Zaštita WordPressa – bez panike.

Kako se WordPress stranice stvarno napadaju

Gotovo nitko ne sjedi ispred Vaše stranice i ciljano traži propust. Napadi teku automatski: programi obilaze milijune web stranica i isprobavaju poznate ranjivosti i uobičajene lozinke. To obrnuto znači: tko zatvori poznate propuste i ne koristi slabe lozinke, ispada iz rešetke.

Najčešća ulazna vrata su zastarjeli dodaci i teme, lozinke koje se mogu pogoditi ili su negdje drugdje procurile te proširenja iz nepouzdanih izvora.

Ažuriranja: najvažnija mjera

Kad se u nekom dodatku otkrije propust, ažuriranje se najčešće pojavi u roku od nekoliko dana – i upravo od tada automatski napadi traže stranice koje ga još nemaju.

• Male sigurnosne nadogradnje jezgre WordPressa WordPress instalira sam. Za dodatke možete uključiti automatska ažuriranja za svaki dodatak posebno.
• Velika ažuriranja (nova glavna verzija, page builder, trgovina) bolje je prvo isprobati. Kod nas za to u Korisničkom centru izradite testnu kopiju svoje web stranice.
• Dodatak koji godinama nije dobio ažuriranje zamijenite. Tamo više nitko ne zatvara propuste.

Zaštita pristupa

• Duge, jedinstvene lozinke za svaki račun, najjednostavnije s upraviteljem lozinki.
• Prijava u dva koraka za sve administratore – dovoljan je besplatan dodatak, nakon čega sama ukradena lozinka više nije dovoljna.
• Uloge dodjeljujte štedljivo. Tko samo piše objave, ne treba administratorski račun.
• Izbrišite stare račune, primjerice agencije koja je izradila stranicu prije mnogo godina.

Pažljivo birajte proširenja

Instalirajte dodatke i teme iz službenog direktorija na wordpress.org ili izravno od proizvođača. Klonite se „besplatnih“ kopija plaćenih proširenja (često zvanih „nulled“): one su najudobniji put kojim zlonamjerni kod dospijeva u web stranicu.

Isplati se pogledati prije instalacije: kada je bilo posljednje ažuriranje, koliko ima instalacija, odgovara li razvojni programer na pitanja? A ono što više ne koristite, izbrišite – i deaktivirano ostaje na poslužitelju.

Sigurnosne kopije: plan B

Nijedna mjera ne štiti potpuno. U hitnom slučaju važno je čisto stanje od prekjučer. Dobra sigurnosna kopija nalazi se barem jednom izvan poslužitelja, seže nekoliko dana unatrag i provjerena je – sigurnosna kopija koja se ne može vratiti nije sigurnosna kopija.

Kod nas se za svaki web prostor svaki dan izrađuje sigurnosna kopija, na poslužitelju i dodatno na drugoj lokaciji. Čuvamo dnevna stanja (7) i tjedna stanja (4), a jedno od tih stanja besplatno Vam vraćamo. Prije većeg ažuriranja dodatno sami izradite sigurnosnu kopiju u upravljačkoj ploči hostinga.

Što poslužitelj mora pridonijeti

Ponešto nije u Vašim rukama, nego kod pružatelja: šifrirana veza (HTTPS), aktualna PHP verzija, pravodobno instalirana sigurnosna ažuriranja operacijskog sustava i zaštita koja blokira adrese s previše neuspjelih pokušaja prijave. Pitajte svog pružatelja o tome – kod nas je sve to standard.

Vaša je stranica hakirana – što sada?

1. Ostanite smireni i ništa ne brišite – stanje Vam je potrebno da biste pronašli uzrok.
2. Promijenite sve lozinke: WordPress račune, bazu podataka, FTP, Korisnički centar.
3. Vratite stanje od prije napada. Zato sigurnosne kopije sežu nekoliko dana unatrag.
4. Zatvorite propust prije nego što stranica ponovno bude online – inače će za nekoliko sati ponovno biti zaražena. Najčešće to znači: sve ažurirati, ukloniti sumnjive dodatke.

Ne morate to raditi sami. Javite nam se, pomoći ćemo pri čišćenju.