WordPress apsauga – be panikos.

Kaip iš tikrųjų atakuojamos WordPress svetainės

Beveik niekas nesėdi prie Jūsų svetainės ir tikslingai neieško spragos. Atakos vyksta automatiškai: programos apeina milijonus svetainių ir bando žinomas spragas bei populiarius slaptažodžius. Kitaip tariant: kas užtaiso žinomas spragas ir nenaudoja silpnų slaptažodžių, tas iškrenta iš akiračio.

Dažniausi įsilaužimo keliai – pasenę įskiepiai ir temos, atspėjami arba kitur nutekinti slaptažodžiai ir įskiepiai iš nepatikimų šaltinių.

Atnaujinimai: svarbiausia priemonė

Kai įskiepyje aptinkama spraga, atnaujinimas dažniausiai pasirodo per kelias dienas – ir būtent nuo tada automatinės atakos ieško svetainių, kuriose jo dar nėra.

• Nedidelius WordPress branduolio saugumo atnaujinimus WordPress įdiegia pats. Įskiepiams automatinius atnaujinimus galite įjungti kiekvienam atskirai.
• Didelius atnaujinimus (nauja pagrindinė versija, puslapių kūrimo įrankis, el. parduotuvė) geriau pirmiau išbandykite. Pas mus tam Klientų centre sukuriate savo svetainės bandomąją kopiją.
• Įskiepį, kuris jau daug metų nebeatnaujinamas, pakeiskite. Jame niekas nebeužtaiso spragų.

Apsaugokite prieigas

• Ilgi, unikalūs slaptažodžiai kiekvienai paskyrai – paprasčiausia su slaptažodžių tvarkykle.
• Dviejų veiksnių prisijungimas visiems administratoriams – užtenka nemokamo įskiepio, ir tada vien pavogto slaptažodžio nebepakanka.
• Teises suteikite taupiai. Kas tik rašo įrašus, tam nereikia administratoriaus paskyros.
• Ištrinkite senas paskyras, pavyzdžiui, agentūros, kuri prieš daug metų sukūrė svetainę.

Įskiepius rinkitės apgalvotai

Diekite įskiepius ir temas iš oficialaus katalogo wordpress.org arba tiesiai iš gamintojo. Venkite „nemokamų“ mokamų įskiepių kopijų (dažnai vadinamų „nulled“): tai patogiausias kelias kenkėjiškam kodui patekti į svetainę.

Prieš diegiant verta pasidomėti: kada buvo paskutinis atnaujinimas, kiek yra įdiegimų, ar kūrėjas atsako į klausimus? O tai, ko nebenaudojate, ištrinkite – net išjungta ji lieka serveryje.

Atsarginės kopijos: planas B

Jokia priemonė neapsaugo visiškai. Kritiniu atveju svarbiausia – švari užvakarykštė būsena. Gera atsarginė kopija bent kartą saugoma už serverio ribų, siekia kelias dienas atgal ir yra išbandyta – atsarginė kopija, kurios negalima atkurti, nėra atsarginė kopija.

Pas mus kiekviena svetainių talpinimo vieta kasdien kopijuojama – serveryje ir papildomai už pastato ribų. Saugome dienos kopijų: 7, savaitės kopijų: 4, ir bet kurią iš jų Jums atkuriame nemokamai. Prieš didesnį atnaujinimą talpinimo valdymo skydelyje papildomai patys sukurkite atsarginę kopiją.

Ką turi užtikrinti serveris

Kai kas priklauso ne nuo Jūsų, o nuo teikėjo: šifruotas ryšys (HTTPS), dabartinė PHP versija, laiku įdiegti operacinės sistemos saugumo atnaujinimai ir apsauga, blokuojanti adresus po per daug nesėkmingų bandymų prisijungti. Paklauskite apie tai savo teikėjo – pas mus visa tai yra standartas.

Į Jūsų svetainę įsilaužta – ką daryti?

1. Išlikite ramūs ir nieko netrinkite – būseną reikės priežasčiai nustatyti.
2. Pakeiskite visus slaptažodžius: WordPress paskyrų, duomenų bazės, FTP, Klientų centro.
3. Atkurkite būseną, buvusią prieš užkrėtimą. Todėl atsarginės kopijos siekia kelias dienas atgal.
4. Užtaisykite spragą, prieš svetainei vėl pasirodant internete – kitaip per kelias valandas ji vėl bus užkrėsta. Dažniausiai tai reiškia: viską atnaujinti, pašalinti įtartinus įskiepius.

Jums nereikia to daryti vieniems. Kreipkitės į mus, padėsime sutvarkyti.