Защита на WordPress – без паника.

Как реално се атакуват сайтове на WordPress

Почти никой не седи пред Вашия сайт, търсейки целенасочено пробив. Атаките протичат автоматично: програми обхождат милиони уебсайтове и изпробват известни уязвимости и често срещани пароли. Това означава обратно: който затваря известните пробиви и не използва слаби пароли, отпада от прицела.

Най-честите входни врати са остарели плъгини и теми, лесни за отгатване или изтекли другаде пароли и разширения от несериозни източници.

Актуализации: най-важната мярка

Когато в даден плъгин стане известна уязвимост, обикновено в рамките на дни излиза актуализация – и точно от този момент автоматичните атаки търсят сайтове, които още нямат актуализацията.

• Малките актуализации за сигурност на ядрото на WordPress се инсталират от самия WordPress. За плъгините можете да включите автоматични актуализации за всеки плъгин поотделно.
• Големите актуализации (нова основна версия, page builder, магазин) е по-добре първо да изпробвате. При нас за целта създавате в Клиентския център тестово копие на уебсайта си.
• Плъгин, който от години не е получавал актуализация, заменете. Там вече никой не затваря пробиви.

Защита на достъпите

• Дълги, уникални пароли за всеки акаунт – най-лесно с мениджър на пароли.
• Двуфакторно влизане за всички администратори – достатъчен е безплатен плъгин и след това откраднатата парола сама по себе си вече не стига.
• Пестеливо разпределяне на ролите. Който само пише публикации, не се нуждае от администраторски акаунт.
• Изтриване на стари акаунти, например на агенцията, която е изградила сайта преди години.

Избирайте разширенията внимателно

Инсталирайте плъгини и теми от официалната директория на wordpress.org или директно от производителя. Стойте далеч от „безплатни“ копия на платени разширения (често наричани „nulled“): те са най-удобният път, по който зловреден код попада в уебсайт.

Един поглед преди инсталацията си струва: кога е последната актуализация, колко инсталации има, отговаря ли разработчикът на въпроси? А това, което вече не използвате, изтрийте – дори деактивирано, то стои на сървъра.

Резервни копия: план Б

Никоя мярка не защитава напълно. При авария важи чисто състояние от онзи ден. Доброто резервно копие се намира поне веднъж извън сървъра, връща се няколко дни назад и е тествано – резервно копие, което не може да бъде възстановено, не е резервно копие.

При нас всяко уеб пространство се архивира ежедневно – на сървъра и допълнително на друго място. Съхраняваме дневни състояния: 7 и седмични състояния: 4, а възстановяването на състояние от тях правим безплатно за Вас. Преди по-голяма актуализация допълнително създавате сами резервно копие в хостинг панела.

Какво трябва да допринесе сървърът

Някои неща не са във Вашите ръце, а при доставчика: криптирана връзка (HTTPS), актуална версия на PHP, своевременно инсталирани актуализации за сигурност на операционната система и защита, която блокира адреси с твърде много неуспешни опити за влизане. Попитайте доставчика си за това – при нас всичко това е стандарт.

Сайтът Ви е хакнат – какво сега?

1. Запазете спокойствие и не изтривайте нищо – нуждаете се от състоянието, за да откриете причината.
2. Сменете всички пароли: акаунти в WordPress, база данни, FTP, Клиентски център.
3. Възстановете състояние отпреди заразяването. Затова резервните копия се връщат няколко дни назад.
4. Затворете пробива, преди сайтът да е отново онлайн – иначе за часове ще бъде заразен отново. Обикновено това означава: актуализирайте всичко, премахнете подозрителните плъгини.

Не е нужно да го правите сами. Свържете се с нас – ще помогнем при почистването.