Zabezpečenie WordPressu – bez paniky.

Ako sa na weby na WordPresse naozaj útočí

Takmer nikto nesedí pred Vaším webom a necielene nehľadá dieru. Útoky prebiehajú automaticky: programy prechádzajú milióny webov a skúšajú známe zraniteľnosti a bežné heslá. Naopak to znamená: kto zatvorí známe diery a nepoužíva slabé heslá, vypadne z hľadáčika.

Najčastejšie vstupné brány sú zastarané pluginy a témy, ľahko uhádnuteľné alebo inde uniknuté heslá a rozšírenia z nedôveryhodných zdrojov.

Aktualizácie: najdôležitejšie opatrenie

Keď sa v plugine objaví známa diera, zvyčajne do niekoľkých dní vyjde aktualizácia – a práve odvtedy automatické útoky hľadajú weby, ktoré ju ešte nemajú.

• Malé bezpečnostné aktualizácie jadra WordPressu si WordPress nainštaluje sám. Pre pluginy môžete zapnúť automatické aktualizácie pri každom plugine zvlášť.
• Veľké aktualizácie (nová hlavná verzia, page builder, e-shop) radšej najprv vyskúšajte. U nás si na to v Zákazníckom portáli vytvoríte testovaciu kópiu svojho webu.
• Plugin, ktorý už roky nedostal aktualizáciu, nahraďte. Diery v ňom už nikto neopravuje.

Chráňte prístupy

• Dlhé, jedinečné heslá pre každý účet, najjednoduchšie so správcom hesiel.
• Dvojfaktorové prihlásenie pre všetkých administrátorov – stačí bezplatný plugin, potom už samotné ukradnuté heslo nestačí.
• Roly prideľujte striedmo. Kto len píše príspevky, nepotrebuje administrátorský účet.
• Staré účty zmažte, napríklad od agentúry, ktorá web pred rokmi vytvorila.

Rozšírenia vyberajte s rozvahou

Pluginy a témy inštalujte z oficiálneho adresára na wordpress.org alebo priamo od výrobcu. Ruky preč od „bezplatných“ kópií platených rozšírení (často nazývaných „nulled“): sú najpohodlnejšou cestou, ktorou sa do webu dostane škodlivý kód.

Pred inštaláciou sa oplatí pozrieť: kedy vyšla posledná aktualizácia, koľko je inštalácií, odpovedá vývojár na otázky? A čo už nepoužívate, zmažte – aj deaktivované to zostáva na serveri.

Zálohy: plán B

Žiadne opatrenie nechráni úplne. V prípade núdze rozhoduje čistý stav spred dvoch dní. Dobrá záloha je aspoň raz uložená mimo servera, siaha niekoľko dní dozadu a je otestovaná – záloha, ktorú nemožno obnoviť, nie je záloha.

U nás sa každý webhostingový priestor zálohuje denne, na serveri a navyše mimo neho. Uchovávame 7 denných a 4 týždenných stavov a stav z nich Vám zadarmo obnovíme. Pred väčšou aktualizáciou si navyše sami vytvoríte zálohu v hostingovom paneli.

Čo musí prispieť server

Niečo nie je vo Vašich rukách, ale u poskytovateľa: šifrované spojenie (HTTPS), aktuálna verzia PHP, včas nainštalované bezpečnostné aktualizácie operačného systému a ochrana, ktorá zablokuje adresy s príliš veľa neúspešnými pokusmi o prihlásenie. Opýtajte sa na to svojho poskytovateľa – u nás je to všetko štandard.

Váš web bol napadnutý – čo teraz?

1. Zachovajte pokoj a nič nemažte – stav potrebujete na nájdenie príčiny.
2. Zmeňte všetky heslá: účty WordPress, databázu, FTP, Zákaznícky portál.
3. Obnovte stav spred napadnutia. Preto zálohy siahajú niekoľko dní dozadu.
4. Zatvorte dieru skôr, ako web znova pôjde online – inak bude o pár hodín znova napadnutý. Väčšinou to znamená: všetko aktualizovať, odstrániť podozrivé pluginy.

Nemusíte to robiť sami. Ozvite sa nám, pomôžeme s upratovaním.