Securizarea MariaDB/MySQL pe serverele de hosting WordPress

MariaDB a depășit MySQL ca cel mai utilizat sistem de baze de date pentru WordPress în 2026, alimentând peste 50% din instalările active. Instalarea implicită a MariaDB, ca și a MySQL, nu este securizată: contul root este accesibil fără parolă pe unele distribuții, baza de date test este disponibilă tuturor utilizatorilor și logging-ul este dezactivat. Aceste configurații implicite reprezintă riscuri semnificative pe un server de producție.

Conform unui audit publicat în 2026, peste 37% din site-urile WordPress rulează o versiune de baze de date ajunsă la end-of-life, fără actualizări de securitate. Aceasta este o suprafață de atac semnificativă care poate fi remediată relativ simplu.

Securizarea MariaDB/MySQL pe serverele de hosting WordPress

Securizarea bazei de date WordPress urmează principiul apărării în adâncime: limitați suprafața de atac prin configurație, aplicați principiul privilegiului minim și monitorizați activitatea neobișnuită.

Fiecare strat de securitate suplimentar crește costul unui atac reușit pentru atacator.

Pasul 1: mysql_secure_installation

Rulați acest script imediat după instalarea MariaDB sau MySQL pe orice server nou:

sudo mysql_secure_installation

Scriptul vă ghidează prin setarea parolei root, eliminarea utilizatorului anonim, dezactivarea autentificării root de pe rețea și eliminarea bazei de date test. Răspundeți Yes la toate întrebările pentru o configurație securizată de bază.

Pasul 2: Principiul privilegiului minim pentru utilizatorul WordPress

Utilizatorul MySQL/MariaDB al WordPress nu necesită privilegii complete. Creați un utilizator dedicat cu permisiunile minime necesare:

-- Creati utilizatorul WordPress cu privilegii minime
CREATE USER 'wp_user'@'localhost' IDENTIFIED BY 'parola_puternica';
GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, ALTER, INDEX, DROP
    ON wordpress_db.* TO 'wp_user'@'localhost';
FLUSH PRIVILEGES;

-- Verificati privilegiile acordate
SHOW GRANTS FOR 'wp_user'@'localhost';

Nu acordați FILE, PROCESS, SUPER sau GRANT OPTION utilizatorului WordPress. Aceste privilegii pot fi exploatate de un atacator care a obținut acces SQL.

Verificarea utilizatorilor existenți supraprivilegiați

-- Listeaza utilizatorii cu privilegii ALL
SELECT user, host, Super_priv, File_priv, Grant_priv
FROM mysql.user
WHERE Super_priv = 'Y' OR File_priv = 'Y'
    OR Grant_priv = 'Y';

Pasul 3: Dezactivarea accesului de la distanță

Pe un server de hosting shared sau dedicat unde WordPress și MySQL rulează pe același server, nu există niciun motiv să acceptați conexiuni MySQL din exterior. Editați fișierul de configurare:

# In /etc/mysql/mariadb.conf.d/50-server.cnf sau /etc/my.cnf
[mysqld]
bind-address = 127.0.0.1
skip-networking = 0

Alternativ, pe serverele care nu necesită acces MySQL de la nicio adresă externă:

[mysqld]
skip-networking

Pasul 4: Dezactivarea local_infile

Opțiunea LOCAL INFILE permite unui client să încarce fișiere locale pe serverul MySQL, un risc semnificativ dacă un atacator obține acces SQL:

[mysqld]
local-infile = 0

Pasul 5: Activarea logging-ului pentru audit

Logging-ul interogărilor lente și al erorilor ajută la detectarea tentativelor de SQL injection și a comportamentului anormal:

[mysqld]
# Log erori
log_error = /var/log/mysql/error.log

# Log interogari lente (peste 2 secunde)
slow_query_log = 1
slow_query_log_file = /var/log/mysql/slow.log
long_query_time = 2

Pasul 6: Actualizarea la versiuni LTS suportate

Verificați versiunea curentă și asigurați-vă că rulați o versiune cu suport activ de securitate:

mysql --version
# sau
mariadb --version

Pentru MariaDB, versiunile cu suport LTS activ în 2026 sunt 10.6 LTS, 10.11 LTS și 11.4 LTS. MySQL 8.4 este versiunea LTS recomandată pentru MySQL.

Securizarea conexiunii WordPress-MySQL

Dacă MySQL rulează pe un server separat de WordPress, activați SSL/TLS pentru conexiunea dintre cele două. Adăugați în wp-config.php:

define('MYSQL_CLIENT_FLAGS', MYSQLI_CLIENT_SSL);

Concluzie

Securizarea MariaDB/MySQL pentru WordPress este un set de configurații relativ simple care elimină vulnerabilitățile implicite ale instalării standard. Principiul privilegiului minim, dezactivarea accesului de la distanță și activarea logging-ului sunt cele mai importante măsuri cu cel mai bun raport efort-beneficiu.

Serviciile noastre de securitate server includ auditul și hardening-ul configurației bazei de date WordPress, inclusiv verificarea versiunilor și configurațiilor de acces.

Dacă vreți să aprofundați subiectul pas cu pas, cursul WordPress avansat (onseo.ro) acoperă exact aceste etape, cu exemple din România.