WordPress napędza ogromną liczbę stron internetowych od prostych witryn firmowych po rozbudowane sklepy internetowe. Jego popularność ma jednak również drugą stronę: strony oparte na WordPressie są regularnie skanowane przez automatyczne boty poszukujące nieaktualnych wtyczek, słabych haseł i błędów konfiguracji.
Nie oznacza to, że WordPress jest systemem niebezpiecznym. W większości przypadków problemy zaczynają się nie od samego WordPressa, lecz od sposobu jego utrzymania.
Bezpieczeństwo strony internetowej nie polega też na zainstalowaniu jednej „wtyczki security”. To proces obejmujący aktualizacje, kopie zapasowe, kontrolę dostępu, hosting, monitoring oraz ograniczanie liczby potencjalnych punktów wejścia.
Poniżej pokazujemy, na co warto zwrócić uwagę, jeżeli WordPress jest ważnym elementem działalności firmy.
1. Regularnie aktualizuj WordPressa, wtyczki i motyw
Jednym z najważniejszych elementów bezpieczeństwa WordPressa są aktualizacje.
Dotyczy to przede wszystkim:
- rdzenia WordPressa,
- aktywnego motywu,
- wtyczek,
- wersji PHP,
- dodatkowych bibliotek wykorzystywanych przez stronę.
Wykryte podatności w popularnych rozszerzeniach bardzo szybko zaczynają być wykorzystywane przez automatyczne skanery. Atakujący nie musi więc znać Twojej firmy ani nawet wcześniej odwiedzić strony.
Bot może po prostu sprawdzać tysiące domen i szukać instalacji korzystających z podatnej wersji konkretnej wtyczki.
Czy włączyć wszystkie automatyczne aktualizacje?
Nie zawsze.
W przypadku małej strony wizytówkowej automatyczne aktualizacje często mają sens. Przy sklepie WooCommerce, systemie rezerwacji albo stronie wykorzystującej indywidualne integracje warto zachować większą ostrożność.
Po większych aktualizacjach dobrze sprawdzić przynajmniej:
- formularze,
- koszyk i zamówienia,
- płatności,
- logowanie użytkowników,
- najważniejsze podstrony,
- integracje z zewnętrznymi systemami.
Aktualizacja poprawiająca bezpieczeństwo nie powinna jednocześnie powodować awarii kluczowego procesu biznesowego.
2. Ogranicz liczbę wtyczek
Każda dodatkowa wtyczka to kolejny fragment kodu działający na stronie.
Nie oznacza to, że duża liczba wtyczek automatycznie powoduje infekcję. Problem pojawia się wtedy, gdy instalacja przez lata gromadzi rozszerzenia, które:
- nie są już używane,
- od dawna nie są rozwijane,
- dublują funkcjonalność innych wtyczek,
- pochodzą z niepewnego źródła,
- zostały zainstalowane tylko „na próbę”.
Dobra zasada jest prosta:
jeżeli wtyczka nie jest potrzebna, najlepiej ją usunąć.
Samo jej wyłączenie nie zawsze rozwiązuje problem. Pliki nadal znajdują się na serwerze.
Warto raz na jakiś czas zrobić przegląd instalacji WordPressa i odpowiedzieć na pytanie:
Czy wiem, do czego służy każda zainstalowana wtyczka?
Jeżeli odpowiedź brzmi „nie”, jest to dobry moment na porządki.
3. Zabezpiecz konta administratorów
Bardzo często największą słabością strony nie jest kod, lecz sposób logowania.
Podstawą powinny być:
- unikalne hasło,
- odpowiednia długość hasła,
- brak współdzielenia jednego konta pomiędzy kilka osób,
- ograniczona liczba administratorów,
- usuwanie nieaktywnych użytkowników,
- uwierzytelnianie dwuskładnikowe.
Administrator WordPressa ma bardzo szerokie uprawnienia. Przejęcie takiego konta może pozwolić między innymi na instalację wtyczki, modyfikację szablonu lub dodanie kolejnego użytkownika.
Dlatego warto również okresowo sprawdzać listę kont administratorów.
W instalacji utrzymywanej od wielu lat można czasem znaleźć konta pracowników, wykonawców lub agencji, które dawno nie powinny już mieć dostępu do strony.
4. Nie używaj jednego hasła wszędzie
Bezpieczeństwo WordPressa nie kończy się na panelu administracyjnym.
Dostęp do strony może być możliwy również przez:
- panel hostingu,
- FTP lub SFTP,
- SSH,
- bazę danych,
- konto domeny,
- pocztę administratora.
Jeżeli jedno hasło jest wykorzystywane w kilku miejscach, wyciek danych z jednego systemu może otworzyć dostęp do pozostałych.
Dobrze stosować menedżer haseł i generować osobne, losowe hasło dla każdej usługi.
5. Rób kopie zapasowe ale sprawdzaj, czy można je odtworzyć
Backup jest jednym z podstawowych zabezpieczeń strony, ale samo stwierdzenie „mamy backup” niewiele jeszcze mówi.
Warto wiedzieć:
- jak często wykonywana jest kopia,
- ile wersji jest przechowywanych,
- czy obejmuje pliki i bazę danych,
- gdzie znajduje się backup,
- jak długo przechowywane są kopie,
- czy można szybko przywrócić stronę.
To szczególnie ważne przy infekcji.
Jeżeli kopie przechowywane są przez kilka dni, a problem został wykryty po kilku tygodniach, wszystkie dostępne backupy mogą już zawierać złośliwy kod.
Dlatego kopia zapasowa powinna być elementem strategii bezpieczeństwa, a nie jedynym zabezpieczeniem.
6. Zadbaj o dobry hosting
Hosting ma duży wpływ na bezpieczeństwo WordPressa.
Znaczenie mają między innymi:
- aktualne wersje PHP,
- konfiguracja serwera,
- izolacja kont,
- poprawne uprawnienia plików,
- certyfikat SSL,
- kopie zapasowe,
- możliwość korzystania z SSH,
- logi serwera,
- mechanizmy firewall.
W przypadku większej liczby stron warto szczególnie zwrócić uwagę na izolację instalacji.
Jeżeli kilkanaście stron działa na jednym koncie i jedna z nich zostanie przejęta, źle skonfigurowane środowisko może zwiększyć ryzyko dla pozostałych witryn.
7. Kontroluj katalog uploads
Katalog:
wp-content/uploads
jest przeznaczony przede wszystkim dla obrazów, dokumentów i innych plików przesyłanych do biblioteki mediów.
W typowej instalacji WordPressa nie powinien być miejscem wykonywania przypadkowych skryptów PHP. Dlatego podczas kontroli bezpieczeństwa warto sprawdzić, czy nie pojawiły się tam podejrzane pliki wykonywalne.
To jeden z przykładów rzeczy, których zwykłe spojrzenie na stronę w przeglądarce może nie ujawnić.
Strona może wyglądać i działać zupełnie normalnie, mimo że na serwerze znajduje się dodatkowy plik umożliwiający nieautoryzowany dostęp.
8. Sprawdzaj integralność plików
WordPress umożliwia porównanie plików rdzenia z oficjalnymi wersjami.
Przy użyciu WP-CLI można wykonać:
wp core verify-checksums
Jeżeli pliki WordPressa zostały zmodyfikowane, usunięte lub podmienione, kontrola sum może pomóc to wykryć. Podobny mechanizm można zastosować do wielu wtyczek dostępnych w oficjalnym repozytorium.
Trzeba jednak pamiętać, że checksumy nie są pełnym skanerem bezpieczeństwa.
Nie sprawdzą na przykład:
- własnego kodu,
- indywidualnego motywu,
- wszystkich płatnych wtyczek,
- zawartości bazy danych,
- wszystkich dodatkowych plików znajdujących się na serwerze.
Są natomiast bardzo dobrym elementem większej procedury diagnostycznej.
9. Sam firewall nie wystarczy
Firewall aplikacyjny, WAF czy rozwiązania typu Cloudflare potrafią skutecznie ograniczyć wiele automatycznych ataków. Nie zastępują jednak aktualizacji ani właściwej administracji. Co więcej, zabezpieczenia trzeba właściwie skonfigurować.
Zbyt agresywne reguły mogą blokować prawidłowe zapytania użytkowników, formularze albo elementy sklepu internetowego. Dlatego bezpieczeństwo nie powinno polegać na instalowaniu kolejnych warstw ochronnych bez sprawdzania ich wpływu na działanie strony.
10. Monitoruj stronę również wtedy, gdy działa
Jednym z częstszych błędów jest reagowanie dopiero wtedy, gdy strona przestaje działać. Tymczasem nie każdy incydent bezpieczeństwa powoduje awarię.
Zainfekowana strona może nadal:
- wyświetlać się poprawnie,
- przyjmować formularze,
- realizować zamówienia,
- wyglądać identycznie jak wcześniej.
Dlatego monitoring powinien obejmować więcej niż samo sprawdzanie, czy serwer odpowiada. W zależności od znaczenia strony warto monitorować między innymi:
- dostępność strony,
- certyfikat SSL,
- błędy HTTP,
- zmiany w plikach,
- aktualizacje,
- stan WordPressa,
- administratorów,
- podejrzane zachowania,
- wydajność.
Im szybciej zostanie wykryta nieprawidłowość, tym łatwiej ustalić jej przyczynę.
Co zrobić, jeżeli WordPress został zainfekowany?
Najczęstszy błąd to znalezienie jednego podejrzanego pliku, usunięcie go i uznanie problemu za rozwiązany. Jeżeli atakujący uzyskał możliwość wykonywania kodu na serwerze, mógł pozostawić dodatkowy sposób dostępu.
Dlatego po wykryciu infekcji warto sprawdzić między innymi:
- pliki WordPressa,
- wtyczki,
- motywy,
- katalog uploads,
- konta administratorów,
- zadania WP-Cron,
- plik
.htaccess, - konfigurację WordPressa,
- logi serwera,
- ostatnio zmodyfikowane pliki.
Po oczyszczeniu instalacji należy również zmienić dane dostępowe oraz unieważnić istniejące sesje użytkowników. Najważniejsze jest jednak ustalenie pierwotnej przyczyny włamania. Jeżeli podatna wtyczka, przejęte konto albo problem na hostingu nadal istnieje, samo usunięcie złośliwego pliku nie rozwiązuje problemu.
Czy wtyczka bezpieczeństwa wystarczy?
Nie.
Dobra wtyczka może być wartościowym elementem ochrony, ale bezpieczeństwo strony składa się z wielu warstw.
Najlepszy efekt daje połączenie:
- aktualnego oprogramowania,
- ograniczonej liczby rozszerzeń,
- bezpiecznych kont użytkowników,
- poprawnie skonfigurowanego hostingu,
- kopii zapasowych,
- monitoringu,
- okresowych kontroli.
To znacznie skuteczniejsza strategia niż instalowanie kolejnej wtyczki po każdym problemie.
Bezpieczeństwo WordPressa to proces
Strona internetowa nie jest skończonym projektem w momencie publikacji. WordPress, PHP, przeglądarki, biblioteki i wtyczki stale się zmieniają. Pojawiają się nowe funkcje, ale również nowe podatności. Dlatego strona, która była dobrze zabezpieczona dwa lata temu, nie musi być równie dobrze zabezpieczona dzisiaj.
W UNITSOFT traktujemy bezpieczeństwo jako element bieżącego utrzymania strony: aktualizacje, monitoring, kopie zapasowe, kontrolę techniczną i reagowanie na nieprawidłowości. Dzięki temu bezpieczeństwo nie zaczyna się dopiero wtedy, gdy coś przestaje działać.
Potrzebujesz pomocy z utrzymaniem lub bezpieczeństwem WordPressa?
Możemy przeanalizować stan techniczny strony, uporządkować aktualizacje i kopie zapasowe oraz objąć witrynę stałym monitoringiem i opieką.
Sprawdź usługę Administracja i bezpieczeństwo WordPress lub skontaktuj się z UNITSOFT.