Генератор ключей безопасности WordPress

Генератор ключей безопасности WordPress создает криптографически стойкие ключи безопасности и соли для вашего файла wp-config.php. Эти 8 уникальных строк защищают пользовательские сессии, предотвращают подделку куки-файлов и защищают от CSRF-атак. Сгенерированные с использованием CSPRNG (криптографически стойкого генератора псевдослучайных чисел), ключи никогда не сохраняются и не логируются.

Что такое ключи безопасности и соли WordPress?

WordPress использует 8 криптографических констант в вашем файле wp-config.php для обеспечения безопасности аутентификации. Четыре из них — это ключи (основные секреты шифрования), а другие четыре — это соли (дополнительная случайность, усиливающая хеш):

Как ключи и соли работают вместе

Когда пользователь входит в WordPress, система создает куки-файл аутентификации. Этот файл шифруется с использованием комбинации ключа безопасности и соответствующей ему соли. Ключ предоставляет основной секрет шифрования, в то время как соль добавляет непредсказуемые данные в алгоритм хеширования (HMAC), что делает обратную разработку значения куки экспоненциально сложнее для злоумышленника, даже если он его перехватит.

Без надлежащих ключей и солей WordPress использует запасные значения, которые слабее и идентичны во всех установках, что делает ваш сайт уязвимым для атак на основе куки.

Как установить ключи безопасности

1. Сгенерируйте ключи с помощью этого инструмента, используя предпочтительные настройки.
2. Скопируйте все ключи, нажав кнопку «Копировать все ключи».
3. Откройте wp-config.php через FTP/SFTP. Этот файл находится в корневом каталоге вашего WordPress.
4. Найдите раздел ключей — ищите комментарий /* Authentication Unique Keys and Salts */.
5. Замените все 8 строк define() вашими новыми сгенерированными ключами, затем сохраните и загрузите файл.

Примечание: Изменение ключей безопасности приведет к выходу из системы всех текущих пользователей. Им потребуется войти снова со своим паролем. Это ожидаемое поведение и фактически полезно для целей безопасности.

Когда следует менять ключи безопасности?

Длина ключа и энтропия

Энтропия измеряет случайность (непредсказуемость) ваших ключей в битах. Чем выше энтропия, тем больше комбинаций придется перебрать злоумышленнику. Для контекста:

• 128 бит — минимум, рекомендуемый для большинства криптографических приложений
• 256 бит — считается невзламываемым при текущих технологиях (уровень AES-256)
• 400+ бит — стандартный 64-символьный ключ WordPress с полным набором символов обеспечивает примерно 406 бит энтропии

Даже стандартный 64-символьный ключ с полным набором символов намного превосходит возможности любой атаки методом перебора.

Лучшие практики безопасности

• Никогда не делитесь своими ключами — относитесь к ним как к паролям
• Используйте уникальные ключи для каждой установки WordPress
• Не используйте одни и те же ключи на нескольких сайтах
• Держите wp-config.php в безопасности — обеспечьте правильные права доступа к файлу (обычно 440 или 400)
• Одних ключей недостаточно — также используйте сложные пароли, вовремя обновляйте WordPress и используйте плагины безопасности

Часто задаваемые вопросы

Что такое ключи безопасности и соли WordPress?

Ключи безопасности и соли WordPress — это криптографические строки, хранящиеся в wp-config.php, которые шифруют данные в пользовательских куках. Существует 4 ключа (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) и 4 соответствующие соли. Вместе они делают практически невозможным подделку куки-файлов аутентификации.

Как добавить ключи безопасности в wp-config.php?

Откройте файл wp-config.php (в корневом каталоге WordPress), найдите раздел под названием «Authentication Unique Keys and Salts» и замените существующие строки define() новыми сгенерированными ключами. Сохраните файл и загрузите его обратно через FTP/SFTP. Всем пользователям потребуется войти в систему заново.

Когда следует менять ключи безопасности WordPress?

Меняйте ключи безопасности немедленно, если вы подозреваете взлом сайта, обнаружили неизвестных администраторов или после очистки от вирусов. В обычных условиях регулярная ротация не требуется. Смена ключей принудительно разлогинит всех пользователей.

Безопасен ли этот генератор? Сохраняются ли ключи?

Да, этот генератор использует криптографически стойкий модуль secrets (CSPRNG) Python. Ключи генерируются на сервере для каждого запроса и никогда не сохраняются. Ответ содержит заголовок no-cache для защиты от кэширования в браузере.

В чем разница между ключами и солями?

Ключи шифруют данные куки, а соли добавляют случайности. Ключи — основной секрет, а соли делают брутфорс-атаки намного сложнее. Оба компонента критически важны для защиты WordPress.

Что будет, если я изменю ключи безопасности?

Все текущие куки-файлы аутентификации станут недействительными. Все пользователи (включая вас) будут разлогинены, и им придется вводить логин и пароль заново. Это мера безопасности, особенно полезная после инцидентов.

Дополнительные ресурсы

• Ресурсы для разработчиков WordPress - Ключи безопасности
• Криптографически стойкий ГПСЧ - Википедия