Aktualizacje i porządek we wtyczkach
Pierwsze cztery punkty dotyczą oprogramowania. To najczęstsze miejsce, przez które atakujący wchodzą na stronę, bo luki w popularnych dodatkach są publicznie opisywane, a boty skanują sieć w poszukiwaniu stron, które ich jeszcze nie załatały.
- Aktualizuj rdzeń WordPress, motywy i wtyczki regularnie. Najlepiej po sprawdzeniu, czy strona po aktualizacji działa poprawnie, i z możliwością cofnięcia zmiany.
- Usuń wtyczki i motywy, z których nie korzystasz. Wyłączony dodatek nadal leży na serwerze i może zawierać lukę.
- Instaluj dodatki wyłącznie z oficjalnych źródeł i od sprawdzonych autorów. Pobrane z nieoficjalnych stron wersje premium często mają ukryty kod.
- Sprawdzaj, czy wtyczka jest wciąż rozwijana. Dodatek bez aktualizacji od lat to ryzyko, nawet jeśli działa.
O mechanizmie bezpiecznych aktualizacji z porównaniem zrzutu strony przed i po piszemy na stronie aktualizacje WordPress.
Hasła, logowanie i uprawnienia
Kolejne punkty chronią wejście do panelu. Masowe próby logowania na stronę WordPress trwają nieustannie i zwykle są całkowicie niewidoczne dla właściciela.
- Używaj długich, unikalnych haseł dla panelu WordPress, bazy danych, FTP i hostingu. Menedżer haseł rozwiązuje problem pamiętania.
- Włącz dodatkowe uwierzytelnianie dla wszystkich administratorów. Samo hasło to za mało, gdy wycieknie z innego serwisu.
- Ogranicz liczbę prób logowania i blokuj adresy, które próbują zgadywać hasła. Rozważ też zmianę adresu strony logowania, żeby nie był domyślny wp-login.
- Nadawaj minimalne uprawnienia. Autor artykułów nie potrzebuje roli administratora, a konta byłych współpracowników powinny zostać usunięte.
Wszystkie cztery mechanizmy opisujemy jako część zapory na stronie zabezpieczenie WordPressa.
Serwer, certyfikat i konfiguracja
Ostatnia grupa to środowisko, w którym działa strona. Nawet idealnie zaktualizowany WordPress będzie narażony, jeśli serwer jest źle ustawiony.
- Włącz certyfikat SSL i wymuś połączenie szyfrowane na całej stronie. Pilnuj daty ważności, bo wygasły certyfikat wyświetla ostrzeżenie zamiast strony.
- Wyłącz edycję plików z poziomu panelu i ukryj wersję WordPressa. Utrudnia to atak po przejęciu jednego konta.
- Ustaw właściwe uprawnienia plików i zablokuj wykonywanie skryptów PHP w katalogu uploads.
- Wybierz hosting, który izoluje konta od siebie i oferuje aktualne wersje PHP. Współdzielony serwer bez izolacji naraża twoją stronę na błędy sąsiadów.
Kopie zapasowe, skan i monitoring
Żadne zabezpieczenie nie daje stuprocentowej pewności, dlatego ostatnie punkty dotyczą szybkiego wykrycia problemu i powrotu do czystego stanu.
- Wykonuj kopie zapasowe automatycznie i trzymaj je poza serwerem, na którym działa strona. Kopia leżąca obok strony znika razem z nią. Jak to zrobić, opisujemy w poradniku kopia zapasowa WordPress, jak to zrobić i na stronie kopia zapasowa WordPress.
- Regularnie skanuj stronę pod kątem złośliwego kodu w plikach i bazie. Im wcześniej wykryjesz zmianę, tym tańsze czyszczenie.
- Monitoruj dostępność strony i certyfikatu oraz sprawdzaj, czy domena nie trafiła na czarną listę wyszukiwarek lub poczty. Więcej w opisie monitoringu strony internetowej.
- Przetestuj odtwarzanie kopii przynajmniej raz. Kopia, której nie da się przywrócić, nie jest kopią.
Zabezpieczenie strony internetowej bez ręcznej pracy
Lista wygląda krótko, ale jej utrzymanie pochłania czas. Aktualizacje trzeba wgrywać co tydzień, kopie sprawdzać, a skany powtarzać. Jeśli nie chcesz robić tego samodzielnie, możesz przekazać to w ramach abonamentu. Plan Strona kosztuje 390 zł netto miesięcznie, a przy płatności rocznej 195 zł za miesiąc, plan Sklep 990 zł netto miesięcznie, a przy płatności rocznej 495 zł za miesiąc. Do cen dolicza się 23 procent VAT. Zapora, skan, kopie, monitoring i odwirusowanie są w cenie, a szczegóły znajdziesz w cenniku.
Jeśli zaczynasz od zera i chcesz wiedzieć, jak bardzo twoja strona jest dziś narażona, pomoże audyt WordPress z raportem w PDF.
A jeśli podejrzewasz, że zabezpieczenia są już spóźnione, przeczytaj o tym, jak rozpoznać zainfekowaną stronę WordPress.
Najczęstsze błędy przy zabezpieczaniu strony
Wielu właścicieli zabezpiecza stronę raz, po jej uruchomieniu, i uznaje temat za zamknięty. Tymczasem bezpieczeństwo to proces, a nie jednorazowe ustawienie. Poniżej błędy, które widzimy najczęściej.
- Instalowanie kilku wtyczek zabezpieczających naraz. Nakładają się na siebie, spowalniają stronę i bywają źródłem konfliktów, a żadna z nich nie zastępuje aktualizacji.
- Zostawienie konta o nazwie admin z prostym hasłem. To pierwszy login, który sprawdzają automaty atakujące.
- Kopia zapasowa wykonana raz i nigdy nieprzetestowana. W dniu awarii okazuje się, że jest niekompletna albo uszkodzona.
- Brak monitoringu. Strona może być zainfekowana od tygodni, zanim ktokolwiek to zauważy, a każdy dzień pogarsza pozycje w Google.
- Odkładanie aktualizacji ze strachu, że coś się zepsuje. Bezpieczniej jest aktualizować z kopią i możliwością cofnięcia niż zostawić znaną lukę.
Dobrą praktyką jest wpisanie przeglądu tej listy do kalendarza raz na kwartał. Za każdym razem sprawdź, czy przybyło dodatków, kont użytkowników i uprawnień, bo właśnie te zmiany z czasem osłabiają nawet dobrze ustawioną stronę.
Jeśli rozpoznajesz u siebie którykolwiek z tych błędów, zacznij od najtańszego do naprawienia: haseł, usunięcia nieużywanych dodatków i pierwszej kopii zapasowej. Reszta listy to kwestia kilku kolejnych dni, a skutki takiej pracy odczujesz przy pierwszej próbie ataku, której strona nie zauważy.
Sprawdź stan zabezpieczeń swojej strony
Uruchom jednorazowy bezpłatny skan i zobacz, czy w plikach lub bazie nie ma podejrzanego kodu, czy certyfikat jest w porządku i czy strona nie znajduje się na czarnej liście. Potem wybierz plan, który pasuje do twojej strony lub sklepu.