Ainda não conheço muito o Wordpress e estou me perguntando:
Antes da instalação, é necessário preencher os dados corretos, wp-config-sample.phpmas isso também inclui a senha do banco de dados. Isso não é perigoso? Quero dizer, alguém pode explicar como isso é protegido, basta ler o arquivo e obter a senha do seu banco de dados?
Respostas:
A página "Hardening WordPress" do Codex contém uma seção em "Protegendo o wp-config.php" . Isso inclui alterar as permissões para 440 ou 400. Você também pode mover o diretório wp-config para um diretório acima da raiz, se a configuração do servidor permitir.
É claro que há algum perigo em ter um arquivo com a senha como esta se alguém obtiver acesso ao seu servidor, mas, honestamente, nesse ponto eles já estão no seu servidor.
Finalmente, você não tem muita escolha. Eu nunca vi um meio alternativo de configurar o WordPress. Você pode bloqueá-lo o máximo que puder, mas é assim que o WordPress é construído, e se fosse uma séria ameaça à segurança, eles não o fariam dessa maneira.
Para defender seu arquivo de configuração em um nível acima da raiz da web (como sugerido pelo mrwweb): há alguns meses, uma atualização automática em um servidor de produção matou o php, mas deixou o apache em execução. Então, todos que acessavam a página inicial estavam recebendo o index.php como um download . Em teoria, qualquer um que soubesse que era um site WordPress poderia ter solicitado o wp-config.php e o obtido (se estivesse na raiz da web). Obviamente, eles só poderiam usar essas credenciais de banco de dados se permitíssemos conexões remotas do MySQL - mas ainda assim, não é legal. Sei que esse é um caso marginal, mas é tão fácil manter sua configuração fora de vista, por que não fazê-lo?
Aqui está outra dica: proteja o wp-config.php (e quaisquer outros arquivos confidenciais) com .htaccess
Adicione o seguinte a um arquivo .htaccess no diretório do seu site, onde estão localizados todos os outros arquivos do WordPress:
<Files wp-config.php>
order allow,deny
deny from all
</Files>