Zaščita WordPressa – brez panike.

Kako so strani WordPress v resnici napadene

Skoraj nihče ne sedi pred Vašo stranjo in ciljno išče vrzel. Napadi potekajo samodejno: programi pregledujejo milijone spletnih strani in preizkušajo znane ranljivosti in pogosta gesla. To obratno pomeni: kdor zapre znane vrzeli in ne uporablja šibkih gesel, pade iz rešeta.

Najpogostejša vstopna vrata so zastareli vtičniki in teme, uganljiva ali drugje razkrita gesla in razširitve iz nezanesljivih virov.

Posodobitve: najpomembnejši ukrep

Ko postane v vtičniku znana vrzel, običajno v nekaj dneh izide posodobitev – in prav od takrat samodejni napadi iščejo strani, ki je še nimajo.

• Manjše varnostne posodobitve jedra WordPress WordPress namesti sam. Za vtičnike lahko samodejne posodobitve vklopite za vsak vtičnik posebej.
• Velike posodobitve (nova glavna različica, graditelj strani, trgovina) raje najprej preizkusite. Pri nas za to v Uporabniškem portalu ustvarite testno kopijo svoje spletne strani.
• Vtičnik, ki že leta ni dobil posodobitve, zamenjajte. Tam nihče več ne zapira vrzeli.

Zaščita dostopov

• Dolga, edinstvena gesla za vsak račun, najlaže z upraviteljem gesel.
• Dvostopenjska prijava za vse skrbnike – zadošča brezplačen vtičnik, nato ukradeno geslo samo ne zadostuje več.
• Vloge dodeljujte varčno. Kdor piše le prispevke, ne potrebuje skrbniškega računa.
• Izbrišite stare račune, na primer agencije, ki je stran izdelala pred leti.

Razširitve izbirajte premišljeno

Vtičnike in teme nameščajte iz uradnega imenika na wordpress.org ali neposredno pri proizvajalcu. Roke stran od „brezplačnih“ kopij plačljivih razširitev (pogosto imenovanih „nulled“): so najudobnejša pot, po kateri zlonamerna koda pride na spletno stran.

Pogled pred namestitvijo se splača: kdaj je izšla zadnja posodobitev, koliko je namestitev, ali razvijalec odgovarja na vprašanja? In kar ne uporabljate več, izbrišite – tudi deaktivirano ostane na strežniku.

Varnostne kopije: načrt B

Noben ukrep ne ščiti popolnoma. V nujnem primeru šteje čisto stanje od predvčerajšnjim. Dobra varnostna kopija je vsaj enkrat zunaj strežnika, sega več dni nazaj in je preizkušena – varnostna kopija, ki je ni mogoče obnoviti, ni varnostna kopija.

Pri nas se vsak spletni prostor vsak dan varnostno kopira, na strežniku in dodatno na drugi lokaciji. Hranimo dnevna stanja (7) in tedenska stanja (4), eno od teh stanj pa za Vas brezplačno obnovimo. Pred večjo posodobitvijo v nadzorni plošči gostovanja dodatno sami ustvarite varnostno kopijo.

Kaj mora prispevati strežnik

Nekatere stvari niso v Vaših rokah, temveč pri ponudniku: šifrirana povezava (HTTPS), aktualna različica PHP, pravočasno nameščene varnostne posodobitve operacijskega sistema in zaščita, ki blokira naslove s preveč neuspelimi poskusi prijave. Vprašajte svojega ponudnika o tem – pri nas je vse to standard.

V Vašo stran so vdrli – kaj zdaj?

1. Ostanite mirni in ničesar ne brišite – stanje potrebujete, da najdete vzrok.
2. Spremenite vsa gesla: računi WordPress, podatkovna baza, FTP, Uporabniški portal.
3. Obnovite stanje izpred okužbe. Zato varnostne kopije segajo več dni nazaj.
4. Zaprite vrzel, preden stran znova gre na splet – sicer je v nekaj urah spet okužena. Večinoma to pomeni: vse posodobite, odstranite sumljive vtičnike.

Tega Vam ni treba početi sami. Oglasite se pri nas, pomagamo pri čiščenju.