Jak zabezpieczyć stronę WordPress przed włamaniem
Jak zabezpieczyć stronę WordPress, to pytanie, które najczęściej dostaję dzień po tym, jak już coś się stało. Strona nagle przekierowuje na obcą witrynę, w stopce pojawiają się dziwne linki, a przy wyniku w Google wyświetla się ostrzeżenie. Dobra wiadomość jest taka, że większości takich sytuacji da się uniknąć kilkoma nudnymi nawykami, bez żadnej wiedzy programistycznej.
Skąd się biorą włamania
Rzadko stoi za nimi człowiek, który wziął na cel właśnie Twoją firmę. Zwykle to automat krążący po sieci i szukający jednej z trzech rzeczy: wtyczki z luką, słabego hasła albo starej wersji WordPressa.
Dlatego strona lokalnego warsztatu dostaje podobną liczbę prób logowania co duży portal. Bot nie patrzy, ile masz odwiedzin. Patrzy tylko, czy drzwi są otwarte.
Aktualizacje, czyli najtańsze zabezpieczenie
Gdybym miał odpowiedzieć jednym zdaniem, jak zabezpieczyć stronę WordPress, powiedziałbym: aktualizować. Zdecydowana większość infekcji, które naprawiałem, zaczęła się od wtyczki nietkniętej od kilkunastu miesięcy. Autor dawno załatał błąd, informacja o luce trafiła do publicznej bazy, a bot tylko odpytywał kolejne adresy w poszukiwaniu kogoś, kto aktualizacji nie zrobił.
Aktualizuj rdzeń WordPressa, wtyczki i motyw, najlepiej raz w miesiącu i zawsze po sprawdzeniu, co się zmienia. Jeśli nie chcesz tego pilnować samodzielnie, do tego służy stała opieka techniczna. Usuń też wszystko, czego nie używasz: wyłączona wtyczka wciąż leży na serwerze i wciąż można ją wykorzystać.
Hasła i konta administratorów
Login „admin” i hasło z nazwą firmy to najczęstszy scenariusz, jaki widzę. Zmień nazwę użytkownika na nieoczywistą, ustaw długie hasło z menedżera haseł i włącz logowanie dwuetapowe, które oferuje dziś większość wtyczek bezpieczeństwa.
Przejrzyj też listę kont w panelu. Zdarza się, że po latach wciąż wisi tam konto agencji, stażysty albo firmy, która kiedyś robiła jeden baner. Każde z nich to osobne drzwi. Jeśli ktoś z zespołu tylko dopisuje aktualności, nie potrzebuje uprawnień administratora, bo stronę WordPress da się edytować bez kodu również z niższą rolą.
Kopia zapasowa, do której da się wrócić
Żadne zabezpieczenie nie jest stuprocentowe, więc ostatnią linią obrony zostaje backup. Liczy się to, żeby kopia trafiała poza serwer strony, powstawała automatycznie i była co jakiś czas testowana. Opisałem to szerzej w tekście o tym, jak robić kopię zapasową WordPressa.
Kopia, której nikt nigdy nie przywracał, jest tylko plikiem o dobrej nazwie.
Hosting robi połowę roboty
Na najtańszym współdzielonym serwerze bez skanera i bez zapory potrafi dojść do zakażenia z sąsiedniego konta. Przyzwoity dostawca daje aktualne PHP, izolację kont, certyfikat SSL i codzienne kopie po swojej stronie. Jeśli dopiero wybierasz, przyda Ci się przewodnik po hostingach pod WordPressa.
Warto też raz na jakiś czas zapytać dostawcę, czy Twoje konto ma włączoną zaporę aplikacyjną i jak długo przechowuje kopie zapasowe. To dwa krótkie pytania, a odpowiedź dużo mówi o tym, na czym stoi Twoja strona.
Wtyczki bezpieczeństwa: jedna, nie pięć
W firmowej stronie wystarczy jedna sensowna wtyczka, na przykład Wordfence albo Solid Security. Ustaw w niej limit nieudanych prób logowania, blokadę podejrzanych adresów IP i powiadomienia mailowe o zmianach w plikach. To w praktyce zamyka większość prostych ataków.
Trzy nakładające się wtyczki nie podnoszą poziomu bezpieczeństwa, a potrafią zauważalnie obciążyć serwer. Jeśli po takiej operacji strona zwolniła, można ją z powrotem przyspieszyć, ale prościej od początku nie przesadzać.
Czego nie robić
Nie instaluj motywów ani wtyczek premium z „darmowych” paczek krążących po forach. To najskuteczniejszy znany mi sposób, żeby samemu wpuścić kogoś do swojego panelu. Nie trzymaj na serwerze starych wersji strony w podkatalogach, bo nikt ich nie aktualizuje, a działają jak otwarte okno. I nie przesyłaj danych do panelu mailem ani na czacie.
Co zrobić, gdy jest już po włamaniu
Najpierw zgłoś sprawę hostingowi, bo zwykle widzi logi i potrafi wskazać moment wejścia. Potem zmień wszystkie hasła, przywróć czystą kopię, zaktualizuj całość i dopiero na końcu szukaj przyczyny. Po sprzątnięciu zajrzyj do Search Console, bo zainfekowana strona często wypada z wyników, a to już osobna historia: dlaczego strona nie pojawia się w Google.
Sprzątanie po włamaniu zajmuje zwykle kilka godzin i kosztuje wielokrotnie więcej nerwów niż regularne aktualizacje. Dlatego warto to ustawić raz i o tym zapomnieć.
Podsumowanie
Jak zabezpieczyć stronę WordPress w praktyce? Aktualizować rdzeń, wtyczki i motyw, pilnować haseł oraz listy kont, mieć sprawdzoną kopię zapasową, trzymać stronę na przyzwoitym hostingu i zostawić jedną dobrą wtyczkę bezpieczeństwa. Pięć rzeczy, z których żadna nie jest trudna, a razem odsiewają prawie wszystko, co robią automaty.
Chcesz, żeby ktoś przejrzał Twoją stronę i ustawił to porządnie? Napisz do mnie.