Securizarea WordPress – fără panică.

Cum sunt atacate cu adevărat site-urile WordPress

Aproape nimeni nu stă în fața site-ului dumneavoastră căutând intenționat o breșă. Atacurile rulează automat: programe care parcurg milioane de site-uri și încearcă vulnerabilități cunoscute și parole uzuale. Asta înseamnă, invers: cine închide breșele cunoscute și nu folosește parole slabe iese din vizor.

Cele mai frecvente porți de intrare sunt pluginurile și temele învechite, parolele ușor de ghicit sau scurse în altă parte și extensiile din surse dubioase.

Actualizările: cea mai importantă măsură

Când se descoperă o breșă într-un plugin, de obicei în câteva zile apare o actualizare – și exact din acel moment atacurile automate caută site-urile care nu o au încă.

• Actualizările mici de securitate ale nucleului WordPress le instalează WordPress singur. Pentru pluginuri puteți activa actualizările automate, plugin cu plugin.
• Actualizările mari (versiune principală nouă, page builder, magazin) e mai bine să le testați întâi. La noi creați pentru aceasta, în Zona client, o copie de test a site-ului.
• Un plugin care nu a mai primit nicio actualizare de ani de zile trebuie înlocuit. Nimeni nu mai închide breșele acolo.

Protejarea acceselor

• Parole lungi și unice pentru fiecare cont, cel mai simplu cu un manager de parole.
• Autentificare în doi pași pentru toți administratorii – un plugin gratuit este suficient, iar apoi o parolă furată nu mai ajunge singură.
• Atribuiți rolurile cu măsură. Cine doar scrie articole nu are nevoie de un cont de administrator.
• Ștergeți conturile vechi, de exemplu pe cel al agenției care a construit site-ul acum câțiva ani.

Alegeți extensiile cu grijă

Instalați pluginuri și teme din directorul oficial de pe wordpress.org sau direct de la producător. Feriți-vă de copiile „gratuite” ale extensiilor plătite (numite adesea „nulled”): sunt calea cea mai comodă prin care codul malițios ajunge într-un site.

Merită o privire înainte de instalare: când a fost ultima actualizare, câte instalări există, răspunde dezvoltatorul la întrebări? Iar ce nu mai folosiți, ștergeți – chiar și dezactivat, rămâne pe server.

Copiile de siguranță: planul B

Nicio măsură nu protejează complet. Ce contează în caz de urgență este o versiune curată de alaltăieri. Un backup bun se află cel puțin o dată în afara serverului, merge cu mai multe zile în urmă și este testat – un backup care nu poate fi restaurat nu este un backup.

La noi, fiecare spațiu web este salvat zilnic, pe server și, în plus, extern. Păstrăm versiuni zilnice: 7 și săptămânale: 4, iar una dintre ele o restaurăm gratuit pentru dumneavoastră. Înaintea unei actualizări mai mari, creați în plus singur un backup în panoul de găzduire.

Ce trebuie să ofere serverul

Unele lucruri nu stau în mâna dumneavoastră, ci a furnizorului: o conexiune criptată (HTTPS), o versiune PHP actuală, actualizări de securitate ale sistemului de operare instalate la timp și o protecție care blochează adresele cu prea multe încercări eșuate de autentificare. Întrebați-vă furnizorul despre acestea – la noi toate sunt standard.

Site-ul dumneavoastră a fost spart – ce faceți acum?

1. Păstrați-vă calmul și nu ștergeți nimic – aveți nevoie de această stare pentru a găsi cauza.
2. Schimbați toate parolele: conturile WordPress, baza de date, FTP, Zona client.
3. Restaurați o versiune de dinaintea infectării. De aceea backupurile merg cu mai multe zile în urmă.
4. Închideți breșa înainte ca site-ul să revină online – altfel, în câteva ore este din nou infectat. De obicei asta înseamnă: actualizați totul, eliminați pluginurile suspecte.

Nu trebuie să faceți asta singur. Contactați-ne, vă ajutăm la curățenie.