Security Keys i Salts w pliku wp-config.php to długie, losowe ciągi znaków, które WordPress wykorzystuje do podpisywania ciasteczek logowania, ochrony sesji i weryfikacji nonce. Nie są hasłami ani mechanizmem szyfrowania bazy danych. Ich zmiana unieważnia aktywne sesje, dlatego wszyscy zalogowani użytkownicy zostaną wylogowani.
Czym są wp config security keys?
Klucze bezpieczeństwa WordPressa znajdują się w pliku wp-config.php, zwykle w katalogu głównym instalacji, obok folderów wp-admin, wp-content i wp-includes. WordPress używa ich do tworzenia i sprawdzania podpisów związanych z ciasteczkami sesyjnymi. Dzięki temu skradzione lub zmodyfikowane dane cookie są trudniejsze do wykorzystania podczas przejmowania sesji.
W tym kontekście „salt”, czyli sól, oznacza dodatkową losową wartość używaną w procesach tworzenia skrótów i podpisów. Klucze oraz sole współpracują ze sobą, ale nie należy traktować ich jak haseł użytkowników. Nie szyfrują też treści wpisów, danych klientów ani całej bazy MySQL. Chronią przede wszystkim mechanizmy uwierzytelniania, ciasteczka i tokeny nonce.
Jakie są rodzaje kluczy bezpieczeństwa?
Standardowy zestaw w wp-config.php obejmuje cztery klucze oraz cztery odpowiadające im sole:
| Nazwa klucza | Funkcja |
|---|---|
AUTH_KEY i AUTH_SALT |
Uczestniczą w ochronie ciasteczek uwierzytelniających użytkownika. |
SECURE_AUTH_KEY i SECURE_AUTH_SALT |
Wspierają uwierzytelnianie w bezpiecznym obszarze, między innymi przy logowaniu przez HTTPS. |
LOGGED_IN_KEY i LOGGED_IN_SALT |
Pomagają WordPressowi rozpoznać zalogowanego użytkownika i utrzymać jego sesję. |
NONCE_KEY i NONCE_SALT |
Służą do generowania i sprawdzania nonce, czyli krótkotrwałych tokenów chroniących wybrane działania przed nieautoryzowanymi żądaniami. |
Wartości powinny być długie, losowe i różne od siebie. Nie zastępuj ich własnymi hasłami ani jednym powtarzanym ciągiem. Najbezpieczniej wygenerować cały zestaw za pomocą narzędzia udostępnianego przez WordPress.
Jak wygenerować i wymienić klucze w wp-config.php?
Przed edycją pliku przygotuj kopię zapasową samego wp-config.php oraz, jeśli to możliwe, pełną kopię plików i bazy danych. Pracuj w edytorze kodu, a nie w zwykłym procesorze tekstu, ponieważ nieprawidłowe kodowanie lub przypadkowa zmiana znaków może wywołać błąd PHP.
Uwaga: po zapisaniu nowych wartości WordPress przestanie uznawać dotychczasowe ciasteczka sesyjne. Zostaną wylogowani wszyscy użytkownicy, także administratorzy. Nie jest to błąd, lecz zamierzony skutek rotacji kluczy.
Procedura wygląda następująco:
- Wykonaj kopię pliku wp-config.php i upewnij się, że możesz przywrócić poprzednią wersję.
- Otwórz oficjalny generator WordPress dostępny pod adresem
https://api.wordpress.org/secret-key/1.1/salt/. - Skopiuj cały wygenerowany zestaw ośmiu definicji, od
AUTH_KEYdoNONCE_SALT. - W pliku wp-config.php znajdź istniejące definicje kluczy i soli, a następnie zastąp je nowymi liniami.
- Zapisz plik i prześlij go na serwer przez SFTP, FTP, SSH albo menedżer plików hostingu.
- Otwórz stronę i panel WordPress, a następnie zaloguj się ponownie. Jeśli pojawi się błąd krytyczny, przywróć kopię pliku.
Nie usuwaj przypadkowo innych ustawień z wp-config.php, zwłaszcza danych DB_NAME, DB_USER, DB_PASSWORD i DB_HOST. Klucze powinny pozostać w sekcji konfiguracyjnej, ale ich położenie względem innych stałych nie powinno być zmieniane bez powodu.
Kiedy wykonać rotację kluczy?
Wymiana kluczy nie musi być codzienną czynnością. Jest uzasadniona szczególnie w następujących sytuacjach:
- podejrzewasz przejęcie konta administratora lub kradzież ciasteczek sesyjnych
- doszło do włamania, infekcji albo nieautoryzowanej zmiany plików
- plik wp-config.php mógł zostać odczytany przez nieuprawnioną osobę
- strona została przeniesiona między serwerami lub przejęta od poprzedniego administratora
- rotacja jest elementem procedur bezpieczeństwa dla serwisu o wysokim znaczeniu
Po incydencie sama zmiana kluczy nie wystarczy. Trzeba także zmienić hasła użytkowników administracyjnych, dane dostępu do hostingu, FTP lub SFTP oraz inne poświadczenia, które mogły zostać ujawnione.
Najważniejsze jest rozróżnienie między ochroną sesji a szyfrowaniem danych. Security Keys i Salts ograniczają ryzyko wykorzystania podrobionych lub przejętych ciasteczek, ale nie zabezpieczają automatycznie całej instalacji WordPressa ani zawartości bazy danych.
