- Што такое WP JSON і як яго адключыць і выдаліць
- Адключаем WP JSON REST API з дапамогай плагіна Disable REST API
- Код для адключэння і выдалення wp-json і oembed ў WordPress
- Што такое XML-RPC і як яго адключыць і выдаліць
- Адключаем XML-RPC з дапамогай плагіна Disable XML-RPC Pingback
- Код для адключэння і выдалення XML-RPC
- Што такое Emoji і як іх адключыць і выдаліць
- Убудова WordPress для адключэння Emojis - Disable Emojis
- Код для адключэння Emoji ў WordPress
- Што ня варта выдаляць з загалоўкаў
- Што яшчэ спатрэбіцца пры наладзе WordPress
Калі вы ўсталёўвалі WordPress з нуля, то заўважалі, што з скрынкі ён падае даволі залішняя функцыянал, напрыклад, ўстаўляе ў head шмат лішніх тэгаў: wp-json, xmlrpc, pingback, canonical, feed, emoji, generator, profile, wmlmanifest, link rel next і prev, і таму падобныя. Большасці сайтаў яны ні да чаго, і таму ім варта пазбавіцца ад лішняга халусця.
- Што такое WP JSON і як яго адключыць і выдаліць
- Адключаем WP JSON REST API з дапамогай плагіна Disable REST API
- Код для адключэння і выдалення wp-json і oembed ў WordPress
- Што такое XML-RPC і як яго адключыць і выдаліць
- Адключаем XML-RPC з дапамогай плагіна Disable XML-RPC Pingback
- Код для адключэння і выдалення XML-RPC
- Што такое Emoji і як іх адключыць і выдаліць
- Убудова WordPress для адключэння Emojis - Disable Emojis
- Код для адключэння Emoji ў WordPress
- Выдаляем pingback, canonical, meta generator, wlwmanifest, EditURI, shortlink, prev, next, RSS, feed, profile з загалоўкаў head
- Наладзім рэдырэкт с / feed / на галоўную
- Прыбіраем CSS стылі .recentcomments
- Выдаляем лішні код з header.php
- Што ня варта выдаляць з загалоўкаў
- Што яшчэ спатрэбіцца пры наладзе WordPress
Што такое WP JSON і як яго адключыць і выдаліць
WP JSON - гэта скарачэнне ад WordPress JSON REST API. Апісанне складанае, таму растлумачу прасцей - гэта функцыянал, з дапамогай якога для WordPress можна напісаць дадатак на абсалютнай любой платформе і на любой мове, і з дапамогай гэтага прыкладання кіраваць сайтам - дадаваць, змяняць і выдаляць змесціва, наладжваць тэмы, меню, фішкі і іншае .
Увогуле, з усяго гэтага апісання вам павінна быць ясна, што wp-json - пакуль што зусім лішняе на вашым сайце, і яго трэба адключаць. Да таго ж, Яндэкс любіць выкідаць wp-json ў індэкс як падраздзел сайта. Вядома, гэта лечыцца з дапамогай закрыцця ад індэксавання / wp-json / у robots.txt, але, ўсё ж, лепш адключыць і наладзіць выдачу памылкі 404 Not Found па гэтым адрасе.
Што непрыемна, калі не зачыніць / wp-json /, то ён дае магчымасць любым ботам вызнавать даволі канфідэнцыйную інфармацыю пра карыстальнікаў. Напрыклад, па такім адрасе http://example.com/wp-json/wp/v2/users/ будзе выдадзена інфармацыя пра карыстальнікаў сайта з іх асабістымі дадзенымі: лагін, email і іншае, што там паказваецца.
Каб пазбегнуць выдачы інфармацыі па карыстальнікам WordPress, ня адключаючы WP REST API, можна скарыстацца наступным кодам:
// Адключаем функцыянал па карыстальніках ў WP REST API add_filter ( 'rest_endpoints', function ($ endpoints) {if (isset ($ endpoints [ '/ wp / v2 / users'])) {unset ($ endpoints [ '/ wp / v2 / users ']);} if (isset ($ endpoints [' / wp / v2 / users / (? P <id> [\ d] +) '])) {unset ($ endpoints [' / wp / v2 / users / (? P <id> [\ d] +) ']);} return $ endpoints;});Адключаючы функцыянал WordPress REST API, памятаеце, што яго выкарыстоўваюць некаторыя папулярныя убудовы, напрыклад Contact Form 7 і Yoast SEO . Таму, калі раптам у вас перастала працаваць форма зваротнай сувязі, паглядзіце, а не адключаны ці REST API?
Ёсць 2 спосабу пазбавіцца ад wp-json, убудова і код.
Адключаем WP JSON REST API з дапамогай плагіна Disable REST API
Для адключэння wp-json можна скарыстацца убудовай Disable REST API, так як яго аўтар будзе падтрымліваць код у актуальным стане ў залежнасці ад магчымых змяненняў у будучых версіях рухавічка WordPress.
Спампаваць убудова Disable REST API з афіцыйнага рэпазітара WordPress.org
Убудова WordPress для адключэння wp-json - Disable JSON API
Убудова, вядома, функцыянал JSON REST API адключыць, але вось ад падзелу / wp-json / на сайце не пазбавіць. Таму, гэты варыянт крыху не тое, што нам трэба. Ідзем далей.
Код для адключэння і выдалення wp-json і oembed ў WordPress
Код узяты з розных крыніц, у асноўным адсюль , І ў тым ліку, і з вышэйпаказанага ўбудовы
/ * * Адключаем wp-json * * https://sheensay.ru/?p=2044 * / // Адключаем WP-API версій 1.x add_filter ( 'json_enabled', '__return_false'); add_filter ( 'json_jsonp_enabled', '__return_false'); // Адключаем WP-API версій 2.x add_filter ( 'rest_enabled', '__return_false'); add_filter ( 'rest_jsonp_enabled', '__return_false'); // Выдаляны інфармацыю аб REST API з загалоўкаў HTTP і секцыі head remove_action ( 'xmlrpc_rsd_apis', 'rest_output_rsd'); remove_action ( 'wp_head', 'rest_output_link_wp_head', 10); remove_action ( 'template_redirect', 'rest_output_link_header', 11); // Адключаем фільтры REST API remove_action ( 'xmlrpc_rsd_apis', 'rest_output_rsd'); remove_action ( 'auth_cookie_malformed', 'rest_cookie_collect_status'); remove_action ( 'auth_cookie_expired', 'rest_cookie_collect_status'); remove_action ( 'auth_cookie_bad_username', 'rest_cookie_collect_status'); remove_action ( 'auth_cookie_bad_hash', 'rest_cookie_collect_status'); remove_action ( 'auth_cookie_valid', 'rest_cookie_collect_status'); remove_filter ( 'rest_authentication_errors', 'rest_cookie_check_errors', 100); // Адключаем падзеі REST API remove_action ( 'init', 'rest_api_init'); remove_action ( 'rest_api_init', 'rest_api_default_filters', 10, 1); remove_action ( 'parse_request', 'rest_api_loaded'); // Адключаем Embeds звязаныя з REST API remove_action ( 'rest_api_init', 'wp_oembed_register_route'); remove_filter ( 'rest_pre_serve_request', '_oembed_rest_pre_serve_request', 10, 4); // Прыбіраны oembed спасылкі ў секцыі head remove_action ( 'wp_head', 'wp_oembed_add_discovery_links'); // Калі збіраецеся выводзіць oembed з іншых сайтаў на сваім, то закомментируйте наступны радок remove_action ( 'wp_head', 'wp_oembed_add_host_js'); // рэдырэкт са старонкі / wp-json / на галоўную add_action ( 'template_redirect', function () {if (preg_match ( '# \ / wp-json \ /.*? #', $ _SERVER [ 'REQUEST_URI'])) {wp_redirect (get_option ( 'siteurl'), 301); die ();}});Код ўстаўляецца ў functions.php або mu-plugin (Пажадана).
Вынік: вы цалкам адключыце механізм wp-json на сайце, у пошуку будуць адсутнічаць смеццевыя старонкі, а старонка http://example.com/wp-json/ будзе аддаваць памылку 404 Not Found
Што такое XML-RPC і як яго адключыць і выдаліць
XML-RPC - гэта пратакол выкліку працэдур, які выкарыстоўвае XML для кадавання паведамленняў і HTTP як транспартны механізм. Прасцей кажучы, гэта API для WordPress, з дапамогай якога можна выдалена кіраваць дадзенымі сайта.
Ці не нагадвае WP JSON REST API? Так і ёсць, xmlprc - яго продак, які выкарыстоўваецца WordPress ў бягучы час. Чаму адзін замяшчаюць іншым - магчыма, адказ крыецца ў грувасткасці фармату XML у параўнанні з JSON. Ды і не асоба гэта важна ў святле бягучай артыкула. Галоўнае - як пазбавіцца ад xmlrpc, ня нашкодзіўшы сайту.
Проста выдаліць файл xmlrpc.php з кораня сайта нельга - ім карыстаюцца некаторыя папулярныя убудовы накшталт JetPack .
Каб вырашыць пытанне дакладна, вы можаце скарыстацца 2 варыянтамі: убудовай або кодам.
Адключаем XML-RPC з дапамогай плагіна Disable XML-RPC Pingback
Калі сайт на WordPress моцна тармозіць, і Вы не разумееце, чаму, раю зазірнуць у логі памылак сервера і вывучыць іх:
[Error] error connect () to unix: /var/www/php-fpm/www.sock failed (11: Resource temporarily unavailable) while connecting to upstream, client: 100.200.300.400, server: example.com, request: " POST /xmlrpc.php HTTP / 1.0 ", upstream:" fastcgi: // unix: /var/www/php-fpm/bitfeed.sock: ", host:" 193.1.65.238 "Звярніце ўвагу на POST /xmlrpc.php. Калі яна прысутнічае і часта з'яўляецца, значыць, сайт атакуюць, і трэба тэрмінова закрываць XML-RPC.
Цалкам XML-RPC адключаць нельга - ім карыстаюцца некаторыя ўбудовы. Але некаторыя метады, якія дазваляюць праводзіць атакі на сайты, папярэдзіць можна. І ў гэтым дапамагае убудова Disable XML-RPC Pingback.
Спампаваць убудова Disable XML-RPC Pingback з афіцыйнага рэпазітара WordPress.org
Убудова WordPress для адключэння небяспечных уласцівасцяў XML-RPC - Disable XML-RPC Pingback
Код ўбудовы таксама складаецца з пары фільтраў і функцый, якія я апішу ў наступным пункце. І, зноў жа, рэкамендую карыстацца гэтым убудовай, так як яго аўтар будзе сачыць за абнаўленнямі.
Код для адключэння і выдалення XML-RPC
Калі вам цікава ўбачыць сам код, адключальны небяспечныя метады XML-RPC, ці проста не хочацца ставіць лішнія убудовы, можаце скарыстацца кодам ніжэй
/ * * Выдаляны небяспечныя метады працы XML-RPC Pingback * * https://sheensay.ru/?p=2044 * / add_filter ( 'xmlrpc_methods', 'sheensay_block_xmlrpc_attacks'); function sheensay_block_xmlrpc_attacks ($ methods) {unset ($ methods [ 'pingback.ping']); unset ($ methods [ 'pingback.extensions.getPingbacks']); return $ methods; } Add_filter ( 'wp_headers', 'sheensay_remove_x_pingback_header'); function sheensay_remove_x_pingback_header ($ headers) {unset ($ headers [ 'X-Pingback']); return $ headers; }Таксама, існуе спосаб цалкам выключыць XML-RPC з дапамогай наступнага фільтра, але не рэкамендую выкарыстоўваць яго, бо ён патрэбны для JetPack і падобных убудоў.
// Не рэкамендую выкарыстоўваць, бо несумяшчальна з убудовай JetPack і падобнымі add_filter ( 'xmlrpc_enabled', '__return_false');Вынік: адключылі небяспечныя метады працы механізму XML-RPC для WordPress
Што такое Emoji і як іх адключыць і выдаліць
З версіі WordPress 4.2 у дыстрыбутыў гэтай CMS быў убудаваны функцыянал Emoji. Эмоджи - гэта набор абразкоў і смайлікаў, рэалізаваныя ў Вордпрессе з дапамогай бібліятэкі Twemoji ад Twitter, і самі па сабе нядрэнныя. Калі ў вас забаўляльны сайт або блог, у якім яны будуць дарэчныя, варта задумацца, выдаляць ці іх з сайта. Але большасці астатніх сайтаў, што не выкарыстоўваюць дадзены функцыянал, варта ліквідаваць яго, так як смайлікі Emoji ў WordPress падгружаюцца з знешніх сервераў WordPress.org, ды і лішні код у head ні да чаго.
Ёсць 2 спосабу адключыць Emoji, асобным убудовай і проста кодам, прычым абодва маюць права на жыццё.
Убудова WordPress для адключэння Emojis - Disable Emojis
Можна абыйсціся простым убудовай Disable Emojis. Не трэба яго баяцца, ён не ўтрымлівае лішніх налад, толькі пару фільтраў, код якіх, па сутнасці, мы і дублюем да сябе ў наступным пункце.
У чым перавага убудоў - іх аўтары, як правіла, сочаць за абнаўленнямі WordPress і ўносяць неабходныя карэктывы ў функцыянал сваіх убудоў, выпускаючы абнаўлення, у адрозненне ад нас з вамі :) Таму, я б рэкамендаваў скарыстацца бягучых варыянтам.
Спампаваць убудова Disable Emojis з афіцыйнага рэпазітара WordPress.org
Убудова WordPress для адключэння Emojis - Disable Emojis
Улічыце, што ўбудова не ўносіць змены ў базу дадзеных, якая з версіі WordPress 4.2 мае фармат кадоўкі utf8mb4, што мае на ўвазе пад сабой магчымасць захоўваць самі знакі emoji ў старонках і запісах незалежна ад наяўнасці або адсутнасці Disable Emojis на сайце. Пры гэтым, смайлікі emoji будуць адлюстроўвацца толькі ў самых сучасных браўзэрах.
Код для адключэння Emoji ў WordPress
Ніжэй прадстаўлены набор фільтраў і хуков (экшн), які зможа адключыць Emoji і пазбавіць ад непатрэбнага хламу ў head. Код цалкам скапіяваны з вышэйпаказанага плагіна, і я настойліва рэкамендую карыстацца менавіта убудовай, бо яго аўтар будзе сачыць за абнаўленнямі, у адрозненне ад мяне :)
/ * * Адключаем emoji * * https://sheensay.ru/?p=2044 * / add_action ( 'init', 'sheensay_disable_emojis'); function sheensay_disable_emojis () {remove_action ( 'wp_head', 'print_emoji_detection_script', 7); remove_action ( 'wp_print_styles', 'print_emoji_styles'); remove_action ( 'admin_print_scripts', 'print_emoji_detection_script'); remove_action ( 'admin_print_styles', 'print_emoji_styles'); remove_filter ( 'the_content_feed', 'wp_staticize_emoji'); remove_filter ( 'comment_text_rss', 'wp_staticize_emoji'); remove_filter ( 'wp_mail', 'wp_staticize_emoji_for_email'); add_filter ( 'tiny_mce_plugins', 'sheensay_disable_emojis_tinymce'); add_filter ( 'wp_resource_hints', 'sheensay_disable_emojis_remove_dns_prefetch', 10, 2); } Function sheensay_disable_emojis_tinymce ($ plugins) {if (is_array ($ plugins)) {return array_diff ($ plugins, array ( 'wpemoji')); } Else {return array (); }} Function sheensay_disable_emojis_remove_dns_prefetch ($ urls, $ relation_type) {if ( 'dns-prefetch' == $ relation_type) {/ ** This filter is documented in wp-includes / formatting.php * / $ emoji_svg_url = apply_filters ( 'emoji_svg_url' , 'https: //sworg/images/core/emoji/2.2.1/svg/'); $ Urls = array_diff ($ urls, array ($ emoji_svg_url)); } Return $ urls; }Код ўстаўляецца ў functions.php або mu-plugin (Пажадана).
Вынік: выдалены выснову javascript-кода падтрымкі emoji у секцыі head. Але тут тое ж самае, што і з убудовай - emoji захоўваць у пастах можна, але адлюстроўвацца яны цяпер будуць не ва ўсіх браўзэрах, а толькі тых, што іх падтрымліваюць (як правіла, у самых сучасных).
/ * * Выдаляны астатнія непатрэбныя meta з head * * https://sheensay.ru/?p=2044 * / // Выдаляны код meta name = "generator" remove_action ( 'wp_head', 'wp_generator'); // Выдаляны link rel = "canonical" // Гэты тэг лепш выводзіць з дапамогай плагіна Yoast SEO або All In One SEO Pack remove_action ( 'wp_head', 'rel_canonical'); // Выдаляны link rel = "shortlink" - кароткую спасылку на бягучую старонку remove_action ( 'wp_head', 'wp_shortlink_wp_head'); // Выдаляны link rel = "EditURI" type = "application / rsd + xml" title = "RSD" // Выкарыстоўваецца для сэрвісу Really Simple Discovery remove_action ( 'wp_head', 'rsd_link'); // Выдаляны link rel = "wlwmanifest" type = "application / wlwmanifest + xml" // Выкарыстоўваецца Windows Live Writer remove_action ( 'wp_head', 'wlwmanifest_link'); // Выдаляны розныя спасылкі link rel // на галоўную старонку remove_action ( 'wp_head', 'index_rel_link'); // на першы запіс remove_action ( 'wp_head', 'start_post_rel_link', 10); // на папярэднюю запіс remove_action ( 'wp_head', 'parent_post_rel_link', 10); // на наступны запіс remove_action ( 'wp_head', 'adjacent_posts_rel_link', 10); // Выдаляны сувязь з бацькоўскай запісам remove_action ( 'wp_head', 'adjacent_posts_rel_link_wp_head', 10); // Выдаляны выснову / feed / remove_action ( 'wp_head', 'feed_links', 2); // Выдаляны выснову / feed / для запісаў, катэгорый, тэгаў і падобнага remove_action ( 'wp_head', 'feed_links_extra', 3); // Выдаляны непатрэбны css плагіна WP-PageNavi remove_action ( 'wp_head', 'pagenavi_css');З нагоды / feed /. Калі вы хочаце дадаткова дадаць рэдырэкт з http://example.com/feed/ на галоўную старонку, можаце дадаць наступны код
/ * * Наладжвальны рэдырэкт са старонкі rss / feed / на галоўную * * https://sheensay.ru/?p=2044 * / add_action ( 'do_feed', 'sheensay_redirect_feed', 1); add_action ( 'do_feed_rdf', 'sheensay_redirect_feed', 1); add_action ( 'do_feed_rss', 'sheensay_redirect_feed', 1); add_action ( 'do_feed_rss2', 'sheensay_redirect_feed', 1); function sheensay_redirect_feed () {wp_redirect (site_url ( '/')); exit; }Калі вы карыстаецеся Feedburner, дадаеце змены ў .htaccess
<IfModule mod_rewrite.c> RewriteEngine on RewriteCond% {REQUEST_URI} ^ /? (Feed. * | Comments. *) [NC] RewriteCond% {HTTP_USER_AGENT}! ^. * (FeedBurner | FeedValidator) [NC] RewriteRule. * Http: //feeds.feedburner.com/sheensay [L, NC, R = 302] </ IfModule>Калі вы карыстаецеся фішкі Апошнія каментары, то WordPress для яго прапіша ў кодзе стылі css з класам .recentcomment, якія даволі складана перабіць сваімі. Каб не бадацца з гэтай праблемай, карыстаемся наступным кодам
/ * * Выдаляны стылі css-класа .recentcomments * * https://sheensay.ru/?p=2044 * / add_action ( 'widgets_init', 'sheensay_remove_recent_comments_style'); function sheensay_remove_recent_comments_style () {global $ wp_widget_factory; remove_action ( 'wp_head', array ($ wp_widget_factory -> widgets [ 'WP_Widget_Recent_Comments'], 'recent_comments_style')); } Далей, пяройдзем да ачыстцы header.php
Калі ў вашай тэме WordPress ёсць header.php, адкрыйце яго ў любы праграме з падсветкай сінтаксісу, напрыклад Notepad ++ або Far Manager .
У секцыі head знайдзіце лішні код і выдаліце яго.
Выдаляем лішні код з head секцыі
Напрыклад, на скрін я вылучыў код:
<Link rel = "profile" href = "http://gmpg.org/xfn/11"> <link rel = "pingback" href = "<? Php bloginfo ( 'pingback_url');?>"> У 1 радку - гэта загаловак, які паказвае на тое, што на старонцы выкарыстоўваецца микроформат XFN . Калі вы яго не выкарыстоўваеце (а гэта, хутчэй за ўсё, так) - выдаляйце.
У 2 радку - гэта спасылка, якая ўказвае, па якім адрасе пакідаць пингбеки. Іх мы не дазваляем пакідаць, таму выдаляем код.
Дарэчы, не забудзьцеся праверыць, адключаныя Ці ёсць у вас пингбеки. Для гэтага, зайдзіце ў адмінку ў Налады - Абмеркаванне (https://example.com/wp-admin/options-discussion.php) і пераканайцеся ў тым, што галачкай ня адзначаны пункт Дазволіць абвесткі з іншых блогаў (паведамлення і зваротныя спасылкі) на новыя артыкулы
Забараніць абвесткі з іншых блогаў (паведамлення і зваротныя спасылкі) на новыя артыкулы
Такім жа метадам можна выдаліць і іншы код, які не адышоў з дапамогай фільтраў, напрыклад
<Link rel = "alternate" type = "application / rss + xml" title = "Стужка" href = "/ feed" /> <link rel = "alternate" type = "application / rss + xml" title = "Стужка каментарыяў "href =" / comments / feed "/> <link rel =" EditURI "type =" application / rsd + xml "title =" RSD "href =" / xmlrpc.php? rsd "/> <link rel =" wlwmanifest "type =" application / wlwmanifest + xml "href =" / wp-includes / wlwmanifest.xml "/>Не забывайце рабіць рэзервовыя копіі змяняных файлаў, каб адкаціць ўсё таму, калі выдалілі лішняга
Па сутнасці, усё, што павінна застацца ў head ў header.php, гэта нешта прыкладна наступнага зместу
<! DOCTYPE html> <html <? Php language_attributes (); ? >> <head> <meta charset = "<? Php bloginfo ( 'charset');?>"> <Meta name = "viewport" content = "width = device-width, initial-scale = 1"> <? php wp_head (); ?> </ Head>Што ня варта выдаляць з загалоўкаў
Некаторыя раяць таксама выдаляць dns-prefetch:
// Выдаляе link rel = 'dns-prefetch' href = '// v0.wordpress.com' remove_action ( 'wp_head', 'wp_resource_hints', 2);Я б не стаў гэтага рабіць, таму што dns-prefetch закліканы паскорыць прагляд са знешніх крыніц, а дакладней, рэсурсаў, якія на іх размяшчаюцца. Па адрасах, названым у dns-prefetch, браўзэр будзе рабіць папярэдні резолв, што на павольным інтэрнэце можа паказаць сябе асабліва добра.
На гэтым чыстка скончаная. Далей пройдземся па дадатковых пунктах налады, якія могуць спатрэбіцца.
Што яшчэ спатрэбіцца пры наладзе WordPress
Далей, спіс саветаў, што трэба выкарыстоўваць яшчэ, каб аптымізаваць працу сайта:
- Аўтаматычная прастаноўка загалоўку Last-Modified
- Настройка кеширующего плагіна WP Super Cache
- EWWW Image Optimizer - убудова для сціску png, jpeg, gif малюнкаў без страты якасці
- Аўтаматычнае прастаўленне атрыбуту alt. выкарыстоўваем SEO Friendly Images . Убудова не абнаўляўся ўжо 2 гады, аднак, да гэтага часу спраўна працуе і карыстаецца папулярнасцю. Я асабіста не лічу гэты пункт крайняй неабходнасцю, так як у кожнага малюнка павінен быць прапісаны унікальны alt, а не узяты той, што ў назве артыкула, але, магчыма, камусьці гэты пункт здасца важным.
- Рэдырэкт з https на http. Лепш, калі рэдырэкт займаецца сервер, а не WordPress, тым самым мы здымаем непатрэбную нагрузку на сістэму.
Змены дадаем у .htaccess у корані сайта, у самы пачатак файла <IfModule mod_rewrite.c> RewriteEngine On RewriteCond% {SERVER_PORT} ^ 443 $ [OR] RewriteCond% {HTTPS} = on RewriteRule ^ (. *) $ Http: // example.com/$1 [R = 301, L] </ IfModule>http://example.com змяняеце на свой.
Ru/?
Ru/?
Ru/?
Ru/?
C> RewriteEngine on RewriteCond% {REQUEST_URI} ^ /?
Ru/?
Org/xfn/11"> <link rel = "pingback" href = "<?
Php bloginfo ( 'pingback_url');?
Php?
