Công cụ xuất bản mới của bạn yêu cầu mật khẩu WordPress. Có vẻ như đó là một bước nhỏ. Tuy nhiên, tài khoản bạn chọn có thể cung cấp cho công cụ đó nhiều quyền lực hơn mức cần thiết.
WordPress mật khẩu ứng dụng giúp bạn kết nối các ứng dụng mà không cần chia sẻ thông tin đăng nhập chính của mình. Phần khó khăn là quyết định ứng dụng hoạt động như ai, bí mật của nó tồn tại ở đâu và làm thế nào để ngăn chặn nó sau này. Hướng dẫn này đi qua những lựa chọn đó.
Mật khẩu ứng dụng là gì?
Đó là một bí mật riêng biệt được gắn với một người dùng WordPress. Một ứng dụng sử dụng nó để chứng minh danh tính của mình khi gọi API của trang web. Bạn có thể thu hồi bí mật đó một cách độc lập. Đó không phải là mật khẩu để đăng nhập thông qua màn hình đăng nhập bảng điều khiển thông thường. Xem tổng quan chính thức WordPress cho hành vi cốt lõi.
Hãy coi nó như một chìa khóa cho một kết nối. Tên của khóa sẽ cho bạn biết nó dùng để làm gì. Sức mạnh của nó vẫn đến từ tài khoản người dùng đằng sau nó. Việc đặt tên khóa là “chỉ đọc” không có nghĩa là khóa đó chỉ được đọc.
Chọn tài khoản trước khi bạn tạo khóa
Liệt kê công việc đầu tiên. Công cụ này có đọc các bài đăng công khai, lưu bản nháp, tải phương tiện lên hoặc chỉnh sửa các trang trực tiếp không? Nội dung công khai có thể không cần đăng nhập. Công cụ lưu bản nháp không cần cài đặt plugin.
Tạo một tài khoản chuyên dụng khi điều đó giúp tách biệt nhiệm vụ. Cấp cho nó tập hợp quyền nhỏ nhất cho phép công việc thành công. Nếu các vai trò tiêu chuẩn quá rộng, hãy yêu cầu nhà phát triển thiết kế và kiểm tra một vai trò tùy chỉnh.
Ví dụ, một công cụ viết bản nháp có thể cần tạo bài đăng. Nó có thể không cần xuất bản chúng. Kiểm tra cả hai trường hợp: việc lưu bản nháp sẽ hoạt động, trong khi hành động bị cấm sẽ thất bại.
Của chúng tôi Hướng dẫn bảo mật API REST giải thích việc kiểm tra quyền truy cập đằng sau những yêu cầu này. Một bí mật hợp lệ sẽ không bao giờ thay thế việc kiểm tra xem người dùng có thể làm gì.
Tạo một bí mật cho mỗi ứng dụng
Trong hồ sơ của người dùng có liên quan, hãy tìm Mật khẩu Ứng dụng. Sử dụng một tên rõ ràng, chẳng hạn như “Đồng bộ hóa biên tập — sản xuất.” Tạo mật khẩu và lưu trữ nó ngay lập tức. WordPress chỉ hiển thị bí mật dạng văn bản thuần túy khi nó được tạo.
Cung cấp thông tin xác thực riêng biệt cho giai đoạn dàn dựng và sản xuất. Cung cấp cho mỗi nhà cung cấp khóa riêng của họ. Điều này làm cho việc thay đổi sau này trở nên dễ dàng hơn rất nhiều: bạn có thể dừng một kết nối mà không làm hỏng phần còn lại.
Thêm chủ sở hữu ứng dụng và ngày đánh giá vào hồ sơ nhóm của bạn. Không đưa bí mật vào hồ sơ đó trừ khi đó là một kho bí mật được phê duyệt. Hồ sơ hướng dẫn quản lý bí mật bao gồm cách lưu trữ các giá trị này.
Đưa những ý tưởng vào thực tế.
Từ một cải tiến cụ thể đến một website hoàn chỉnh, chúng tôi giúp bạn xác định phạm vi và triển khai.
Trao đổi về website của tôiGiải pháp Bảo mật WordPress Nâng caoChia sẻ mục tiêu của bạn. Chúng tôi thường phản hồi trong vòng 4 giờ kèm theo các câu hỏi và bước tiếp theo thiết thực.
Giữ bí mật trên máy chủ
Sử dụng HTTPS để kết nối. Đặt mật khẩu vào cài đặt máy chủ được bảo vệ của ứng dụng hoặc kho lưu trữ bí mật. Không bao giờ đặt nó ở nơi công cộng JavaScript, trang web, ảnh chụp màn hình hoặc phiếu hỗ trợ được chia sẻ.
Một sai lầm phổ biến là đặt bí mật vào ứng dụng trình duyệt vì bài kiểm tra đầu tiên thành công. Bất kỳ ai có thể kiểm tra yêu cầu đều có thể sao chép nó. Hãy thêm một lớp máy chủ đáng tin cậy để giữ thông tin xác thực và chỉ hiển thị các hành động mà trình duyệt cần.
Nếu bạn sử dụng công cụ quy trình làm việc, hãy hạn chế những ai có thể xem hoặc thay đổi thông tin xác thực của công cụ đó. Hồ sơ n8n dịch vụ tự động hóa bao gồm phần này của thiết kế tích hợp.
Kiểm tra toàn bộ kết nối
Bắt đầu với một yêu cầu đọc vô hại. Tiếp theo, hãy thử tác vụ chính xác mà ứng dụng cần trên trang web thử nghiệm. Kiểm tra xem điều gì sẽ xảy ra khi mật khẩu sai, bị thiếu hoặc bị thu hồi.
Một yêu cầu thất bại không phải lúc nào cũng có nghĩa là bí mật bị sai. Một proxy có thể tước bỏ tiêu đề xác thực. Một quy tắc bảo mật có thể chặn tuyến đường. Tài khoản có thể thiếu một quyền bắt buộc. Kiểm tra các lớp đó trước khi cấp thêm quyền truy cập.
Sử dụng của chúng tôi dàn dựng danh sách kiểm tra bảo mật để loại bỏ dữ liệu khách hàng thực sự ra khỏi cuộc thử nghiệm. Ghi lại kết quả mong đợi cho từng hành động được phép và bị chặn.
Biến việc thu hồi thành một phần của việc chuyển giao
Đối với việc luân chuyển theo kế hoạch, hãy thêm bí mật mới, cập nhật ứng dụng và kiểm tra nó. Sau đó thu hồi mật khẩu cũ và xác nhận rằng nó thất bại. Nếu một bí mật bị rò rỉ, hãy thu hồi nó ngay lập tức và điều tra sự phơi nhiễm.
Hãy làm điều này khi một nhà cung cấp rời đi, một quy trình làm việc bị loại bỏ hoặc một thiết bị bị mất. Xem xét các khóa không sử dụng như một phần của việc chăm sóc trang web thông thường. Thay đổi đăng nhập bảng điều khiển không phải là sự thay thế cho việc kiểm tra thông tin xác thực của ứng dụng.
Của chúng tôi các gói bảo trì WordPress có thể bao gồm đánh giá đó. Mục tiêu rất đơn giản: mọi khóa hoạt động phải có chủ sở hữu đã biết và mục đích hiện tại.
Các câu hỏi thường gặp
Mật khẩu ứng dụng có thể đăng nhập vào wp-admin không?
Không. Nó dành cho các yêu cầu API được hỗ trợ, không phải biểu mẫu đăng nhập trình duyệt thông thường.
Mỗi mật khẩu ứng dụng có bị giới hạn ở một tuyến API không?
Không phải theo tên của nó hoặc theo mặc định. Quyền truy cập tùy thuộc vào tài khoản người dùng và việc kiểm tra quyền của điểm cuối. Sử dụng vai trò hẹp hoặc điều khiển bổ sung khi cần thiết.
Tôi có nên cung cấp cho mọi ứng dụng cùng một mật khẩu không?
Không. Thông tin xác thực riêng biệt cho phép bạn thu hồi một ứng dụng mà không vi phạm các ứng dụng khác. Sử dụng các bí mật khác nhau cho các trang web thử nghiệm và trực tiếp.
Xác thực hai yếu tố trên bảng điều khiển có bảo vệ mật khẩu ứng dụng không?
Đừng cho rằng nó có. Mật khẩu ứng dụng là một đường dẫn truy cập riêng biệt. Bảo vệ, đánh giá và thu hồi chúng một cách riêng biệt, và kiểm tra cách plugin bảo mật của bạn xử lý chúng.
