WP_DEBUG-asetus voi vuotaa arkaluontoista tietoa

17.10.2025 | Artikkeleita, IT, Kotisivut, Nettisivut, Tietoturva, Verkkokauppa, Verkkokehitys, Verkkosivut, Verkkotyökalu, WordPress

WP_DEBUG-asetus voi vuotaa arkaluontoista tietoa

WP_DEBUG-asetus voi vuotaa arkaluontoista tietoaWordPressin WP_DEBUG on asetustiedostossa wp-config.php määritettävä kehitystyökalu, jonka avulla kehittäjät voivat seurata virheitä, varoituksia ja ilmoituksia sivustolla. Kun WP_DEBUG on asetettu arvoon true, se aktivoi WordPressin virheiden ja ilmoitusten tulostuksen sivustolle.

Kehitysvaiheessa tämä ominaisuus on äärimmäisen hyödyllinen. Se auttaa löytämään virheellisiä funktiokutsuja, vanhentuneita toimintoja ja PHP-virheitä. Ongelmana on kuitenkin se, että jos WP_DEBUG jätetään päälle tuotantosivustolla, se voi vuotaa arkaluontoista tietoa ulkopuolisille.

Miten WP_DEBUG toimii

WP_DEBUG otetaan käyttöön lisäämällä tai muokkaamalla seuraava rivi tiedostossa wp-config.php:

Warning: Undefined variable $user in /home/webhotelli/public_html/wp-content/themes/teema/functions.php on line 42

Hyökkääjä saa tästä suoraan selville palvelimen rakenteen, teeman nimen ja sijainnin, jota voidaan hyödyntää haavoittuvuuksien etsimisessä.

2. Tietokantayhteyksien ja istuntojen vuotaminen

Joissain tilanteissa virheilmoitukset voivat paljastaa tietokantahakujen sisältöjä tai istuntoon liittyvää dataa. Tämä voi tarkoittaa käyttäjänimiä, taulujen nimiä tai jopa sähköpostiosoitteita.

3. Plugin- ja teematiedot

Jos lisäosa tai teema aiheuttaa virheen, virheilmoitus voi paljastaa sen tiedostonimen, version ja polun. Tämä tieto auttaa hyökkääjää tunnistamaan, onko käytössä vanhentunut tai haavoittuva lisäosa.

4. PHP:n virheilmoitukset ja server-side-informaatio

WP_DEBUG voi näyttää PHP:n varoituksia ja virheitä, jotka kertovat palvelimen kokoonpanosta, PHP:n versiosta ja käytössä olevista kirjastoista. Tämä tieto on hyödyllinen hyökkäyksen suunnittelussa.

5. WP_DEBUG_LOG ja tiedostovuodot

Jos käytössä on define('WP_DEBUG_LOG', true);, virheet tallennetaan tiedostoon /wp-content/debug.log.
Jos tämä tiedosto on julkisesti luettavissa selaimella (esim. https://sivusto.fi/wp-content/debug.log), kuka tahansa voi nähdä koko virhelokin. Tämä on yleinen ja vaarallinen virhe.

Kuinka WP_DEBUG aiheuttaa vuotoja käytännössä

Monilla sivustoilla kehittäjä aktivoi WP_DEBUGin ongelman selvittämistä varten ja unohtaa kytkeä sen pois. Tämä on tavallinen virhe etenkin silloin, kun useampi henkilö ylläpitää sivustoa.

Usein debug-logit ovat jääneet palvelimelle näkyviin. Hakukoneet voivat indeksoida näitä tiedostoja, ja ne voivat löytyä jopa Google-haulla:

site:example.com "Warning:" "wp-content/debug.log"

Tämä on karu esimerkki siitä, miten helposti arkaluontoiset tiedot voivat joutua vääriin käsiin.

Oikea tapa käyttää WP_DEBUG-asetusta

1. Käytä vain kehitysympäristössä

WP_DEBUG tulisi olla käytössä vain paikallisessa tai suljetussa kehitysympäristössä, ei koskaan tuotantopalvelimella.

Kehityksessä käytetään usein lisäasetuksia:

define('WP_DEBUG', true);
define('WP_DEBUG_LOG', true);
define('WP_DEBUG_DISPLAY', false);
define('SCRIPT_DEBUG', true);

Näin virheet tallentuvat lokiin, mutta niitä ei näytetä selaimessa.

2. Kytke pois päältä tuotannossa

Tuotantosivustolla asetusten tulee olla seuraavat:

define('WP_DEBUG', false);
define('WP_DEBUG_DISPLAY', false);
define('WP_DEBUG_LOG', false);

Tämä estää kaiken virheiden tulostuksen ja piilottaa mahdolliset ilmoitukset julkiselta käyttäjältä.

3. Suojaa debug.log-tiedosto

Jos käytät WP_DEBUG_LOGia, varmista että debug.log ei ole julkisesti luettavissa. Lisää esimerkiksi .htaccess-tiedostoon:

<Files "debug.log">
Require all denied
</Files>

Näin tiedosto on suojattu suoralta selaimelta.

4. Käytä erillisiä valvontatyökaluja

Sen sijaan, että käyttäisit WP_DEBUGia tuotannossa, kannattaa hyödyntää turvallisia virhelokien ja suorituskyvyn seurantatyökaluja kuten:

  • Query Monitor (kehitykseen)

  • New Relic

  • LogRocket

  • WP Activity Log (toimintojen seurantaan)

Nämä tarjoavat tietoa ilman, että paljastavat arkaluontoisia tiedostoja julkisesti.

Tietoturvan parhaat käytännöt WP_DEBUGin suhteen

  1. Älä koskaan jätä WP_DEBUG:ia päälle tuotannossa.

  2. Älä jaa debug-lokeja ilman anonymisointia.

  3. Rajoita tiedostojen pääsyä – vain kehittäjillä tulisi olla pääsy wp-config.php-tiedostoon.

  4. Säännöllinen tarkastus: tarkista, onko debug.log-tiedosto olemassa ja poistettavissa.

  5. Automaattinen skannaus: käytä työkaluja, jotka varoittavat, jos WP_DEBUG on aktiivinen.

  6. Käytä versionhallintaa (Git) erottamaan kehitys- ja tuotantoympäristön asetukset.

  7. Käytä ympäristömuuttujia: aseta WP_DEBUG vain paikallisesti .env-tiedoston kautta.

WP_DEBUG ja tietoturvalokit

Monet tietoturvaskannerit, kuten Wordfence, tarkistavat automaattisesti, onko WP_DEBUG päällä. Ne varoittavat, jos virheiden tulostus on aktiivinen, koska se on suora tietovuotoriski.

Hyökkääjät etsivät jatkuvasti WordPress-sivustoja, joissa WP_DEBUG on päällä, koska virheilmoituksista voi saada palapelin palasia järjestelmästä — käytössä olevista teemoista, poluista ja jopa käyttäjätunnuksista.

WP_DEBUG ja GDPR

Jos debug-logi tallentaa käyttäjien tietoja, kuten sähköpostiosoitteita tai kirjautumisyrityksiä, se voi aiheuttaa GDPR-rikkomuksen. Lokien tulee olla suojattuja, ja niitä ei saa säilyttää tarpeettomasti. Kaikki henkilötietoja sisältävät virhelokit tulisi anonymisoida tai poistaa viipymättä.

Miten tarkistaa, onko WP_DEBUG päällä

Voit tarkistaa tämän nopeasti lisäämällä pienen testirivin wp-config.php-tiedoston loppuun ennen “That’s all, stop editing!” -kommenttia:

if (defined('WP_DEBUG') && WP_DEBUG) {
error_log('VAROITUS: WP_DEBUG on aktiivinen!');
}

Tämä kirjaa ilmoituksen virhelokiin, jos WP_DEBUG on päällä. Jos haluat testata selaimessa, voit myös tulostaa phpinfo() tiedot kehitysympäristössä, mutta älä koskaan tuotannossa.

Yhteenveto

WP_DEBUG on tehokas kehitystyökalu, mutta se voi muuttua tietoturvariskiksi, jos sitä käytetään väärin. Kun virheilmoitukset näkyvät julkisesti tai debug.log on luettavissa selaimen kautta, hyökkääjä saa arvokasta tietoa sivuston rakenteesta.
Paras käytäntö on pitää WP_DEBUG aktiivisena vain kehityksessä, piilottaa lokitiedostot ja tarkistaa säännöllisesti sivuston asetukset. Näin WordPress-sivusto pysyy sekä vakaana että turvallisena.

Samankaltaisia artikkeleita

WordPressin joustavuus

WordPressin joustavuus

WordPress on säilyttänyt asemansa maailman suosituimpana sisällönhallintajärjestelmänä jo yli 20 vuoden ajan. Yritykset eri toimialoilt...

20.11.2025
WordPressin kehityssuunta

WordPressin kehityssuunta

WordPress on ollut verkkokehityksen kulmakivi jo vuosikymmeniä, ja sen rooli on muuttunut dramaattisesti ajan myötä. Alun perin blogi...

20.11.2025
WordPressin ekosysteemi vuonna 2026

WordPressin ekosysteemi vuonna 2026

WordPress on laaja ja kehittyvä ekosysteemi, joka kattaa verkkosivujen, verkkokauppojen, sovellusten, integraatioiden ja tekoälypohjai...

20.11.2025
Verkkokauppa WordPressillä

Verkkokauppa WordPressillä

Tässä oppaassa käymme läpi vaiheet, työkalut ja parhaat käytännöt, jotta voit luoda toimivan ja optimoidun verkkokaupan.

20.11.2025