principal (/) da instalacao do WordPress juntamente com o arquivo wp-config.php.11 - Desabilite o WP_DEBUG.A variavel global WP_DEBUG permite ao desenvolvedor, depurar a aplicacao. Deixar estas informacoes visiveis tambem pode fornecer informacoes valiosas aos atacantes. Para desabilitar a variavel WP_DEBUG, edite o arquivo wp-config.php e altere de true para false.define(WP_DEBUG, false);12 - Restrinja o acesso a sua pasta wp-contentA pasta wp-content contem seus arquivos de temas e plugins de sua instalacao. O acesso a essa pasta nao deve ser direto, com excecao as imagens, javascript e css que possam ser utilizados pelo seu tema escolhido.Para corrigir isso edite tambem um arquivo .htaccess (nao o principal, um outro, dentro da pasta wp-content), com a seguinte informacao:Order Allow,DenyDeny from all<FilesMatch "\.(jpg|gif|png|js|css)$" >Allow from all</FilesMatch>13 - Configuracao correta do wp-config.phpApos a instalacao do WordPress, e necessario reconfigurar o arquivo wp-config.php com algumas chaves de seguranca como no exemplo a seguir:define('AUTH_KEY', 'FInSxQTD1:||dma-aJ5NBP|5:/3r/W,q]tkGH^hWP_t');define('SECURE_AUTH_KEY', 'yq%dw<M#P3%XS%)x[Mo;MwvDtx?tHYNq,h0i.#4AOaA');define('LOGGED_IN_KEY', ':FHqs$n@<62.y`AUw;vOD0P0P.z,B-UGq=Xj(/e&`-o');define('NONCE_KEY', '.BB!BV?d.F46PS--4|-wphl13elc8>.|?PA$K5f@@Gs');define('AUTH_SALT', 'Xl4F-Y0p2ztbO<R/k(,3>1a%7A4uK=y_D7f!$]if s-');define('SECURE_AUTH_SALT', '^0c&@-kA?/W@?tu7=ccW]<AHg6j_ _e0k{#A1!ovH%1');define('LOGGED_IN_SALT', '#r09|G>4%u0H|x>EJSbs9ip]gK)lor)H/lq:e7]a!kk');define('NONCE_SALT', 'W!grUQe2i]L|#p-wX;Ibct48v;TS3X,&C61<s,Dy</X');E uma boa pratica alterar as chaves unicas de autenticacao pois elas vem em branco por padrao. Estas chaves podem ser geradas automaticamente no link a seguir:https://api.wordpress.org/secret-key/1.1/salt/14 - Bloqueie a indexacao de arquivos do WordPressUma outra boa pratica e Impedir que mecanismos de busca facam indexacao de pastas e arquivos do WordPress. Para isso, crie ou edite o arquivo robots.txt em sua pasta principal do site (/) e adicione a seguinte informacao:User-agent: *Disallow: /wp-*15 - Use SSH ou SFTP ao inves de FTPFTP e muito famoso, muito utilizado e tambem muito inseguro. Utiliza-lo atualmente nao e aconselhavel principalmente pelo fato de nao utilizar criptografia. Uma otima alternativa e a utilizacao de SSH (utilizando o scp) ou SFTP (secure FTP) pois este protocolos criptografam a informacao deixando a transferencia de arquivos e a transmissao de senhas mais segura.O software Filezilla e uma boa alternativa para a utilizacao de SFTP.16 - Proteja o seu arquivo de configuracaoO arquivo wp-config.php e um dos mais importantes da instalacao e deve ser mantido em seguranca pois contem a senha do banco de dados e sua secret key. Para aumentar a sua seguranca edite o arquivo .htaccess (da pasta principal) e adicione a informacao abaixo:<FilesMatch ^wp-config.php$>Deny from all</FilesMatch>ou<files wp-config.php>order allow,denydeny from all</files>Proteja tambem o arquivo .htaccess<Files ~ "^\.(htaccess)$">deny from all</Files>17 - Plugins uteis para a seguranca do WordPressVarios plugins de seguranca que facilitam a vida dos administradores de sites Wordpress. Abaixo listo alguns que podem ser muito uteis. WP Security Scan Realiza uma serie de testes para avaliar a seguranca de sua instalacao do WordPress; WP Login Lockdown Dificulta ataques de forca bruta bloqueando o acesso por IP apos determinado numero de erros de login; WP DB Backup Realiza copias de seguranca de seu banco de dados automaticamente; BlogSecurity's WPIDS plugin - Instala o phpids - uma camada de seguranca generica para aplicacoes PHP; WordPress Firewall - usa algumas regras pre-configuradas, criadas para o WordPress, alem de uma whitelist para eliminar ataques sem muitas configuracoes; All In One WP Security & Firewall - Faz diveras configuracoes de seguranca; Security WebsiteDefender - Faz o monitoramento do seu site para falhas de seguranca e