Generator Kluczy Bezpieczeństwa WordPress

Generator kluczy bezpieczeństwa WordPress tworzy kryptograficznie bezpieczne klucze i sole dla Twojego pliku wp-config.php. Te 8 unikalnych ciągów znaków chroni sesje użytkowników, zapobiega fałszowaniu ciasteczek i broni przed atakami CSRF. Wygenerowany przy użyciu CSPRNG (bezpiecznego kryptograficznie generatora liczb pseudolosowych), każdy klucz nigdy nie jest przechowywany ani logowany.

Czym są klucze bezpieczeństwa i sole WordPress?

WordPress używa 8 kryptograficznych stałych w pliku wp-config.php w celu zabezpieczenia uwierzytelniania. Cztery to klucze (główne sekrety szyfrujące) i cztery to sole (dodatkowa losowość wzmacniająca skrót):

Jak klucze i sole współpracują ze sobą

Gdy użytkownik loguje się do WordPressa, system tworzy ciasteczko uwierzytelniające. Ciasteczko to jest szyfrowane za pomocą kombinacji klucza bezpieczeństwa i odpowiadającej mu soli. Klucz stanowi główny sekret szyfrujący, podczas gdy sól dodaje nieprzewidywalne dane do algorytmu mieszającego (HMAC), sprawiając, że odtworzenie wartości ciasteczka przez atakującego jest wykładniczo trudniejsze, nawet jeśli je przechwyci.

Bez odpowiednich kluczy i soli WordPress używa domyślnych wartości rezerwowych, które są słabsze i identyczne we wszystkich instalacjach, co naraża Twoją stronę na ataki oparte na ciasteczkach.

Jak zainstalować klucze bezpieczeństwa

1. Wygeneruj klucze za pomocą tego narzędzia z preferowanymi ustawieniami.
2. Skopiuj wszystkie klucze używając przycisku „Kopiuj wszystkie klucze”.
3. Otwórz wp-config.php przez FTP/SFTP. Plik ten znajduje się w głównym katalogu Twojego WordPressa.
4. Znajdź sekcję kluczy — szukaj komentarza /* Authentication Unique Keys and Salts */.
5. Zastąp wszystkie 8 linii define() nowo wygenerowanymi kluczami, a następnie zapisz i prześlij plik.

Uwaga: Zmiana kluczy bezpieczeństwa spowoduje wylogowanie wszystkich obecnie zalogowanych użytkowników. Będą oni musieli ponownie zalogować się za pomocą swojego hasła. Jest to oczekiwane zachowanie i jest bardzo przydatne ze względów bezpieczeństwa.

Kiedy należy zmieniać klucze bezpieczeństwa?

Długość klucza i entropia

Entropia mierzy losowość (nieprzewidywalność) Twoich kluczy w bitach. Wyższa entropia oznacza więcej możliwych kombinacji, które atakujący musiałby sprawdzić. Dla kontekstu:

• 128 bitów — Minimum zalecane dla większości zastosowań kryptograficznych
• 256 bitów — Uważane za nie do złamania przy obecnej technologii (poziom AES-256)
• 400+ bitów — Domyślny 64-znakowy klucz WordPress z pełnym zestawem znaków zapewnia około 406 bitów entropii

Nawet standardowy 64-znakowy klucz z pełnym zestawem znaków znacznie przewyższa to, co jakikolwiek atak brute-force mógłby złamać.

Najlepsze praktyki bezpieczeństwa

• Nigdy nie udostępniaj swoich kluczy — traktuj je jak hasła
• Używaj unikalnych kluczy dla każdej instalacji WordPress
• Nie używaj ponownie tych samych kluczy na wielu stronach
• Dbaj o bezpieczeństwo wp-config.php — zapewnij odpowiednie uprawnienia do pliku (zazwyczaj 440 lub 400)
• Same klucze to za mało — używaj również silnych haseł, aktualizuj WordPressa i korzystaj z wtyczki bezpieczeństwa

Często zadawane pytania

Czym są klucze bezpieczeństwa i sole WordPress?

Klucze bezpieczeństwa i sole WordPress to kryptograficzne ciągi znaków przechowywane w wp-config.php, które szyfrują dane w ciasteczkach użytkowników. Istnieją 4 klucze (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) i 4 odpowiadające im sole. Razem sprawiają one, że sfałszowanie ciasteczek uwierzytelniających przez atakujących jest praktycznie niemożliwe.

Jak dodać klucze bezpieczeństwa do wp-config.php?

Otwórz plik wp-config.php (w głównym katalogu WordPressa), znajdź sekcję o nazwie „Authentication Unique Keys and Salts” i zastąp istniejące linie define() nowo wygenerowanymi kluczami. Zapisz plik i prześlij go ponownie przez FTP/SFTP. Wszyscy użytkownicy będą musieli zalogować się ponownie.

Kiedy powinienem zmienić klucze bezpieczeństwa WordPress?

Zmień klucze bezpieczeństwa natychmiast, jeśli podejrzewasz, że Twoja strona została zhakowana, jeśli znajdziesz nieznane konta administratora lub po usunięciu złośliwego oprogramowania. W normalnych okolicznościach nie ma potrzeby regularnej zmiany kluczy. Zmiana kluczy wymusi ponowne uwierzytelnienie wszystkich zalogowanych użytkowników.

Czy ten generator jest bezpieczny? Czy klucze są gdzieś przechowywane?

Tak, ten generator używa bezpiecznego kryptograficznie modułu secrets języka Python (CSPRNG). Klucze są generowane po stronie serwera przy każdym żądaniu i nigdy nie są przechowywane, logowane ani buforowane. Odpowiedź zawiera nagłówek no-cache, aby zapobiec buforowaniu przez przeglądarkę.

Jaka jest różnica między kluczami a solami WordPress?

Klucze WordPress szyfrują dane ciasteczek, podczas gdy sole dodają dodatkową losowość do procesu szyfrowania. Klucze działają jako główny sekret szyfrujący, a sole sprawiają, że ataki typu brute-force są wykładniczo trudniejsze poprzez wprowadzenie dodatkowych nieprzewidywalnych danych do funkcji skrótu. Oba elementy są niezbędne dla silnego bezpieczeństwa WordPressa.

Co się stanie, jeśli zmienię klucze bezpieczeństwa WordPress?

Zmiana kluczy bezpieczeństwa WordPress spowoduje unieważnienie wszystkich istniejących ciasteczek uwierzytelniających. Oznacza to, że każdy zalogowany użytkownik (w tym Ty) zostanie wylogowany i będzie musiał ponownie zalogować się przy użyciu swojej nazwy użytkownika i hasła. Jest to funkcja bezpieczeństwa przydatna po naruszeniu ochrony.

Dodatkowe zasoby

• Zasoby dla deweloperów WordPress - Klucze bezpieczeństwa
• Kryptograficznie bezpieczny PRNG - Wikipedia