Zabezpieczanie WordPressa – bez paniki.

Jak naprawdę atakowane są strony na WordPressie

Prawie nikt nie siedzi przed Państwa stroną i celowo nie szuka luki. Ataki przebiegają automatycznie: programy przeczesują miliony stron i sprawdzają znane podatności oraz popularne hasła. To oznacza, że kto łata znane luki i nie używa słabych haseł, wypada z pola widzenia.

Najczęstsze furtki to przestarzałe wtyczki i motywy, łatwe do odgadnięcia lub wykradzione gdzie indziej hasła oraz rozszerzenia z niepewnych źródeł.

Aktualizacje: najważniejszy krok

Gdy w wtyczce zostanie wykryta luka, zwykle w ciągu kilku dni pojawia się aktualizacja – i właśnie od tego momentu automatyczne ataki szukają stron, które jej jeszcze nie mają.

• Drobne aktualizacje bezpieczeństwa rdzenia WordPress instaluje sam. Dla wtyczek można włączyć automatyczne aktualizacje osobno dla każdej z nich.
• Duże aktualizacje (nowa wersja główna, page builder, sklep) lepiej najpierw przetestować. U nas można w tym celu utworzyć w Panelu klienta kopię testową strony.
• Wtyczkę, która od lat nie dostała aktualizacji, warto zastąpić. Nikt już nie łata w niej luk.

Ochrona dostępów

• Długie, unikalne hasła dla każdego konta, najprościej z menedżerem haseł.
• Logowanie dwuskładnikowe dla wszystkich administratorów – wystarczy bezpłatna wtyczka, a potem samo wykradzione hasło już nie wystarcza.
• Oszczędne nadawanie ról. Kto tylko pisze wpisy, nie potrzebuje konta administratora.
• Usuwanie starych kont, np. agencji, która zbudowała stronę przed laty.

Rozważny wybór rozszerzeń

Wtyczki i motywy warto instalować z oficjalnego katalogu na wordpress.org lub bezpośrednio od producenta. Należy unikać „darmowych” kopii płatnych rozszerzeń (często nazywanych „nulled”): to najwygodniejsza droga, którą złośliwy kod trafia na stronę.

Przed instalacją warto sprawdzić: kiedy była ostatnia aktualizacja, ile jest instalacji, czy twórca odpowiada na pytania? A to, czego już się nie używa, lepiej usunąć – nawet wyłączone leży na serwerze.

Kopie zapasowe: plan B

Żaden środek nie chroni w pełni. W razie awarii liczy się czysty stan sprzed dwóch dni. Dobra kopia zapasowa znajduje się co najmniej raz poza serwerem, sięga kilka dni wstecz i jest przetestowana – kopia, której nie da się przywrócić, nie jest kopią.

U nas każda przestrzeń WWW jest codziennie zabezpieczana, na serwerze i dodatkowo poza nim. Przechowujemy 7 kopii dziennych i 4 tygodniowych, a wybraną z nich przywracamy dla Państwa bezpłatnie. Przed większą aktualizacją mogą Państwo dodatkowo samodzielnie utworzyć kopię zapasową w panelu hostingowym.

Co musi zapewnić serwer

Część rzeczy nie zależy od Państwa, lecz od dostawcy: szyfrowane połączenie (HTTPS), aktualna wersja PHP, szybko instalowane aktualizacje bezpieczeństwa systemu operacyjnego i ochrona blokująca adresy ze zbyt wieloma nieudanymi próbami logowania. Warto zapytać o to swojego dostawcę – u nas to wszystko jest standardem.

Państwa strona została zhakowana – co teraz?

1. Zachować spokój i niczego nie usuwać – ten stan jest potrzebny, aby znaleźć przyczynę.
2. Zmienić wszystkie hasła: konta WordPress, bazy danych, FTP, Panelu klienta.
3. Przywrócić stan sprzed infekcji. Dlatego kopie zapasowe sięgają kilka dni wstecz.
4. Załatać lukę, zanim strona wróci do sieci – w przeciwnym razie w ciągu kilku godzin zostanie ponownie zainfekowana. Zwykle oznacza to: zaktualizować wszystko i usunąć podejrzane wtyczki.

Nie muszą Państwo robić tego sami. Prosimy o kontakt – pomożemy w porządkach.