WordPress-sivuston tietoturva: 10 tarkistettavaa asiaa
- Valtaosa WordPress-murroista tapahtuu vanhentuneiden lisäosien kautta, ei WordPressin ytimen.
- Kaksivaiheinen tunnistautuminen ja vähimmät tarvittavat käyttöoikeudet estävät suuren osan tunnusmurroista.
- Varmuuskopio on arvokas vain, jos sen palautus on testattu.
WordPress on turvallinen alusta, kun sitä ylläpidetään. Koska se pyörittää suurta osaa maailman verkkosivuista, se on myös suosittu kohde automatisoiduille hyökkäyksille. Hyvä uutinen on, että useimmat murrot estetään muutamalla perusasialla. Käy nämä kymmenen kohtaa läpi omasta sivustostasi.
10 tarkistettavaa asiaa
1. Päivitä ydin, teema ja lisäosat
Lisäosien haavoittuvuudet julkaistaan avoimesti, ja hyökkäysbotit hyödyntävät niitä usein jo samana päivänä. Päivitä säännöllisesti ja testaa päivitykset ennen tuotantoa.
2. Poista käyttämättömät lisäosat ja teemat
Myös käytöstä poistettu mutta yhä asennettu lisäosa voi olla haavoittuvuus. Jokainen poistettu lisäosa on yksi päivitettävä asia vähemmän.
3. ja 4. Kaksivaiheinen tunnistautuminen ja käyttöoikeudet
Ota kaksivaiheinen tunnistautuminen käyttöön kaikille ylläpitäjille. Anna sisällöntuottajille toimittajan rooli, ei ylläpitäjän, ja poista entisten työntekijöiden ja kumppaneiden tunnukset.
5. Varmuuskopiot erilliseen sijaintiin
Varmuuskopio samalla palvelimella ei auta, jos palvelin menetetään. Säilytä kopiot erillään ja testaa palautus säännöllisesti.
6., 7. ja 8. Palvelin, kirjautuminen ja HTTPS
Käytä tuettua PHP-versiota, rajoita kirjautumisyrityksiä ja ota palomuuri käyttöön. Koko sivuston pitää toimia HTTPS-yhteydellä.
9. ja 10. Tiedostonmuokkaus ja valvonta
Estä teeman ja lisäosien muokkaus hallintapaneelista asetuksella DISALLOW_FILE_EDIT. Valvo ylläoloa ja tiedostomuutoksia, jotta poikkeamat huomataan heti.
Älä koskaan käytä nulled-lisäosia
Maksullisten lisäosien laittomat, ilmaiseksi jaetut versiot sisältävät usein takaoven. Säästö on muutama kymppi, riski koko sivusto ja asiakastiedot.
Tietoturvan seuranta ja hallitut päivitykset kuuluvat ylläpitopalveluumme. Lue myös, mitä verkkosivujen ylläpito sisältää.
Usein kysyttyä
Onko WordPress turvallinen?
On, kun sitä ylläpidetään. Suurin osa murroista johtuu vanhentuneista lisäosista, heikoista salasanoista tai laittomista lisäosaversioista, ei WordPressin ytimestä.
Mitä teen, jos WordPress-sivustoni on hakkeroitu?
Ota sivusto tarvittaessa pois näkyvistä, vaihda kaikki salasanat, palauta puhdas varmuuskopio ja selvitä, mistä murto tapahtui. Pelkkä haittakoodin poisto ei riitä.
Tarvitsenko tietoturvalisäosan?
Lisäosa voi auttaa, mutta se ei korvaa päivityksiä, vahvoja tunnuksia ja varmuuskopioita. Osa suojauksista kannattaa tehdä palvelintasolla.
