Zmiana kluczy bezpieczeństwa w WordPress polega na wygenerowaniu nowego zestawu losowych wartości i zastąpieniu nimi starego bloku w pliku wp-config.php. Operacja unieważnia aktywne sesje, więc po jej wykonaniu wszyscy użytkownicy muszą zalogować się ponownie.
Dlaczego warto zmienić klucze bezpieczeństwa?
Klucze bezpieczeństwa WordPress, znane jako Security Keys i sole, służą między innymi do ochrony ciasteczek logowania oraz sesji użytkowników. Ich wymiana jest szczególnie wskazana po podejrzeniu przejęcia konta, wycieku pliku konfiguracyjnego lub innego incydentu związanego z dostępem do strony.
Po zmianie starych wartości WordPress przestaje akceptować wcześniej utworzone ciasteczka. Dzięki temu osoba korzystająca z przejętej sesji zostaje odłączona od panelu i strony.
Co przygotować przed edycją pliku?
Do wykonania operacji potrzebujesz dostępu do plików instalacji WordPressa oraz edytora tekstowego lub kodu. Przyda się:
- Dostęp FTP, SFTP albo menedżer plików w panelu hostingowym.
- Edytor tekstu, który nie zmienia formatowania ani kodowania pliku.
- Kopia zapasowa pliku wp-config.php zapisana poza serwerem.
- Aktualna kopia zapasowa strony, obejmująca pliki i bazę danych.
Nie pomijaj kopii pliku. wp-config.php jest ładowany podczas uruchamiania WordPressa. Usunięcie cudzysłowu, nawiasu lub średnika może spowodować błąd składniowy, błąd krytyczny albo biały ekran. Jeśli po zapisaniu zmian strona przestanie działać, przywrócenie kopii pozwoli szybko wrócić do poprzedniej konfiguracji.
Jak zmienić klucze bezpieczeństwa w WordPress?
Wykonaj poniższe kroki:
- Otwórz oficjalny generator WordPress pod adresem https://api.wordpress.org/secret-key/1.1/salt/. Za każdym odświeżeniem generator tworzy nowy zestaw losowych wartości.
- Połącz się z serwerem przez FTP, SFTP albo menedżer plików dostępny w panelu hostingowym. Możesz użyć klienta FTP, na przykład FileZilla.
- Znajdź plik wp-config.php. Zwykle znajduje się w głównym katalogu instalacji WordPressa, obok folderów wp-admin, wp-content i wp-includes. Na hostingu może to być na przykład katalog public_html.
- Utwórz kopię pliku, a następnie otwórz jego oryginał w edytorze tekstowym lub kodu.
- Zlokalizuj blok zawierający osiem definicji: AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY, AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT i NONCE_SALT.
- Zastąp cały stary blok kodem wygenerowanym na oficjalnej stronie WordPress. Nie zmieniaj nazw stałych ani pojedynczych znaków w nowych wartościach.
- Zapisz plik i prześlij go z powrotem na serwer, jeśli korzystasz z klienta FTP. Następnie otwórz stronę oraz panel administracyjny, aby sprawdzić, czy działają prawidłowo.
Generator zwraca gotowy kod PHP, podobny do poniższego schematu. Nie używaj tego przykładu jako rzeczywistych kluczy, ponieważ wartości powinny być unikalne:
define( 'AUTH_KEY’, 'wygenerowana-losowa-wartosc’ );
define( 'SECURE_AUTH_KEY’, 'wygenerowana-losowa-wartosc’ );
define( 'LOGGED_IN_KEY’, 'wygenerowana-losowa-wartosc’ );
define( 'NONCE_KEY’, 'wygenerowana-losowa-wartosc’ );
define( 'AUTH_SALT’, 'wygenerowana-losowa-wartosc’ );
define( 'SECURE_AUTH_SALT’, 'wygenerowana-losowa-wartosc’ );
define( 'LOGGED_IN_SALT’, 'wygenerowana-losowa-wartosc’ );
define( 'NONCE_SALT’, 'wygenerowana-losowa-wartosc’ );
Co stanie się po zapisaniu zmian?
Po podmianie kluczy wylogowanie użytkowników jest normalnym i zamierzonym działaniem. Należy spodziewać się następujących skutków:
- Wszyscy zalogowani użytkownicy zostaną wylogowani z WordPressa.
- Administratorzy będą musieli ponownie podać login i hasło.
- Wcześniej utworzone sesje i ciasteczka logowania przestaną działać.
- Osoba korzystająca z przejętej sesji straci dostęp wymagający uwierzytelnienia.
Jeśli po zapisaniu pliku pojawi się błąd krytyczny, biały ekran lub komunikat o problemie z konfiguracją, przywróć wykonaną kopię wp-config.php. Gdy nie masz doświadczenia w pracy z FTP albo nie możesz przywrócić działania strony, skontaktuj się z administratorem serwera lub osobą zajmującą się WordPressem.
Najbezpieczniejsza procedura to: kopia zapasowa, oficjalny generator, podmiana całego bloku ośmiu kluczy i kontrola działania strony po zapisie.
