O install.php už byla řeč v samostatném tipu (Co byste po instalaci WordPressu měli smazat či změnit? install.php – pozor ať nedopadnete špatně), ale to zdaleka není vše, co je vhodné po instalaci WordPresu smazat.
Mimochodem, ten install.php je realisticky mazáním či změnou neřešitelný, protože každá aktualizace WordPressu vám ho vrátí zpět v původní nepraktické podobě.
POZOR: Pokud smažete něco co nemáte, rozbijete si web. Takže zcela určitě dbejte na to, abyste měli vždy k dispozici aktuální zálohu a dokázeli cokoliv obnovit.
wp-config-sample.php je pozůstatek instalace. Soubor, ze kterého vznikl správný a velmi podstatný wp-config.php. Ten mazat nebudete, ale onen se “sample” v názvu smazat můžete. Jeho obvyklý obsah je vidět v záhlaví a jakkoliv v něm není nic rizikového, může to být jinak. Občas tvůrci webů tento soubor omylem nakrmí konkrétními údaji.
TIP: U předchozího souboru je nutné připomenout, že musíte dávat pozor na oblíbenou chybu vytvořit .bak kopii a tu ponechat na webu. Případně něco jako .old, .save, .txt atd.
readme.html je neškodný, ale občas se uvádí, že si ho útočník může otevřít a zjistit verzi WordPressu. Jsme si dost jist, že to může zjistit i jinak, ale chcete-li, můžete smazat. Ale stejně jako výše install.php se po aktualizaci WordPressu nejspíš stejně objeví znovu. Podobně ke smazání může být license.txt, ale i to je celkem neškodné.
wp-content/plugins/hello.php je příklad pluginu (Hello World/Dolly), a může být smazán, pokud tedy vůbec na vašem webu bude. Což ostatně platí pro jakékoliv nepoužívané pluginy. Nenechávejte je, i kdyz si myslíte, že „deaktivace stačí“. Viz Jak na webu na WordPressu zacházet s pluginy? Méně je více
Nepoužívané šablony je totéž jako nepoužívané pluginy. Aktivní šablonu samozřejmě nemazat. Jednu výchozí záložní šablonu je rozumné ponechat pro nouzové přepnutí, pokud se hlavní šablona rozbije. Ostatně viz Ponechat na WordPress webu pouze aktivní šablonu nebo i jednu z výchozích?
wp-includes/install.php je někdy uváděno také jako kandidát na mazání – skript se používá při instalaci WordPressu, takže po instalaci a zprovoznění nebude potřeba.
TIP: Pokud jste migrovali WordPress tak pozor na to, aby vám na webu nezůstaly různé archivy (zip, gz, tar) nebo dokonce export databáze (sql soubor). Mohou to tam nechat i různé migrační pomůcky.
phpinfo.php, info.php, test.php mohou být pozůstatky po instalaci PHP a některé z nich mohou prozrazovat zbytečné detaily o vašem serveru.
Adminer, phpMyAdmin a podobné jednosouborové nástroje není ani tak otázka mazání souborů, ale toho, že tyto nástroje by neměly být veřejně přístupné. Tedy pokud je nutně potřebujete, tak nechat, ale zamknout pod IP ochranou, http autentizací, v neveřejné náhodné cestě, atd.
.git, .svn, .hg a vývojářské soubory nemají na ostrém webu na hostingu co pohledávat.
xmlrpc.php by bylo vhodní mít možnost smazat, ale aktualizace ho stejně vrátí, takže spíše blokovat přístup. Tady viz WordPress a XMLRPC? Proč nefunguje aplikace? Je XMLRPC bezpečné? Mám ho zakázat?
wp-mail.php je na tom podobně, součást jádra, takže mazání nepomůže. Blokovat přístup zvenčí je vhodné.
wp-trackback.php slouží pro zpracování trackbacků, což mimochodem je něco co rozhodně nechcete, protože se to používá pro spam do komentářů/trackback systém. Opět soubor jádra, takže jedině blokovat. A nezapomenout vypnout trackback funkčnost. Řeč o téhle funkčnosti je i ve WordPress a XMLRPC? Proč nefunguje aplikace? Je XMLRPC bezpečné? Mám ho zakázat?
wp-links-opml.php slouží pro OPML export odkazů. WordPress uvádí, že souvisí se starou funkcí Link Manager, odstraněnou z WordPressu 3.5, ale soubor zůstává kvůli zpětné kompatibilitě. Opět nepůjde mazat, ale můžete zakázat přístup.
wp-signup.php a wp-activate.php související s registrací a aktivací uživatelů, hlavně u multisite nebo tam kde se vám registrují uživatelé, takže na běžném single-site webu potřeba nejsou. Takže pokud web nepoužívá registrace a multisite, lze zvážit blokování přímého přístupu
POZNÁMKA: Smazání souborů z vašeho WordPressu vyžaduje, abyste měli přístup alespoň přes FTP (ideálně SFTP) a jak už bylo výše párkrát napsáno, některé soubory se samy „vrátí“ při příští aktualizaci WordPressu.
Ukázkový obsah a média ve wp-content/uploads, tedy něco co se tam může objevit při testování.
Prázdné nebo testovací adresáře. Často obsahují starou kopii webu, neaktualizovaný WordPress nebo testovací konfiguraci.
Soubory operačních systémů tedy něco jako .DS_Store (to vám tam bude vnucovat Apple), Thumbs.db, desktop.ini, __MACOSX a další. Často velmi vhodné řešit na úrovní deploy/přenosů, aby se tam nedostaly ani v budoucnu.
Další tipy týkající se WordPressu
