmäisestä.
All-In-One Security (AIOS) UpdraftPlus-tiimiltä kattaa tämän kerroksen kokonaan. Yksi lisäosa nipun sijaan: palomuuri, kirjautumissuojaus, tiedostovalvonta, bottien esto ja varmuuskopiot. Miljoona asennusta, arvosana 4,7 WordPress.orgissa. Ilmainen versio riittää suojaamaan keskivertosivuston. Alla on vaiheittainen asennusohje perusasetuksista konfiguraation vientiin.
💡 Pikakatsaus:
- Piilotamme kirjautumissivun mukautetun URL-osoitteen taakse ja otamme käyttöön kaksivaiheisen tunnistautumisen. Brute-force-hyökkäykset epäonnistuvat välittömästi.
- Määritämme kolme palomuurikerrosta: htaccess-, PHP-säännöt ja 6G-mustalistan. Kerrostettu pyyntöjen suodatus.
- Estämme pääsyn palvelutiedostoihin, poistamme PHP-editorin käytöstä hallintapaneelista ja tarkistamme kansio-oikeudet.
- Otamme käyttöön honeypot- ja 404-virheentunnistuksen. Botit suodatetaan pois ennen kuin ne pääsevät perille, ilman käyttäjille näkyvää captchaa.
- Tallennamme valmiin konfiguraation tiedostoon, jotta sen voi siirtää sivustolta toiselle minuutissa.
Vaihe 1. Poista WP-generaattorin metatiedot
Ensimmäinen asia, joka vuotaa WordPress-versiosi, on jokaisen sivun <head>-osiossa oleva <meta name="generator" content="WordPress X.X.X"> -tagi. Hyökkääjä saa tarkan versionumeron ja valitsee siihen sopivat haavoittuvuudet sekunneissa. AIOS poistaa tämän tagin yhdellä kytkimellä.
Polku: WP Security → Settings → General Settings. Ota käyttöön Remove WP Generator Meta Info ja tallenna. Tarkista kotisivusi lähdekoodi (Ctrl+U), generator-rivi pitäisi kadota. Samassa osiossa kannattaa myös poistaa käytöstä Enable Info Comments, AIOS lisää oletuksena HTML-kommentteja, joissa on palvelutietoa, nekin on parempi poistaa.
Vaihe 2. Estä kirjautumisyritykset
wp-login.php-osoitteeseen kohdistuva brute-force on yleisyydeltään ykköshyökkäys. Botit kokeilevat satoja salasanoja minuutissa, mikä kuormittaa palvelinta ja tietokantaa. Ennemmin tai myöhemmin heikko salasana murretaan, varsinkin jos joku admin- tai editor-käyttäjä käyttää salasanaa qwerty123.
Polku: WP Security → User Login → Login Lockdown. Ota käyttöön Enable Login Lockdown ja aseta: enintään 5 yritystä, IP-esto 60 minuutiksi, laskurin nollaus 24 tunnin kuluttua. Sivustoille, joilla on useita ylläpitäjiä, ota käyttöön Notify by Email, estoilmoitus saapuu välittömästi. Jos saat usein ilmoituksia, vaihda kirjautumissivun polkutunnus (vaihe 14).
Vaihe 3. Uusien rekisteröitymisten manuaalinen hyväksyntä
Jos rekisteröityminen on avoinna sivustollasi, ilman tätä asetusta kuka tahansa botti luo tilin sekunneissa. Roskatilit kertyvät tuhansittain, tukkivat tietokannan ja luovat hyökkäyspinta-alaa käyttöoikeuksien korottamisen kautta.
Polku: WP Security → User Registration → Manual Approval. Ota käyttöön Enable Manual Approval. Nyt jokainen uusi tili odottaa ylläpitäjän vahvistusta ennen aktivointia. Määritä samassa osiossa captcha rekisteröitymislomakkeille, se on lisäeste, jota botit eivät pysty ylittämään.
Vaihe 4. Vaihda tietokantataulujen etuliite
wp_-etuliite on vakio kaikissa WordPress-asennuksissa. SQL-injektiot ja massahyökkäysskriptit kohdistuvat nimenomaan siihen: kun hyökkäys tunnistaa taulujen nimet (wp_users, wp_options), hyökkäyksestä tulee kohdennettu sokean sijaan.
Polku: WP Security → Database → DB Prefix. Näet nykyisen etuliitteen. Jos se on wp_, napsauta Change DB Table Prefix. Lisäosa ehdottaa satunnaista merkkijonoa tai voit syöttää oman (4-6 merkkiä, vain latinalaisia kirjaimia ja alaviivoja). Ennen suorittamista tee ehdottomasti tietokantavarmuuskopio (vaihe 5). Prosessi kestää 5-10 sekuntia keskivertosivustolla, mutta palautus ilman varmuuskopiota on mahdotonta.
Vaihe 5. Tietokannan varmuuskopiointi
Ennen rakenteellisia muutoksia, etuliitteen vaihtoa, versiohistorian siivousta tai ydintiedostojen päivitystä varmuuskopio on pakollinen. AIOS on integroitu UpdraftPlus-lisäosaan, varmuuskopiointi käynnistyy samasta käyttöliittymästä.
Polku: WP Security → Database → Database Backup. Napsauta Create Database Backup, tiedosto tallennetaan paikallisesti. Määritä automaattinen pilveen lähetys UpdraftPlussan kautta (Google Drive, Dropbox, S3) ja päivittäinen ajastus. Sivuston palauttaminen tietomurron jälkeen ilman varmuuskopiota on käytännössä mahdotonta, mutta AIOS + UpdraftPlus -yhdistelmällä se hoituu yhdellä napilla.
Vaihe 6. Tarkista hakemistojen ja tiedostojen käyttöoikeudet
Virheelliset käyttöoikeudet, 777 tiedostolle wp-config.php, 666 uploads-kansiolle, avoin kirjoitusoikeus wp-content-kansioon, avaavat suoran polun haittakoodin kirjoittamiselle. Jos hyökkääjä saa pääsyn teemaan haavoittuvuuden kautta, väärät oikeudet mahdollistavat järjestelmätiedostojen muokkaamisen.
Polku: WP Security → Filesystem Security → File Permissions. Suorita tarkistus. Kaikkien rivien tulee olla vihreitä. Jos rivi on punainen tai keltainen, napsauta Set Recommended Permissions ongelmallisen tiedoston tai kansion kohdalla. Korjauksen jälkeen käynnistä tarkistus uudelleen, sen tulisi olla puhdas.
Vaihe 7. Poista PHP-muokkaus käytöstä hallintapaneelista
Sisäänrakennettu teema- ja lisäosaeditori, wp-admin/theme-editor.php ja wp-admin/plugin-editor.php, on suora väylä mielivaltaiseen koodin suorittamiseen. Jos hyökkääjä saa pääsyn hallintapaneeliin, editori mahdollistaa PHP-kuoren lisäämisen functions.php-tiedostoon ja palvelimen hallinnan kaappaamisen. Oikea kehittäjä ei tarvitse tätä editoria, vaan muokkaukset tehdään FTP/SFTP:n tai julkaisuputken kautta.
Polku: WP Security → Filesystem Security → PHP File Editing. Ota käyttöön Disable PHP File Editing. Tallenna. Tämän jälkeen "Theme Editor" ja "Plugin Editor" -kohdat katoavat "Appearance"- ja "Plugins"-valikoista. Jos sinun täytyy tehdä muokkauksia, tee ne vain palveluntarjoajan tiedostonhallinnan tai SSH:n kautta.
Vaihe 8. Estä pääsy WordPressin palvelutiedostoihin
readme.html, license.txt, wp-config-sample.php ja debug.log paljastavat CMS-version, asennusrakenteen ja sisäiset polut. debug.log on erityisen vaarallinen: WP_DEBUG-tilassa se kirjoittaa absoluuttiset palvelinpolut ja virheiden pinojäljitykset lisäosien nimineen.
Polku: WP Security → Filesystem Security → WP Info Files. Valitse kaikki neljä kohtaa: readme.html, license.txt, wp-config-sample.php, debug.log. Tallenna. Nyt kun osoitteeseen yoursite.com/readme.html menee suoraan, palvelin palauttaa 403 Forbidden -virheen. Nämä ovat .htaccess-sääntöjä, ne toimivat Apache/Nginx-tasolla ennen PHP:n käynnistymistä.
Vaihe 9. Palomuurin perustoiminnot
AIOS-palomuurissa on kolme suojaustasoa. .htaccess-säännöt estävät pyynnöt ennen niiden välittämistä PHP:lle (nopein kerros). PHP-säännöt suodattavat XSS-vektorit, poistavat XML-RPC:n ja RSS-syötteet käytöstä. Kolmas kerros katkaisee väärennetyt Google-botit user-agent-tiedon perusteella.
Polku: WP Security → Firewall → Basic Firewall. Ota käyttöön:
- Enable Basic Firewall Protection, yleinen aktivointi;
- Block Fake Googlebots, väärennetyllä Googlebot
user-agent-tiedolla varustetut botit suodatetaan; - Disable RSS and Atom Feeds, jos sivusto ei käytä RSS:ää, poista käytöstä (sisällön kaapimisen estämiseksi);
- Disable Directory Listing, estä Apachea näyttämästä kansion sisältöä ilman
index.php-tiedostoa.
Poista tässä myös XML-RPC käytöstä, jos et käytä WordPressin mobiilisovellusta, Jetpackia tai trackbackeja. Useimmille blogisivustoille vuonna 2026 XML-RPC:tä ei tarvita.
Vaihe 10. Palomuurin lisäsäännöt
Laajennetut .htaccess-säännöt sulkevat useita muita hyökkäysvektoreita: suoran selainpääsyn tiedostoihin wp-config.php ja .htaccess, ladattavan tiedoston kokorajoituksen ja palvelimen version paljastamisen.
Polku: WP Security → Firewall → Additional Firewall. Ota käyttöön:
- Deny Access to wp-config.php, avainkonfiguraatio ei ole saatavilla HTTP:n kautta;
- Deny Access to.htaccess, palvelimen sääntötiedosto on suojattu lukemiselta;
- Disable Server Signature, Apache lopettaa version raportoinnin
Server-otsakkeissa; - Limit File Upload Size, aseta 10 Mt (riittää kuville, ei riitä shellin sisältävän arkiston lataamiseen).
Säännöt kirjoitetaan suoraan .htaccess-tiedostoon. Tallenna ja avaa sivusto incognito-ikkunassa varmistaaksesi, että kaikki toimii.
Vaihe 11. 6G-palomuurin mustalista
6G Firewall Perishable Pressilta on tiukka joukko .htaccess-sääntöjä, jotka estävät haitalliset kaavat URL-osoitteissa ja kyselymerkkijonoissa: SQL-injektiot, tiedostojen sisällytysyritykset (../../wp-config.php), XSS-vektorit ja haavoittuvuusskannerien tunnisteet. Säännöt ovat staattisia, eivät vaadi päivityksiä, hyökkäysmallit eivät ole muuttuneet vuosiin.
Polku: WP Security → Firewall → 6G Blacklist. Ota käyttöön Enable 6G Firewall Protection ja tallenna. Jos aktivoinnin jälkeen jokin laillinen lisäosa lakkaa toimimasta (harvinaista, mutta tapahtuu lisäosille, joissa on epästandardeja URL-kaavoja), lisää se sallittujen listalle: Firewall → Whitelist.
Vaihe 12. Estä kuvien hotlinkkaus
Hotlinkkaus tarkoittaa, että toinen sivusto upottaa kuvasi suoran URL-osoitteen kautta (<img src="https://yoursite.com/uploads/photo.jpg">). Palvelimesi tarjoilee kuvan tunnollisesti kuluttaen liikennettä ja suoritinresursseja, kun kävijä näkee sisällön jonkun toisen sivustolla. Sivustoille, joilla on alkuperäisiä kuvakaappauksia ja valokuvia, tämä on huomattava ongelma.
Polku: WP Security → Firewall → Prevent Hotlinks. Ota käyttöön Prevent Hotlinking. Lisää poikkeusverkkotunnukset (google.com, facebook.com, twitter.com), jotta sosiaalisen median ja hakukoneiden esikatselut toimivat edelleen. AIOS kirjoittaa .htaccess-tiedostoon säännöt, jotka kieltävät suorat kuvapyynnöt, joiden Referer-otsake on toisesta verkkotunnuksesta.
Vaihe 13. 404-virheiden tunnistus
Massiiviset 404-virheet ovat merkki haavoittuvuusskannauksesta. Botti kokeilee polkuja /wp-admin/, /admin/, /backup.zip, /phpmyadmin/ ja satoja muita tyypillisiä polkuja kartoittaen hyökkäyspintaa. AIOS seuraa tällaisia pyyntöjä, linkittää ne IP-osoitteisiin ja estää lähteen.
Polku: WP Security → Scanner → 404 Detection. Ota käyttöön Enable 404 Detection. Raja-arvot: 20 virhettä 15 minuutissa → väliaikainen esto 30 minuutiksi; 50 virhettä 15 minuutissa → pysyvä esto. Logged 404 Events -välilehti näyttää reaaliaikaisen listan epäilyttävistä pyynnöistä, mikä on hyödyllistä sen ymmärtämiseksi, mitä sivustoltasi tarkalleen skannataan.
Vaihe 14. Vaihda kirjautumissivun osoite
/wp-admin ja /wp-login.php ovat vakiosisäänkäyntejä, jotka jokainen botti tuntee. Ilman tätä vaihetta väsytyshyökkäyssuojaus (vaihe 2) toimii, mutta hyökkäyksiä tulee silti tuhansittain, botit kolkuttelevat tunnettua ovea. Kirjautumissivun uudelleennimeäminen poistaa itse maalin.
Polku: WP Security → Brute Force → Rename Login Page. Syötä mukautettu polkutunnus: vähintään 4 merkkiä, ei admin, login tai wp-*. Hyvä vaihtoehto: manage- ja 6 satunnaista kirjainta, esimerkiksi manage-xk7qpd. Tallenna ja tarkista välittömästi uusi URL-osoite ja lisää se kirjanmerkkeihin. Tavallinen wp-login.php poistetaan käytöstä; jos unohdat polkutunnuksen, joudut palauttamaan sen FTP:n kautta (poistamalla tai nimeämällä lisäosan uudelleen).
Vaihe 15. Hunajapurkkuansa boteille
Hunajapurkku on piilotettu kenttä kirjautumislomakkeessa. Ihminen ei näe sitä (CSS-sääntö display:none tai sijoittelu näytön ulkopuolelle), mutta botti löytää sen HTML-merkintää jäsentämällä ja täyttää sen. AIOS havaitsee täytetyn piilokentän ja estää yrityksen ei-inhimillisenä. Ei captchaa, käyttäjä ei edes tiedä tarkistuksesta.
Polku: WP Security → Brute Force → Honeypot. Ota käyttöön Enable Honeypot Protection. Kenttä lisätään wp-login.php-lomakkeeseen automaattisesti ja toimii hiljaa taustalla. Team Updraftin mukaan hunajapurkku suodattaa pois valtaosan automatisoiduista boteista, ne eivät tarvitse juuri sinun hallintapaneeliasi, ne vain etsivät vakiolomakkeen ja täyttävät kaikki kentät järjestyksessä.
Vaihe 16. Estä sivuston upottaminen kehyksiin
Clickjacking on hyökkäys, jossa sivustosi latautuu läpinäkyvässä <iframe>-kehyksessä hyökkääjän sivuston päällä. Käyttäjä luulee klikkaavansa käyttöliittymää, mutta onkin vuorovaikutuksessa toisen sivuston lomakkeen kanssa. X-Frame-Options: SAMEORIGIN-otsake estää upottamisen.
Polku: WP Security → Firewall → Prevent Framing. Ota käyttöön Prevent Your Site From Being Displayed in a Frame. AIOS lisää X-Frame-Options: SAMEORIGIN HTTP-otsakkeen kaikkiin palvelimen vastauksiin. Tarkista: curl -I https://yoursite.com, otsakkeen pitäisi näkyä vastauksessa. Sivustoille, joissa on kirjautumislomake, ostoskori tai hallintapaneeli, tämä vaihe on kriittinen.
Vie valmis konfiguraatio muille sivustoille
Jos hallinnoit useita sivustoja, tuonti ja vienti säästävät tunteja. AIOS tallentaa koko konfiguraation tekstitiedostoon, joka ladataan toiselle sivustolle yhdellä napsautuksella.
Polku: WP Security → Settings → Import/Export. Klikkaa Export Settings, saat .txt-tiedoston, jossa on kaikki käytössä olevat asetukset ja niiden arvot. Tiedostoa voi muokata ennen tuontia toiselle sivustolle: korvaa email tietoturvailmoituksia varten ja kirjautumissivun polkutunnus kohdesivuston ajankohtaisilla tiedoilla.
Tuonti: WP Security → Settings → Import/Export → Import Settings → valitse tiedosto. Kaikki 16 vaihetta otetaan käyttöön automaattisesti parissa sekunnissa, eikä jokaista näyttöä tarvitse käydä uudelleen läpi.
⁉️🤔 Yleisiä kysymyksiä
Tarvitaanko AIOS, jos hosting lupaa "täyden suojan"?
Hosting suojaa palvelinta: käyttöjärjestelmätaso, verkkopalomuurit, DDoS-suodatus. AIOS suojaa WordPress-sovellusta: hallintapaneelin brute-force-hyökkäykset, liitännäisinjektiot, vanhentuneiden teemojen haavoittuvuudet. Palvelimen palomuuri ei näe, että botti murtaa salasanoja osoitteeseen
wp-login.php, se näkee sallittuja POST-pyyntöjä. Kerrokset eivät ole päällekkäisiä, tarvitset molemmat. Sivusto "suojatulla" hostingilla ilman tietoturvaliitännäistä on yhä haavoittuva CMS-tasolla.
Aiheuttaako AIOS ristiriitoja Cloudflaren tai toisen WAF:n kanssa?
Ei, ne toimivat eri tasoilla. Cloudflare on kerros 7 (HTTP-välityspalvelin), suodattaa liikenteen ennen kuin se saavuttaa palvelimen. AIOS on sovellustaso (PHP,
.htaccess), sen jälkeen kun pyyntö saapuu WordPressiin. Ainoa vivahde: kun käytät Cloudflarea, ota AIOS:ssa käyttöön Ota IP-tunnistus käyttöön, jotta liitännäinen näkee kävijän oikean IP-osoitteenX-Forwarded-For-otsakkeesta, ei välityspalvelimen IP:tä.
Voinko poistaa AIOS:n asennuksen jälkeen, säännöt jäävät kuitenkin.htaccessiin?
Et.
.htaccess-säännöt pysyvät fyysisesti tiedostossa, mutta ilman valvontaa ja päivityksiä ne vanhenevat. Pahempaa: honeypot, kirjautumissivun uudelleennimeäminen, PHP-editorin esto ja kaksivaiheinen tunnistautuminen toimivat vain, kun liitännäinen on aktiivinen, tämä on PHP-logiikkaa, ei staattisia sääntöjä. Poista liitännäinen, avaat vakio-osoitteenwp-login.phpja poistat käytöstä kaiken kirjautumissuojauksen.
Hajoanko sivusto, jos otan kaikki 16 vaihetta käyttöön kerralla?
Valtaosalla sivustoista ei. Mutta tuotantosuositus: ota käyttöön kolmen tai neljän vaiheen lohkoissa ja tarkista sivuston toiminta jokaisen lohkon jälkeen. Ole erityisen varovainen 6G-palomuurin (vaihe 11) ja tietokantataulun etuliitteen vaihdon (vaihe 4, varmuuskopio on pakollinen) kanssa. Liitännäisen vuosien aikana miljoonalla asennuksella ei ole raportoitu kriittisiä ristiriitoja suosittujen teemojen ja liitännäisten kanssa.
Mitä AIOS:n premium-versio tarjoaa ilmaiseen verrattuna?
Kolme keskeistä lisäystä: kaksivaiheinen tunnistautuminen joustavilla käytännöillä (pakollinen TFA ylläpitäjille N päivän jälkeen, uudelleenpyyntötiheyden määrittäminen), haittaohjelmaskanneri Google-mustalistahälytyksillä ja maakohtainen esto (geo-IP-pääsykielto). Ilmainen versio riittää blogin tai yrityssivuston suojaamiseen. Verkkokaupan, jossa on luottamuksellisia asiakastietoja, kannattaa hankkia Premium.
Mitä teen, jos unohdan mukautetun kirjautumissivun URL-osoitteen?
Yhdistä palvelimelle FTP/SFTP-yhteydellä, siirry kansioon
/wp-content/plugins/all-in-one-wp-security-and-firewall/ja nimeä liitännäiskansio väliaikaisesti uudelleen. Tämä poistaa AIOS:n käytöstä ja palauttaa vakio-osoitteenwp-login.php. Kirjaudu hallintapaneeliin, nimeä kansio takaisin, aktivoi liitännäinen ja aseta uusi polkutunnus. Jotta et unohtaisi, tallenna URL-osoite salasanahallintaasi heti, kun luot sen.
Kannattaako AIOS määrittää vuonna 2026 vai onko parempia vaihtoehtoja?
Vuosien jälkeen AIOS on yhä tasapainoisin ilmainen WordPress tietoturvaliitännäinen: miljoona asennusta, aktiivinen kehitys, säännölliset päivitykset uusille ydinosan versioille. Vaihtoehdot kuten Wordfence tai Solid Security ovat myös vahvoja, mutta raskaampia.
Yllä olevat 16 vaihetta vievät 15-20 minuuttia. Lopputulos: piilotettu kirjautumissivu, kolme palomuurikerrosta, näkymätön honeypot ja valmis konfiguraatio kloonattavaksi seuraavalle sivustolle.
Vähimmäiskokoonpano, jota ilman suojausta ei voi pitää koottuna:
- Perusta: vaiheet 1, 2, 9, 14, versioiden peittäminen, brute-force-suojaus, peruspalomuuri ja piilotettu kirjautumissivu;
- Palvelintaso: vaiheet 7, 8, 10, 11, PHP-editorin esto, palvelutiedostojen esto, lisäsäännöt ja 6G;
- Syväsuojaus: vaiheet 4, 6, 12, 15, tietokantataulun etuliite, käyttöoikeudet, hotlink-esto, honeypot;
- Ulkokehä: vaiheet 3, 5, 13, 16, rekisteröitymisen moderointi, varmuuskopiot, 404-tunnistus, clickjacking-suojaus.
Määritä yksi sivusto, vie konfiguraatio ja tuo se muille minuutissa. Kerran neljännesvuodessa tarkista AIOS → Kojelauta: tietoturvalaskuri näyttää, jos jokin asetus on "pudonnut pois" ydinosan päivityksen jälkeen.
Ammattimainen kirjoittajien ja toimittajien tiimi, joka on erikoistunut laadukkaan sisällön luomiseen.