Divulgación: soy un desarrollador y no un experto en seguridad
Estoy trabajando en un sitio de Wordpress para un cliente que está (comprensiblemente) preocupado por la seguridad de WP. El cliente alojará el sitio en su propia infraestructura y su departamento de TI que administra sus servidores me está pidiendo que configure SFTP. Esto surgió cuando le di la propiedad al servidor web (www-data) sobre los archivos del sitio WP.
Una de las cosas que me hicieron cuestionar el beneficio de SFTP fue darse cuenta de que almacena las credenciales de SFTP y los detalles clave en el archivo WP-config.php.
La preocupación aquí, en mi opinión, era que si se explotaba una vulnerabilidad y el pirata informático lograba comprometer la instalación de WP, podían obtener estas credenciales de SFTP con una sola línea de código ( file_get_contents (ABSPATH . "wp-config.php"); )
Entonces, mi pregunta es: si el servidor en sí no tiene acceso a FTP externo debido a sus firewalls, ¿cuál es el beneficio de SFTP sobre FTP? He leído numerosos problemas de pesadilla con la depuración de errores de SFTP con Wordpress, por lo que me resisto a hacerlo.