Ασφάλεια WordPress – χωρίς πανικό.

Πώς δέχονται πραγματικά επιθέσεις οι σελίδες WordPress

Σχεδόν κανείς δεν κάθεται μπροστά στη σελίδα σας ψάχνοντας στοχευμένα ένα κενό. Οι επιθέσεις γίνονται αυτόματα: προγράμματα σαρώνουν εκατομμύρια ιστότοπους και δοκιμάζουν γνωστά τρωτά σημεία και συνηθισμένους κωδικούς πρόσβασης. Αυτό σημαίνει αντίστροφα: όποιος κλείνει τα γνωστά κενά και δεν χρησιμοποιεί αδύναμους κωδικούς, βγαίνει από το στόχαστρο.

Οι συχνότερες πύλες εισόδου είναι παρωχημένα plugins και themes, κωδικοί που μαντεύονται εύκολα ή έχουν διαρρεύσει αλλού, και επεκτάσεις από αναξιόπιστες πηγές.

Ενημερώσεις: το σημαντικότερο μέτρο

Όταν γίνεται γνωστό ένα κενό σε ένα plugin, συνήθως μέσα σε λίγες ημέρες κυκλοφορεί μια ενημέρωση – και ακριβώς από τότε οι αυτόματες επιθέσεις ψάχνουν σελίδες που δεν την έχουν ακόμη.

• Τις μικρές ενημερώσεις ασφαλείας του πυρήνα του WordPress τις εγκαθιστά το ίδιο το WordPress. Για τα plugins μπορείτε να ενεργοποιήσετε αυτόματες ενημερώσεις ανά plugin.
• Τις μεγάλες ενημερώσεις (νέα κύρια έκδοση, page builder, κατάστημα) καλύτερα να τις δοκιμάσετε πρώτα. Σε εμάς δημιουργείτε για τον σκοπό αυτό στην Περιοχή πελάτη ένα δοκιμαστικό αντίγραφο του ιστότοπού σας.
• Ένα plugin που δεν έχει λάβει ενημέρωση εδώ και χρόνια, αντικαταστήστε το. Κανείς δεν κλείνει πια τα κενά του.

Προστασία της πρόσβασης

• Μεγάλοι, μοναδικοί κωδικοί πρόσβασης για κάθε λογαριασμό, πιο εύκολα με έναν διαχειριστή κωδικών.
• Σύνδεση δύο παραγόντων για όλους τους διαχειριστές – αρκεί ένα δωρεάν plugin, και μετά ένας κλεμμένος κωδικός από μόνος του δεν αρκεί πια.
• Φειδωλή ανάθεση ρόλων. Όποιος γράφει μόνο άρθρα, δεν χρειάζεται λογαριασμό διαχειριστή.
• Διαγραφή παλιών λογαριασμών, για παράδειγμα του γραφείου που έφτιαξε τη σελίδα πριν από χρόνια.

Επιλέξτε τις επεκτάσεις με προσοχή

Εγκαθιστάτε plugins και themes από τον επίσημο κατάλογο στο wordpress.org ή απευθείας από τον κατασκευαστή. Μακριά από «δωρεάν» αντίγραφα επί πληρωμή επεκτάσεων (συχνά λέγονται «nulled»): είναι ο πιο βολικός δρόμος για να μπει κακόβουλος κώδικας σε έναν ιστότοπο.

Αξίζει μια ματιά πριν από την εγκατάσταση: πότε έγινε η τελευταία ενημέρωση, πόσες εγκαταστάσεις υπάρχουν, απαντά ο προγραμματιστής σε ερωτήσεις; Και ό,τι δεν χρησιμοποιείτε πια, διαγράψτε το – ακόμη και απενεργοποιημένο βρίσκεται στον διακομιστή.

Αντίγραφα ασφαλείας: το σχέδιο Β

Κανένα μέτρο δεν προστατεύει πλήρως. Σε περίπτωση ανάγκης μετράει μια καθαρή κατάσταση από προχθές. Ένα καλό αντίγραφο ασφαλείας βρίσκεται τουλάχιστον μία φορά εκτός του διακομιστή, φτάνει αρκετές ημέρες πίσω και είναι δοκιμασμένο – ένα αντίγραφο που δεν μπορεί να επαναφερθεί, δεν είναι αντίγραφο.

Σε εμάς κάθε χώρος φιλοξενίας αποθηκεύεται καθημερινά, στον διακομιστή και επιπλέον εκτός εγκαταστάσεων. Διατηρούμε 7 ημερήσιες και 4 εβδομαδιαίες καταστάσεις, και μια κατάσταση από αυτές την επαναφέρουμε δωρεάν για εσάς. Πριν από μια μεγαλύτερη ενημέρωση δημιουργείτε επιπλέον μόνοι σας ένα αντίγραφο ασφαλείας στον πίνακα ελέγχου φιλοξενίας.

Τι πρέπει να προσφέρει ο διακομιστής

Ορισμένα πράγματα δεν είναι στο χέρι σας, αλλά του παρόχου: κρυπτογραφημένη σύνδεση (HTTPS), τρέχουσα έκδοση PHP, έγκαιρα εγκατεστημένες ενημερώσεις ασφαλείας του λειτουργικού συστήματος και μια προστασία που μπλοκάρει διευθύνσεις με υπερβολικά πολλές αποτυχημένες προσπάθειες σύνδεσης. Ρωτήστε τον πάροχό σας γι’ αυτά – σε εμάς είναι όλα στάνταρ.

Η σελίδα σας παραβιάστηκε – τι κάνετε τώρα;

1. Μείνετε ψύχραιμοι και μη διαγράψετε τίποτα – χρειάζεστε την κατάσταση για να βρείτε την αιτία.
2. Αλλάξτε όλους τους κωδικούς πρόσβασης: λογαριασμούς WordPress, βάση δεδομένων, FTP, Περιοχή πελάτη.
3. Επαναφέρετε μια κατάσταση από πριν από τη μόλυνση. Γι’ αυτό τα αντίγραφα ασφαλείας φτάνουν αρκετές ημέρες πίσω.
4. Κλείστε το κενό πριν η σελίδα ξαναβγεί online – αλλιώς σε λίγες ώρες θα μολυνθεί ξανά. Συνήθως αυτό σημαίνει: ενημερώστε τα πάντα, αφαιρέστε ύποπτα plugins.

Δεν χρειάζεται να τα κάνετε μόνοι σας. Επικοινωνήστε μαζί μας, θα σας βοηθήσουμε στον καθαρισμό.