SSL kryptering med WordPress HTTPS

7. august 2011 af Morten    Ingen kommentarer    Udgivet i WordPress plugins

Kryptering ses alle vegne på internettet. Har du f.eks. lagt mærke til hængelåsen i adresselinjen når du logger på din mailkonto, netbank eller lign.? Websider som disse kræver alle en eller anden form for sikkerhed når det kommer til dataoverførsel, så uvedkommende ikke kan opsnappe eller få adgang til indholdet. Man ser også eksempler på websider, som kun krypteres når brugere logger på systemet, hvilket medfører at kun selve loginoplysninger der sendes fra og til websiden krypteres via SSL.

Hvad betyder SSL?

SSL står for Secure Sockets Layer og er en sikkerhedsprotokol, som beskytter dataoverførsel til og fra servere og browsere. Et SSL-certifikat indeholder både et offentligt og privat nøglesæt, som kan identificere de sendte oplysninger under dataoverførsler. Når en bruger f.eks. besøger et sikret domæne, deler serveren sin offentlige nøgle med browseren så en krypteret session kan startes. Browseren bekræfter tillid til udstederen af SSL-certifikatet og herefter krypteres indholdet via en unik sessionsnøgle.

WordPress plugin til SSL kryptering (HTTPS)

WordPress HTTPS er et plugin, der kan anvendes som en slags alt-i-én løsning i brug af SSL på WordPress websider. Plugin’et sikrer at gængse filer såsom billeder, CSS og JavaScript stort set altid er mulige at indlæse via HTTPS. De mange WordPress plugins der er tilgængelige i bl.a. WordPress Plugin Directory er ofte ikke kodet med henblik på SSL kryptering, da udviklerne opbygger stierne til ovennævnte elementer forkert. WordPress HTTPS understøtter både delt og privat SSL.

Administration via SSL

WordPress har dog siden version 2.6 haft forbedret understøttelse til administration via SSL. For at aktivere (og håndhæve) administration via SSL, skal dette defineres i wp-config.php.

FORCE_SSL_LOGIN bruges til at sikre logins, så adgangskoder ikke kan opfanges af tredjepart.

define('FORCE_SSL_LOGIN', true);

FORCE_SSL_ADMIN bruges til at sikre logins samt det administrative område, så både adgangskoder og cookies skjules. Sidstnævnte er, med andre ord, den mest sikre løsning.

define('FORCE_SSL_ADMIN', true);

Bemærk at den valgte konstant skal angives før nedenstående funktion i filen, ellers vil denne ikke træde i kraft.

/* That's all, stop editing! Happy blogging. */
...
require_once(ABSPATH . 'wp-settings.php');