WordPressin suojaaminen – ilman paniikkia.

Miten WordPress-sivustoihin todella hyökätään

Tuskin kukaan istuu sivustonne edessä etsimässä tiettyä aukkoa. Hyökkäykset ovat automaattisia: ohjelmat käyvät läpi miljoonia verkkosivustoja ja kokeilevat tunnettuja haavoittuvuuksia ja yleisiä salasanoja. Toisin sanoen: kun tunnetut aukot on paikattu eikä heikkoja salasanoja käytetä, sivusto putoaa haavista.

Yleisimmät sisäänpääsyreitit ovat vanhentuneet lisäosat ja teemat, arvattavat tai muualla vuotaneet salasanat sekä epäluotettavista lähteistä peräisin olevat laajennukset.

Päivitykset: tärkein toimenpide

Kun lisäosasta löytyy haavoittuvuus, päivitys ilmestyy yleensä muutamassa päivässä – ja juuri siitä hetkestä lähtien automaattiset hyökkäykset etsivät sivustoja, joilla sitä ei vielä ole.

• WordPress asentaa ytimen pienet tietoturvapäivitykset itsestään. Lisäosille voitte kytkeä automaattiset päivitykset päälle lisäosakohtaisesti.
• Suuret päivitykset (uusi pääversio, sivunrakentaja, verkkokauppa) on parempi kokeilla ensin. Meillä luotte sitä varten Asiakaskeskuksessa sivustostanne testikopion.
• Lisäosa, joka ei ole saanut päivitystä vuosiin, kannattaa vaihtaa. Kukaan ei enää paikkaa sen aukkoja.

Tunnusten suojaaminen

• Pitkät, yksilölliset salasanat jokaiselle tilille, helpoimmin salasanojen hallintaohjelmalla.
• Kaksivaiheinen tunnistautuminen kaikille järjestelmänvalvojille – maksuton lisäosa riittää, jonka jälkeen pelkkä varastettu salasana ei enää riitä.
• Roolit säästeliäästi. Joka vain kirjoittaa artikkeleita, ei tarvitse järjestelmänvalvojan tiliä.
• Poistakaa vanhat tilit, esimerkiksi sen toimiston, joka rakensi sivuston vuosia sitten.

Valitkaa laajennukset harkiten

Asentakaa lisäosat ja teemat wordpress.orgin virallisesta hakemistosta tai suoraan valmistajalta. Pysykää erossa maksullisten laajennusten ”ilmaisista” kopioista (usein nimeltään ”nulled”): ne ovat helpoin tapa, jolla haittakoodi päätyy verkkosivustolle.

Ennen asennusta kannattaa vilkaista: milloin tuli viimeisin päivitys, kuinka monta asennusta on, vastaako kehittäjä kysymyksiin? Ja mitä ette enää käytä, poistakaa – myös käytöstä poistettuna se on yhä palvelimella.

Varmuuskopiot: suunnitelma B

Mikään toimenpide ei suojaa täydellisesti. Hätätilanteessa ratkaisee puhdas tila toissapäivältä. Hyvä varmuuskopio on ainakin kerran palvelimen ulkopuolella, ulottuu useiden päivien taakse ja on testattu – varmuuskopio, jota ei voi palauttaa, ei ole varmuuskopio.

Meillä jokainen verkkotila varmuuskopioidaan päivittäin, palvelimelle ja lisäksi toiseen sijaintiin. Säilytämme 7 päivittäistä ja 4 viikoittaista versiota, ja palautamme niistä version puolestanne maksutta. Ennen suurempaa päivitystä voitte lisäksi luoda varmuuskopion itse hallintapaneelissa.

Mitä palvelimen on tarjottava

Kaikki ei ole teidän käsissänne, vaan osa on palveluntarjoajan vastuulla: salattu yhteys (HTTPS), ajantasainen PHP-versio, käyttöjärjestelmän tietoturvapäivitykset viipymättä sekä suojaus, joka estää osoitteet, joilta tulee liikaa epäonnistuneita kirjautumisyrityksiä. Kysykää näistä palveluntarjoajaltanne – meillä tämä kaikki on vakiona.

Sivustoonne murtauduttiin – mitä nyt?

1. Säilyttäkää rauhallisuus älkääkä poistako mitään – tarvitsette tilan syyn selvittämiseen.
2. Vaihtakaa kaikki salasanat: WordPress-tilit, tietokanta, FTP, Asiakaskeskus.
3. Palauttakaa tartuntaa edeltävä versio. Siksi varmuuskopiot ulottuvat useiden päivien taakse.
4. Paikatkaa aukko ennen kuin sivusto palaa verkkoon – muuten se on tunneissa uudelleen saastunut. Yleensä tämä tarkoittaa: päivittäkää kaikki, poistakaa epäilyttävät lisäosat.

Teidän ei tarvitse tehdä tätä yksin. Ottakaa yhteyttä, autamme siivoamisessa.