Beskyt dit WordPress Site

Testens omfang

Her er et kortfattet sammedrag af det der testes for:

• WordPress-detektion og versionskontrol
  Tjekker, om siden kører WordPress ved at søge efter typiske spor og udtrækker (hvis muligt) versionsnummeret for at kunne sammenligne med den nyeste version – kritisk for at sikre, at du kører en opdateret og sikker installation.

• SSL/HTTPS-tjek
  Verificerer, at siden benytter en sikker HTTPS-forbindelse, hvilket er afgørende for at beskytte dataudvekslingen mellem brugeren og serveren. Udtrækker SSL-certifikatdata (fx udsteder og gyldighed) hvis muligt.

• Debug Mode
  Scanner sidens kildekode for fejlmeddelelser (Notice, Warning, Deprecated) for at afgøre, om WP_DEBUG er aktiveret – da aktiv debug-mode kan udlevere interne oplysninger. Tjekker også om WP_DEBUG_LOG er aktiv, hvilket er en potentiel risiko, da logfiler kan indeholde detaljerede fejlbeskeder og interne oplysninger.

• Permissions-Policy header
  Kontrollerer, om headeren Permissions-Policy er sat med en defineret politik, så browserens adgang til følsomme funktioner er begrænset – en nyere, men vigtig, sikkerhedsforanstaltning.

• Primære sikkerheds-headere
  Tjekker for de centrale sikkerheds-headere (X-Frame-Options, X-XSS-Protection, Content-Security-Policy og Strict-Transport-Security), der beskytter mod clickjacking, XSS-angreb og sikrer krypterede forbindelser.

• Yderligere headere (X-Content-Type-Options og Referrer-Policy)
  Sikrer, at siden sender headere, der forhindrer MIME-type misfortolkning og begrænser henvisningsoplysninger – forstærker den overordnede sikkerhed.

• WordPress-specifik fil: readme.html
  Forsøger at hente readme.html, da en tilgængelig fil kan afsløre versionsnummer og andre oplysninger, som potentielt kan udnyttes af angribere.

• XML-RPC API tjek
  Kontrollerer, om xmlrpc.php er tilgængelig – da denne fil ofte udnyttes til brute force-angreb, bør den deaktiveres, hvis den ikke er nødvendig.

• Beskyttelse af systemfiler
  Tjekker, om kritiske filer (wp-config.php, readme.txt, install.php og .htaccess) er beskyttet mod offentlig adgang, da disse filer indeholder følsomme data og konfigurationsoplysninger.

• Directory Browsing for /wp-content/uploads/
  Sikrer, at directory listing er deaktiveret i uploads-mappen, så uvedkommende ikke kan få et overblik over filstrukturen på serveren.

• Standard login-side tjek
  Verificerer, om standard login-side (/wp-login.php) anvendes – en kendt angrebsoverflade, der bør ændres for at reducere risikoen for brute force-angreb.

• Sikkerhedsplugin-flag tjek
  Søger efter et foruddefineret meta-tag (security-plugin-flag), som kan indsætte i sidens header for at indikere, at et specifikt sikkerhedsplugin er aktivt – denne test påvirker ikke den samlede score, men giver ekstra indsigt.