1. Aktualizacje oprogramowania i wtyczek
Jednym z kluczowych elementów bezpieczeństwa stron opartych na WordPressie jest regularne aktualizowanie oprogramowania – zarówno samego systemu, jak też wtyczek, które są używane na stronie. Aktualizacje zawierają często poprawki bezpieczeństwa, które chronią witrynę przed potencjalnymi zagrożeniami.
Dbanie o to, by system był aktualny to w zasadzie konieczność, a biorąc pod uwagę ilość i częstotliwość aktualizacji – jest to codzienna, czasem żmudna i wymagająca pewnego przygotowania praca. Możesz zajmować się tym samodzielnie, powierzyć to zaufanemu pracownikowi albo zlecić na zewnątrz. Jest wiele firm wyspecjalizowanych w obsłudze stron opartych na WP. Również nasza firma świadczy taką usługę (Ochrona Pro).
2. Sprawdzone dodatki
O sile WordPressa decydują dodatki: olbrzymi ekosystem rozszerzeń, pluginów i motywów oraz łatwość ich instalacji. Warto jednak pamiętać, że rozszerzenia z niepewnych źródeł (np. spoza oficjalnego repozytorium WP), źle napisane, stworzone przez niedoświadczonych programistów mogą stanowić duże zagrożenie. Jest to tym bardziej istotne, że pluginy do WP mają w zasadzie nieograniczony dostęp do całego systemu i luka w zabezpieczeniach wtyczki (albo świadome działanie jej autora) może spowodować przejęcie całej strony, łącznie z wyciekiem wrażliwych danych.
Jeśli nie znasz producenta wtyczki lub motywu kieruj się zasadą: instalujemy tylko te wtyczki, które mają kilka tysięcy pobrań i wysokie oceny społeczności WP.
3. Kopie bezpieczeństwa
Wykonuj regularne kopie bezpieczeństwa. W razie udanego włamania z łatwością przywrócisz stan witryny sprzed ataku. Jeśli nie ma kopii bezpieczeństwa, naprawa i odtwarzanie strony stają się czasochłonnym i drogim procesem. Najlepiej zadbać o to, by kopie bezpieczeństwa były wykonywane regularnie (idealne byłyby kopie wykonywane codziennie). Taką funkcjonalność może oferować Twój hosting (sprawdź – możesz mieć dostęp do kopii nawet z ostatnich 14 dni). Do wykonywania kopii służą też wyspecjalizowane wtyczki, które w wersji premium oferują automatyzację procesu. Wykonywanie kopii możesz też powierzyć zewnętrznym podmiotom – przykładem mogą być nasze pakiety Ochrony Q+, gdzie codzienna kopia z możliwością odtworzenia stanu witryny sprzed 90 dni zaczyna się już od 29 złotych miesięcznie (z dodatkową ochroną antywirusową! – sprawdź ceny i opcje).
4. Zmiana strony logowania i ukrycie instalacji WP
Domyślny dostęp do strony logowania WordPressa można uzyskać dodając „/wp-admin” lub „/wp-login.php” na końcu adresu URL. Dla hakerów to cenna informacja, gdzie rozpocząć próby włamania się do Twojej witryny. Zmień to! Zablokuj dostęp do „wp-admina” i zmień logowanie na niestandardowe. Najprostszą metodą jest wykorzystanie odpowiedniej wtyczki, takiej jak WPS Hide Login.
Zauważ, że jeżeli zmienisz stronę logowania na niestandardową, to nawet jeśli podasz ją w menu (w końcu chcesz, aby Twoi normalni użytkownicy mogli się zalogować), automatyczne skrypty wyszukujące domyślne strony logowania będą bezradne.
5. Niestandardowa nazwa administratora i silne hasła
Czasy, w których każdy admin WP miał po prostu nazwę „admin” na szczęście już dawno minęły. Dziś, instalując WordPressa, masz możliwość ustawienia niestandardowej nazwy użytkownika. Odradzamy nie tylko używanie słowa „admin”, ale też podawanie własnego imienia, bądź nazwy zbyt łatwo kojarzącej się z Toną lub Twoją firmą.
Niezwykle istotne jest utworzenie silnego hasła, trudnego do złamania metodą brute-force (kiedy system „brutalnie” testuje różne warianty haseł). Dziś sam WP podpowiada Ci, czy Twoje hasło jest wystarczająco silne. Jeżeli chcesz jeszcze bardziej poprawić bezpieczeństwo swojej strony, rozważ uwierzytelnianie dwuskładnikowe (2FA).
6. Wtyczki zabezpieczające
W przypadku stron zyskujących popularność w sieci instalacja wtyczki bezpieczeństwa to w zasadzie konieczność. Warto jednak o to zadbać już od początku istnienia strony. Dobra wtyczka bezpieczeństwa stanowi nie tylko zaporę przed atakami (firewall), ale również zapewnia regularne skanowanie plików strony pod kątem wirusów i złośliwego kodu. Należy korzystać tylko ze sprawdzonych wtyczek, których listę publikujemy w innym wpisie. Na początek wystarczy darmowa wersja (większość wtyczek bezpieczeństwa taką posiada), jednak warto pamiętać, że tylko wersje płatne zapewniają realną ochronę przed najnowszymi zagrożeniami – wersje darmowe zawierają sygnatury wirusów sprzed 30 i więcej dni, co w dzisiejszym internecie stanowi całą epokę. Prawdziwe zagrożenia to te, które pojawiły się wczoraj lub dziś. Przykładowo: rozwiązanie Malcare, na którym bazuje Ochrona Q+, oferuje ochronę w trybie rzeczywistym!
7. Certyfikat SSL i wyłączenie XML-RPC
Certyfikat SSL to już nie tylko standard, ale wręcz konieczność strony internetowych (zwłaszcza odkąd Google zaczął „spychać” strony bez szyfrowania na dół listy wyszukiwania). Technologia SSL ustanawia szyfrowane połączenie między serwerem WWW (hostem), a przeglądarką internetową (klientem). Dodając certyfikat SSL, możesz mieć pewność, że wszystkie dane przesyłane między użytkownikiem, a Twoją stroną pozostaną prywatne i wewnętrzne.
Z kolei protokół XML-RPC, który WordPress wykorzystuje w celu rozszerzenia funkcjonalności na klientów oprogramowania, umożliwia uruchamianie poleceń, a zwracane dane są sformatowane w formacie XML. Większość użytkowników nie potrzebuje funkcjonalności WordPress XML-RPC i jest to jedna z najczęstszych luk, które otwierają użytkowników na exploity. Dlatego dobrze jest go wyłączyć.
8. Zabezpieczenie wrażliwych plików
Plik wp-config.php to należący do WordPressa plik konfiguracyjny, który zawiera bardzo poufne informacje o instalacji WordPress, w tym klucze bezpieczeństwa WordPress i szczegóły połączenia z bazą danych WordPress, dlatego musisz zadbać o jego bezpieczeństwo. Możesz znacznie wzmocnić swoją witrynę chroniąc plik wp-config.php za pomocą pliku .htaccess. Jeżeli nie wiesz jak to zrobić, możesz tę operację powierzyć firmie zewnętrznej. Również my świadczmy usługę wstępnego zabezpieczenia całej witryny, którą w branży zabezpieczeń określa się mianem „hardeningu”.
9. Korzystanie z konta autora/redaktora
Jest to jedna z najczęściej omijanych wskazówek bezpieczeństwa, ponieważ wydaje się niewygodna w codziennym administrowaniu stroną, jednak gorąco ją polecamy: wszędzie tam, gdzie to możliwe, używaj konta o mniejszych uprawnieniach niż konto administratora. WP ma wbudowanych kilka ról i warto z tego korzystać: daj swoim pracownikom konta o roli „Autor” (dla piszących aktualności) lub „Redaktor” (dla tych, którzy redagują więcej treści na stronie). Konto administratora zachowaj dla siebie i/lub zaufanego pracownika, któremu powierzasz administrowanie całą stroną.
10. Zadbaj o… swoich ludzi
W przypadku zmiany współpracowników zajmujących się administrowaniem stroną należy bezwzględnie zmienić konta i hasła administracyjne nie tylko na naszej stronie, ale również w zakresie dostępu do serwera (FTP oraz panelu zarządzania serwerem) oraz bazy danych. Warto pamiętać, że rozżalony pracownik, który ma dostęp do wrażliwych danych, a którego chcemy zwolnić, stanowi największe zagrożenie dla bezpieczeństwa naszego systemu. Zagrożenie stanowią też pracownicy, którzy lekceważą zasady bezpieczeństwa albo nie mają żadnej wiedzy na temat technik włamań do systemów. Nieprzypadkowo „najsłynniejszy haker świata” – Kevin Mitnick – mówił: „łamałem ludzi, a nie hasła”.
