Aby wyłączyć edytor plików w WordPress, dodaj do pliku wp-config.php stałą:
define( 'DISALLOW_FILE_EDIT', true );Wpis ukryje w panelu administracyjnym edytory kodu motywów i wtyczek. To prosta forma hardeningu, która ogranicza możliwość modyfikowania plików PHP z poziomu kokpitu WordPress.
Jak dodać stałą DISALLOW_FILE_EDIT?
Zmianę wykonasz poza panelem WordPress, korzystając z dostępu do plików serwera:
- Zrób kopię zapasową pliku
wp-config.php, aby móc szybko cofnąć zmianę. - Połącz się z serwerem przez FTP, SFTP albo menedżer plików dostępny w panelu hostingu.
- Otwórz plik
wp-config.phpznajdujący się zwykle w głównym katalogu instalacji WordPress. - Wstaw kod
define( 'DISALLOW_FILE_EDIT', true );przed komentarzemThat's all, stop editing! Happy publishing.. - Zapisz plik i odśwież panel administracyjny. Po poprawnym zapisaniu edytory motywów i wtyczek nie będą dostępne.
Uwaga: po tej zmianie edycja plików z poziomu przeglądarki zostanie wyłączona na stałe, dopóki nie usuniesz wpisu z wp-config.php. Do jego usunięcia lub zmiany potrzebujesz dostępu FTP, SFTP albo menedżera plików. Jeśli nie masz pewności, jak edytować pliki konfiguracyjne, poproś o pomoc administratora serwera.
Dlaczego warto wyłączyć edytor plików?
Edytor pozwala użytkownikowi z odpowiednimi uprawnieniami zmieniać kod PHP motywów i wtyczek bezpośrednio w panelu. Jeżeli konto administratora zostanie przejęte, napastnik może wykorzystać tę funkcję do wstrzyknięcia złośliwego kodu, na przykład webshella.
Wyłączenie edytora nie usuwa podatności z WordPressa ani zainstalowanych rozszerzeń, ale ogranicza jeden z prostych sposobów modyfikacji plików. Ma to znaczenie także przy podatnościach typu XSS w panelu administracyjnym, które w określonych warunkach mogą prowadzić do wykonania kodu po stronie serwera.
Zmiana ogranicza wygodę szybkiej edycji, lecz przywrócenie tej funkcji wymaga tylko usunięcia wpisu z wp-config.php. W praktyce bezpieczniej jest zmieniać pliki przez kontrolowany dostęp FTP lub SFTP niż z poziomu panelu WordPress.
