Ongewenste bezoekers mijden op je Wordpress + security

[stijn26]

Hallo,


Ik heb zojuist een Wordpress live gebracht voor een klant. Allereerste keer dus het kan zijn dat ik nog dingen over het hoofd zie, zoals:

- Ik krijg veel bezoekers uit Samara, Rusland, waarschijnlijk zijn dit bots aangezien het een schoenenwinkel betreft (zonder webshop). Hoe kan ik deze toegang tot de website ontzeggen?

Ik heb enkele vage plugins gevonden, eentje geprobeerd en die werkt niet. Het lijkt me raar dat er geen manier is om deze bots te blokken? Als ik hierop Google dan kan ik bots blokken a.d.h.v. htaccess file, hier heb ik nu eentje geblokt maar wat zou in dit bestand nog moeten staan om volledig te zijn qua bots.

- SEO, ik heb in de webmaster tools van Google de URL geïndexeerd + de www variant. Moet ik echter elke pagina van de website indexeren om tot het beste resultaat te komen?

Ik gebruik de plugin van Yoast, deze doet wat het moet doen maar had dus nog de vraag of ik elke pagina moet indexeren.

- Security van Wordpress, heb al de juiste permissies ingesteld + elke gebruiker (2) heeft een moeilijk wachtwoord. Kan ik dit nog verbeteren? Er zijn zoveel tutorials dat ik niet weet welke ik moet volgen, wat is jullie ervaring?

Ik kan makkelijk elke tutorial volgen, maar dit zal dan weer wel voor problemen zorgen tussen onderlinge instellingen of dergelijke.


- Security van VPS server (digitalocean), ook hier weer de eerste keer dat ik er gebruik van maak, ik log in middels SSH dus dat zit al goed, wat zijn echter nog extra dingen om mijn server te beveiligen?
Dit vroeg ik me af omdat ik namelijk dikwijls hoor dat VPS servers onveilig zijn? Als je ze zelf niet beveiligt namelijk.


Alvast bedankt,

Stijn

[ Voor 26% gewijzigd door stijn26 op 25-02-2015 20:15 ]

[eXtreaL]

Op het gebied van SEO: nee, je hoeft niet elke URL apart in te vullen in Webmastertools. Wat ik kan aanraden is het gebruik maken van de Wordpress SEO plugin van Yoast. Hiermee kun je automatisch een sitemap.xml bestand laten genereren wat Google helpt bij het indexeren van je pagina's. Verder pingt deze plugin ook automatisch Google wanneer je een nieuwe post/pagina toevoegt, zodat deze sitemap sneller wordt geïndexeerd.

De security van de website zou ik voornamelijk door Wordpress laten afhandelen. Het is hierbij wel van belang dat het thema dat je gebruikt veilig is. Belangrijkste hierbij is zoals je al aangeeft de correcte permissies, en dan voornamelijk van de kwetsbare bestanden zoals de wp-config.php.

Oeff, een VPS van DigitalOcean als productieserver zou ik niet aanraden. Ik heb bij DO een testomgeving draaien en heb opgemerkt dat de servers daar niet altijd even stabiel zijn. Een aantal weken geleden heeft mijn droplet een halve dag downtime gehad, waar je ook niet heel vrolijk van wordt. Qua beveiliging is het slim om inloggen met username/password combinaties volledig uit te schakelen en alleen SSH keys te accepteren.

[ Voor 32% gewijzigd door eXtreaL op 23-02-2015 14:00 ]

[HamuNaptra]

bijkomend voor SSH, laat alleen bekende IP's hierop connecteren, maw configureer je firewall

[BtM909]

stijn26 schreef op maandag 23 februari 2015 @ 11:37:
Hallo,


Ik heb zojuist een Wordpress live gebracht voor een klant. Allereerste keer dus het kan zijn dat ik nog dingen over het hoofd zie, zoals:

Hi Stijn,

Je stelt 4 vragen, maar bij geen enkele vraag geef jij aan waar je zelf op hebt gezocht, wat je hebt gevonden, waarom hetgeen wat je hebt gevonden niet toereikend is en waar je denkt dat het aan ligt.

Ik wil je vragen om Webdesign, Markup & Clientside Scripting Beleid even goed door te lezen en je topicstart naar aanleiding van hierboven even bij te werken.

[stijn26]

Bedankt al voor de reacties,

Sitemap is inmiddels geupload. Ik krijg al redelijk goede rankings in Google. Nu heb ik voor elk merk schoen een pagina (voorbeeld ****.be/dames/berkemann).
Deze vertonen zich nog niet in google (mss na een tijdje wel door de sitemap) maar vroeg me af of het belangrijk is dat er dan opdie pagina's ook nog is tekst staat? Omdat er nu alleen afbeeldingen van schoenen opstaan (tekst is niet gewenst).

@Btm909: bedankt voor het advies, heb het aangepast.

[eXtreaL]

stijn26 schreef op woensdag 25 februari 2015 @ 20:17:
Bedankt al voor de reacties,

Sitemap is inmiddels geupload. Ik krijg al redelijk goede rankings in Google. Nu heb ik voor elk merk schoen een pagina (voorbeeld ****.be/dames/berkemann).
Deze vertonen zich nog niet in google (mss na een tijdje wel door de sitemap) maar vroeg me af of het belangrijk is dat er dan opdie pagina's ook nog is tekst staat? Omdat er nu alleen afbeeldingen van schoenen opstaan (tekst is niet gewenst).

@Btm909: bedankt voor het advies, heb het aangepast.

Als je wilt dat deze pagina's goed gevonden worden, dan ja. Google kijkt naar heel veel verschillende factoren tijdens het ranken van een pagina, maar de content is hierbij het belangrijkste. Zorg vooral voor een goede titel in de title tag (kun je ook met Yoast instellen), een goede h1 titel en content waarin de belangrijkste woorden zitten waarop je gevonden wilt worden. Er is niet een "gouden regel" waardoor je op de eerste plek in Google komt, en aangezien er zoveel factoren een rol spelen raad ik je aan om je hier zelf over in te gaan lezen. Zijn genoeg artikels over SEO te vinden .

[Dacuuu]

Als je doel is om schoenen te verkopen in Nederland, Benlux of net naar buiten kan je landen zoals Rustland ook verbannen van je website. Er zijn zat plug-ins die hele IP ranges uit door jou geselecteerde landen kan tegenhouden. Weet niet of je hiet wat aan hebt. Maargoed.

[stijn26]

Ik heb enkele plugins geprobeerd die dit zouden doen, maar geeneen leek te werken, kan je er mij aanraden?

[Verwijderd]

Pas op met een IP range verbannen bij een webshop. Ik merk dat klanten steeds vaker VPN diensten gebruiken waardoor het lijkt dat ze uit het buitenland komen, maar gewoon een Nederlandse consument zijn. Je gooit dan ook de poort dicht voor deze verkoopkansen.

Voor sommige payment providers werkt dit net zo. Ze laten de beschikbare betaalmogelijkheden zien aan de hand van het land waar de consument vandaan komt. Zo kan het gebeuren dat je als Nederlandse consument de iDeal optie niet aangeboden krijgt omdat je toevallig via een Duitse vpn server binnenkomt.

[ Voor 37% gewijzigd door Verwijderd op 27-02-2015 14:06 . Reden: aanvulling ]

[stijn26]

Is niet van toepassing hier hoor. Maar hoe verban ik die ip's van rusland?

[Blauw]

Wordfence heeft een optie om hele landen en IP ranges te blocken. Dat blijkt wel vrij effectief.

[P_Tingen]

Zelf gebruik ik de plugin "Limit Login Attempts" om herhaalde loginpogingen tegen te gaan. In theorie kan een botnet een paar duizend pc's gebruiken zodat blokkeren op ip-adressen niet meer werkt, maar in de praktijk gebeurt dat niet (althans, niet bij mijn site).



In mijn lijst met geblokkeerde loginpogingen zie ik dat in 99,9% van de gevallen geprobeerd wordt met userid "admin" in te loggen. De tip is dan ook om niet het account "admin" te gebruiken maar een andere naam daarvoor.

[zxcvb]

Ik heb redelijk veel ervaring met het ontwikkelen en beheren van WordPress websites.
Wat betreft security plugin kan ik iThemes security aanraden. Wat mij betreft veruit de beste en makkelijk in gebruik. Wat SEO betreft is zoals eXtreaL al zei de plugin van YOAST de beste. Voor het bijhouden van rankings kan ik serplab.co.uk aanraden. Is gratis, snel en eenvoudig in gebruik.

stijn26 schreef op maandag 23 februari 2015 @ 11:37:
- Security van VPS server (digitalocean), ook hier weer de eerste keer dat ik er gebruik van maak, ik log in middels SSH dus dat zit al goed, wat zijn echter nog extra dingen om mijn server te beveiligen?
Dit vroeg ik me af omdat ik namelijk dikwijls hoor dat VPS servers onveilig zijn? Als je ze zelf niet beveiligt namelijk.

Voor je eerste website is het gebruiken van een eigen VPS bij DigitalOcean niet echt de makkelijkste weg. Deze moet je in principe zelf onderhouden, ook wat security patches betreft. Ik raadt aan om de server via Cloudways bij DigitalOcean te hosten. Kost evenveel en het scheelt je een hoop kopzorgen over zowel security, maar zeker ook op gebied van caching. Is sowieso een aanrader voor wordpress hosting. Je krijgt veel meer waar voor je geld dan bij een shared hosting. Alleen DNS server moet je elders regelen.

[stijn26]

Die limit login attempts heb ik staan, om specifiek iemand uit een land te blokkeren gebruik ik iQ Block Country, getest en goedgekeurd!

Mijn SEO lijkt ook in orde te zijn, alhoewel hij volgens google nog niet mobile friendly was door een probleem met robots.txt, ondertussen aangepast.

Over die VPS, ik volg informatica dus had al wat ervaring met Linux, heb die VPS al een tijdje en ik moet zeggen, de flexibiliteit vind ik enorm leuk. Heel wat zitten prutsen eer ik alles in orde had, maar ben tevreden nu!

[suuk]

En nog even deze. Wie weet heb je er wat aan.

1. Ghost Referrals

The latest arrivals (darodar.com / econom.co / ilovevitaly.co / priceg.com / blackhatworth.com / hulfingtonpost.com) have been what I call “ghost referrals” because they actually NEVER VISITED YOUR SITE. Using some software magic, they post fake pageviews to Google’s tracking service using a random series of tracking IDs. When they pick a series that includes your tracking ID, Google records a referral visit from their source in your reports.

The latest variant of this attack is to fake google / organic search visits with keywords for your to investigate (like “google officially -recommends ilovevitaly.com search shell”).

Since they never actually visited your site, you can’t block their visits at the server using any website Javascript or .htaccess methods. You have no choice but to create a filter to exclude them (as described below). The biggest problem with these ghost referrals is that they change as quickly as they appear, so you could be continuously building filters for them.

http://www.analyticsedge....al-spam-google-analytics/