W Goodwill Media na co dzień zajmujemy się tworzeniem stron internetowych, ale doskonale wiemy, że strona to nie tylko nowoczesny design. To przede wszystkim fundament Twojego biznesu w sieci. Dlatego tak ważne jest cyberbezpieczeństwo Twojej strony.
Zostawienie standardowej instalacji WordPressa na swojej stronie www bez odpowiedniej ochrony to jak zostawienie otwartego biura w centrum miasta. W dzisiejszych czasach nie ma czegoś takiego jak “moja strona jest za mała, żeby kogoś zainteresować”. Hakerzy nie atakują ręcznie – robią to zautomatyzowane skrypty i boty, które uderzają na oślep we wszystko, co napotkają na swojej drodze. Zobacz cztery konkretne kroki, które sprawią, że przestaniesz być łatwym celem.
Zmiana adresu logowania i weryfikacja dwuetapowa (2FA)
Standardowy panel logowania do WordPressa znajduje się pod adresem, który zna absolutnie każdy bot w internecie. Jeśli Twoja strona kończy się klasycznym “/wp-admin”, to dobrowolnie wystawiasz się na ciągłe ataki typu brute-force. Polega to na tym, że automatyczne programy dniami i nocami próbują odgadnąć Twoje hasło, sprawdzając tysiące kombinacji na minutę. Zmiana tego adresu na niestandardowy, wymyślony przez Ciebie ciąg znaków, to dosłownie kilka kliknięć w ustawieniach. Ten jeden prosty ruch odcina natychmiast większość złośliwego ruchu i ślepych prób logowania.
Samo schowanie panelu to jednak wciąż za mało. Hasła wyciekają z różnych internetowych baz danych każdego dnia, a komputery dysponują coraz większą mocą obliczeniową do ich łamania. Weryfikacja dwuetapowa (2FA) to w dzisiejszym biznesie absolutna konieczność, bez żadnych wymówek. Dzięki niej, po wpisaniu nawet prawidłowego hasła, system poprosi o sześciocyfrowy kod, który generuje się w aplikacji na Twoim smartfonie. Nawet jeśli haker w jakiś sposób zdobędzie Twoje dane logowania, bez fizycznego dostępu do Twojego telefonu nie zrobi z nimi absolutnie nic.
Regularna aktualizacja wtyczek i motywów
Wielu właścicieli stron traktuje aktualizacje jako zło konieczne, a często wręcz ich unika z obawy, że nowa wersja zepsuje układ strony. To gigantyczny błąd, który kosztuje sporo nerwów i pieniędzy. Zdecydowana większość skutecznych włamań na strony oparte o WordPressa nie wynika z finezyjnych ataków genialnych hakerów, ale ze zwykłego wykorzystania znanych luk w starych wtyczkach. Twórcy oprogramowania rzadko wypuszczają łatki tylko po to, żeby zmienić interfejs. Bardzo często łatają w ten sposób krytyczne dziury bezpieczeństwa, które właśnie zostały odkryte przez analityków.
Kiedy luka w jakiejś popularnej wtyczce staje się publicznie znana, w sieci błyskawicznie pojawiają się boty skanujące internet. Ich jedynym zadaniem jest znalezienie domen, które wciąż korzystają z tej konkretnej, dziurawej wersji rozszerzenia. Jeśli zaniedbujesz aktualizacje i ignorujesz powiadomienia, z automatu trafiasz na ich listę celów. Oczywiście, aktualizowanie oprogramowania niesie ryzyko drobnych awarii, dlatego zawsze trzeba mieć w pogotowiu kopię zapasową. Nie zwalnia to jednak z obowiązku dbania o aktualność całego systemu.
Instalacja aktywnej zapory sieciowej (Firewall)
Nawet jeśli masz bardzo mocne hasło i w pełni zaktualizowane środowisko, Twoja strona wciąż potrzebuje aktywnego stróża. Standardowe zabezpieczenia oferowane przez firmy hostingowe często nie są w stanie wyłapać specyficznych ataków wycelowanych bezpośrednio w architekturę WordPressa. Tutaj z pomocą przychodzi wtyczka typu Web Application Firewall (WAF). To specjalistyczna tarcza, która staje na pierwszej linii frontu. Jej głównym zadaniem jest analizowanie każdego, kto próbuje wejść na Twoją stronę, i bezwzględne odróżnianie prawdziwych klientów od złośliwych botów.
Jeśli szukasz konkretnych narzędzi do postawienia wspomnianej zapory, najpopularniejszym wyborem na rynku jest obecnie Wordfence Security. To potężne rozwiązanie, które już w darmowej wersji oferuje bardzo solidny skaner złośliwego oprogramowania oraz firewall uczący się nowych zagrożeń w czasie rzeczywistym. Jego główną zaletą jest to, że działa bezpośrednio na Twoim serwerze, analizując ruch i natychmiastowo odcinając podejrzane próby logowania czy skanowanie Twoich plików przez boty.
Inną godną uwagi opcją jest Sucuri Security. W przeciwieństwie do typowych wtyczek, Sucuri skupia się mocno na monitorowaniu integralności plików i oferuje zaawansowany system audytu, który powiadomi Cię o każdej niepokojącej zmianie w kodzie strony. Jeśli zdecydujesz się na ich płatny model, zyskujesz dostęp do chmurowego WAF (Web Application Firewall), który filtruje szkodliwy ruch jeszcze zanim ten w ogóle dotrze do Twojego serwera, co jest kluczowe przy dużym obciążeniu atakami.
Automatyczny backup poza serwer
Backup to Twoja ostateczna polisa ubezpieczeniowa, ale spełni swoje zadanie tylko wtedy, gdy zostanie skonfigurowany w 100% poprawnie. Wiele osób polega wyłącznie na kopiach tworzonych przez swój hosting albo, co gorsza, trzyma pliki zapasowe na tym samym serwerze, co główną stronę. Prawda jest brutalna: w kryzysowej sytuacji to kompletnie bezużyteczne rozwiązanie. Jeśli serwer docelowy padnie, ulegnie pożarowi lub Twoje konto padnie ofiarą wirusa ransomware, który szyfruje wszystkie dostępne dyski – tracisz wszystko. Zarówno stronę, jak i rzekomo bezpieczne kopie.
Jedynym profesjonalnym wyjściem jest pełna automatyzacja połączona z fizyczną izolacją plików. Nowoczesne systemy pozwalają na skonfigurowanie mechanizmu, który codziennie, całkowicie bez Twojego udziału, pakuje całą bazę danych oraz pliki strony. Najważniejsze jest jednak to, co dzieje się później – paczka ta jest od razu wysyłana na zewnętrzną przestrzeń chmurową. Może to być Dysk Google, Dropbox, Amazon S3 czy wydzielony serwer FTP u zupełnie innego dostawcy. Tylko takie rozwiązanie gwarantuje, że niezależnie od skali katastrofy u Twojego hostera, jesteś w stanie postawić cały swój biznes na nowo w kilkanaście minut.
Najskuteczniejszym narzędziem do tego zadania jest wtyczka UpdraftPlus. Po jej instalacji w panelu WordPressa przechodzisz do zakładki ustawień, gdzie wybierasz harmonogram (najlepiej codzienny dla bazy danych i plików) oraz wskazujesz miejsce docelowe, np. Dysk Google, Dropbox czy Microsoft OneDrive. Po krótkiej autoryzacji Twojego konta chmurowego system będzie samoczynnie pakował całą stronę i wysyłał ją w bezpieczne miejsce po każdym wykonanym zadaniu. To klasyczne rozwiązanie typu “ustaw i zapomnij”, które w kryzysowej sytuacji pozwoli Ci przywrócić działający biznes jednym kliknięciem, bez proszenia o pomoc administratorów hostingu.