Wygeneruj komplet unikalnych kluczy bezpieczeństwa (salt) do pliku wp-config.php. Skopiuj gotowy blok i zastąp nim istniejące definicje kluczy w swojej instalacji WordPress. Klucze są bezpieczne - losowane wyłącznie w Twojej przeglądarce kryptograficznym generatorem liczb losowych i nigdzie nie są wysyłane. Każde kliknięcie tworzy nowy zestaw.
skopiowano
🔒 Klucze losowane w przeglądarce (Web Crypto API). Nic nie jest wysyłane ani zapisywane.
⚠ Zmiana kluczy wyloguje wszystkich zalogowanych użytkowników, łącznie z Tobą. To normalny efekt. Przed edycją wykonaj kopię pliku wp-config.php.
Wklej blok do wp-config.php, zastępując istniejącą sekcję od AUTH_KEY do NONCE_SALT. Plik znajdziesz w katalogu głównym instalacji WordPress.
Czym są klucze soli i dlaczego są ważne
Klucze soli (salt keys) to osiem losowych, długich ciągów znaków zdefiniowanych w pliku wp-config.php: AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY oraz cztery odpowiadające im sole. WordPress używa ich do szyfrowania informacji przechowywanych w ciasteczkach sesji. Dzięki nim ciasteczko zalogowanego użytkownika jest bardzo trudne do podrobienia, nawet jeśli ktoś pozna jego fragment. To prosty, a istotny element bezpieczeństwa WordPress, który powinien być ustawiony na unikalne, losowe wartości w każdej instalacji.
Jak wymienić klucze krok po kroku
1. Kopia plikuPobierz przez FTP lub menedżer plików hostingu plik wp-config.php z katalogu głównego i zachowaj kopię. To Twoja droga powrotu w razie pomyłki.
2. Wygeneruj blokKliknij „Wygeneruj nowe klucze" i skopiuj cały blok ośmiu definicji. Każdy zestaw jest unikalny i losowy.
3. Podmień w wp-configW pliku znajdź sekcję od define('AUTH_KEY', ...) do define('NONCE_SALT', ...) i zastąp ją wklejonym blokiem. Zapisz plik.
4. Zaloguj się ponowniePo zapisaniu wszystkie sesje zostaną unieważnione. Zaloguj się ponownie do panelu. To potwierdza, że nowe klucze działają. Element rutynowej ochrony logowania.
Kiedy warto wymienić klucze
Nie ma potrzeby rutynowej, okresowej zmiany kluczy. Wymiana ma sens w konkretnych sytuacjach: po podejrzeniu lub potwierdzeniu włamania (odbiera dostęp intruzowi, który mógł przejąć ciasteczko sesji), po zakończeniu współpracy z zewnętrznym wykonawcą, który miał dostęp do plików, oraz gdy chcesz jednorazowo wylogować wszystkich użytkowników, na przykład po zmianie zasad dostępu. Poza takimi przypadkami raz ustawione mocne, losowe klucze w pełni spełniają swoją rolę. Wymiana kluczy bywa też jednym z kroków w procedurze po włamaniu, obok aktualizacji i przywrócenia kopii zapasowej.
Najczęstsze pytania o klucze soli
To osiem losowych ciągów (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i ich sole), których WordPress używa do szyfrowania danych w ciasteczkach sesji. Utrudniają podrobienie ciasteczka zalogowanego użytkownika.
Otwórz wp-config.php w katalogu głównym, znajdź sekcję z AUTH_KEY i kolejnymi kluczami i zastąp ją wygenerowanym blokiem. Zmiana działa od razu po zapisaniu. Wcześniej zrób kopię pliku.
Wszystkie aktywne sesje zostaną unieważnione, więc wszyscy zalogowani (łącznie z Tobą) zostaną wylogowani. To celowy efekt, przydatny po podejrzeniu włamania, by odebrać dostęp intruzowi.
Tak. Są losowane w przeglądarce kryptograficznym generatorem (Web Crypto API) i nigdzie nie są wysyłane ani zapisywane. Każde kliknięcie tworzy nowy, unikalny zestaw.
Bez potrzeby rutynowej zmiany. Warto je wymienić po podejrzeniu naruszenia, po pracy zewnętrznego wykonawcy lub gdy chcesz wylogować wszystkich. Poza tym mocne klucze wystarczają.
Narzędzie i opracowanie: Marcin Szewczyk-Wilgan, WebOptimo. Klucze losowane kryptograficznie po stronie przeglądarki, bez wysyłania na serwer.
Kontakt
Zadbamy o bezpieczeństwo Twojej strony
Hardening WordPress, ochrona logowania, audyt po włamaniu i opieka nad stroną. Bez zobowiązań, konkretna propozycja po krótkiej rozmowie.
