Sikr WordPress – uden panik.

Sådan bliver WordPress-sider faktisk angrebet

Næsten ingen sidder foran din side og leder målrettet efter et hul. Angreb kører automatisk: Programmer gennemsøger millioner af hjemmesider og afprøver kendte sårbarheder og almindelige adgangskoder. Omvendt betyder det: Den, der lukker de kendte huller og ikke bruger svage adgangskoder, falder uden for søgelyset.

De hyppigste indgange er forældede plugins og temaer, adgangskoder, der kan gættes eller er lækket andre steder, og udvidelser fra upålidelige kilder.

Opdateringer: det vigtigste tiltag

Bliver der kendt et hul i et plugin, kommer der som regel en opdatering inden for få dage – og netop fra da af leder automatiske angreb efter sider, der endnu ikke har den.

• Små sikkerhedsopdateringer af WordPress-kernen installerer WordPress af sig selv. For plugins kan du slå automatiske opdateringer til for hvert plugin.
• Store opdateringer (ny hovedversion, page builder, shop) er det bedre at afprøve først. Hos os opretter du til det en testkopi af din hjemmeside i Kundecenter.
• Et plugin, der ikke har fået en opdatering i årevis, skifter du ud. Der er ingen, der lukker huller i det længere.

Beskyt adgangene

• Lange, unikke adgangskoder til hver konto, nemmest med en adgangskodeadministrator.
• Totrinslogin for alle administratorer – et gratis plugin er nok, og derefter er en stjålet adgangskode alene ikke længere nok.
• Tildel roller sparsomt. Den, der kun skriver indlæg, har ikke brug for en administratorkonto.
• Slet gamle konti, f.eks. fra bureauet, der byggede siden for flere år siden.

Vælg udvidelser med omtanke

Installér plugins og temaer fra det officielle katalog på wordpress.org eller direkte hos producenten. Hold fingrene fra „gratis“ kopier af betalte udvidelser (ofte kaldet „nulled“): De er den nemmeste vej for skadelig kode ind på en hjemmeside.

Det betaler sig at kigge efter før installationen: Hvornår kom den seneste opdatering, hvor mange installationer er der, svarer udvikleren på spørgsmål? Og det, du ikke længere bruger, sletter du – også deaktiveret ligger det på serveren.

Backups: plan B

Intet tiltag beskytter fuldstændigt. Det, der tæller, når det gælder, er en ren version fra i forgårs. En god backup ligger mindst én gang uden for serveren, rækker flere dage tilbage og er testet – en backup, der ikke kan gendannes, er ingen backup.

Hos os tages der dagligt backup af hver webhotel-plads, på serveren og derudover et andet sted. Vi opbevarer 7 daglige og 4 ugentlige versioner, og en version herfra gendanner vi gratis for dig. Før en større opdatering opretter du derudover selv en backup i hostingpanelet.

Hvad serveren skal bidrage med

Noget ligger ikke i dine hænder, men hos udbyderen: en krypteret forbindelse (HTTPS), en aktuel PHP-version, rettidigt installerede sikkerhedsopdateringer af operativsystemet og en beskyttelse, der spærrer adresser med for mange mislykkede loginforsøg. Spørg din udbyder om det – hos os er det hele standard.

Din side er blevet hacket – hvad nu?

1. Bevar roen og slet ikke noget – du har brug for tilstanden for at finde årsagen.
2. Skift alle adgangskoder: WordPress-konti, database, FTP, Kundecenter.
3. Gendan en version fra før angrebet. Derfor rækker backups flere dage tilbage.
4. Luk hullet, før siden går online igen – ellers er den inficeret igen inden for timer. Som regel betyder det: opdatér alt, fjern mistænkelige plugins.

Du behøver ikke klare det alene. Kontakt os, så hjælper vi med oprydningen.