Zabezpečení WordPressu – bez paniky.

Jak jsou weby na WordPressu skutečně napadány

Téměř nikdo nesedí před Vaším webem a cíleně nehledá mezeru. Útoky probíhají automaticky: programy procházejí miliony webů a zkoušejí známé zranitelnosti a běžná hesla. Znamená to i opak: kdo zalepí známé díry a nepoužívá slabá hesla, propadne sítem.

Nejčastějšími vstupními branami jsou zastaralé pluginy a šablony, uhodnutelná nebo jinde uniklá hesla a rozšíření z nedůvěryhodných zdrojů.

Aktualizace: nejdůležitější opatření

Když se v pluginu objeví známá zranitelnost, většinou do několika dnů vyjde aktualizace – a právě od té chvíle automatické útoky hledají weby, které ji ještě nemají.

• Malé bezpečnostní aktualizace jádra WordPressu si WordPress instaluje sám. U pluginů můžete automatické aktualizace zapnout pro každý plugin zvlášť.
• Velké aktualizace (nová hlavní verze, page builder, e-shop) je lepší nejprve vyzkoušet. U nás si k tomu v Zákaznickém portálu vytvoříte testovací kopii svého webu.
• Plugin, který už roky nedostal aktualizaci, nahraďte. Nikdo v něm už díry neopravuje.

Chraňte přístupy

• Dlouhá, jedinečná hesla pro každý účet, nejsnáze pomocí správce hesel.
• Dvoufázové přihlášení pro všechny administrátory – stačí bezplatný plugin a samotné ukradené heslo už pak nestačí.
• Role přidělujte střídmě. Kdo jen píše příspěvky, nepotřebuje administrátorský účet.
• Mažte staré účty, například agentury, která web před lety postavila.

Rozšíření vybírejte s rozmyslem

Pluginy a šablony instalujte z oficiálního adresáře na wordpress.org nebo přímo od výrobce. Ruce pryč od „bezplatných“ kopií placených rozšíření (často označovaných jako „nulled“): jsou nejpohodlnější cestou, jak se do webu dostane škodlivý kód.

Před instalací se vyplatí se podívat: kdy vyšla poslední aktualizace, kolik má instalací, odpovídá vývojář na dotazy? A co už nepoužíváte, smažte – i deaktivované to leží na serveru.

Zálohy: plán B

Žádné opatření nechrání úplně. V krizi rozhoduje čistý stav z předvčerejška. Dobrá záloha leží alespoň jednou mimo server, sahá několik dní zpět a je otestovaná – záloha, kterou nelze obnovit, není záloha.

U nás se každý webhostingový prostor zálohuje denně, na serveru a navíc mimo budovu. Uchováváme denní zálohy (7) a týdenní zálohy (4) a stav z nich Vám obnovíme zdarma. Před větší aktualizací si v hostingovém panelu navíc sami vytvořte zálohu.

Čím musí přispět server

Něco není ve Vašich rukou, ale u poskytovatele: šifrované spojení (HTTPS), aktuální verze PHP, včas instalované bezpečnostní aktualizace operačního systému a ochrana, která zablokuje adresy s příliš mnoha neúspěšnými pokusy o přihlášení. Zeptejte se na to svého poskytovatele – u nás je to všechno standard.

Váš web byl napaden – co teď?

1. Zachovejte klid a nic nemažte – stav potřebujete k nalezení příčiny.
2. Změňte všechna hesla: účty WordPressu, databázi, FTP, Zákaznický portál.
3. Obnovte stav z doby před napadením. Proto zálohy sahají několik dní zpět.
4. Zavřete díru dříve, než web znovu spustíte – jinak bude během několika hodin napaden znovu. Většinou to znamená: vše aktualizovat, odstranit podezřelé pluginy.

Nemusíte na to být sami. Ozvěte se nám, pomůžeme s úklidem.