אבטחת וורדפרס

למה אתרי וורדפרס נפרצים

וורדפרס עצמה היא מערכת יציבה ומתוחזקת היטב. רוב הבעיות מגיעות ממה שמותקן עליה: תוספים ותבניות שלא עודכנו, משתמשי ניהול עם סיסמאות חלשות, והרשאות שניתנו פעם ולא נלקחו בחזרה. כשמסתכלים על נתוני הפרצות של השנים האחרונות, התמונה חוזרת על עצמה — כמעט כל הפרצות נמצאות בתוספים ובתבניות, ורק מעט מאוד בליבת המערכת. פירטתי את הנתונים במאמר אבטחת אתר וורדפרס: מה נתוני הפרצות מלמדים.

המשמעות המעשית פשוטה יותר ממה שנדמה: אבטחה טובה היא בעיקר שגרה, לא מוצר. פחות רכיבים, עדכונים קבועים ובטוחים, גישה מוגבלת, וגיבוי שבאמת נבדק.

מתחילים כאן: הבסיס שכל אתר צריך

• עדכונים בלי לשבור את האתר — איך מעדכנים ליבה, תוספים ותבנית, ומתי עדכון אוטומטי הוא רעיון טוב: עדכון וורדפרס.
• פחות תוספים, טובים יותר — כל תוסף הוא קוד נוסף שצריך לתחזק. איך בוחרים ומתי מוותרים: תוספים לוורדפרס: איך בוחרים.
• מי יכול לעשות מה — תפקידי משתמשים, הרשאה מינימלית וניקוי משתמשים ישנים: הרשאות משתמשים בוורדפרס.
• גיבוי שעובד — מה מגבים, איפה שומרים ואיך בודקים שהשחזור אפשרי: גיבוי אתר וורדפרס.

הגנה על הכניסה לאתר

דף ההתחברות הוא היעד הנפוץ ביותר של ניסיונות פריצה אוטומטיים. שילוב של סיסמה ארוכה, אימות דו-שלבי והגבלת ניסיונות סוגר את רוב הסיכון. על ההנחיות העדכניות לסיסמאות כתבתי בסיסמה חזקה ואימות דו שלבי, ועל הצד הטכני — הגבלת קצב, XML-RPC וחסימות — בהגנה על דף ההתחברות של וורדפרס. אם האתר מתחבר למערכות אחרות, כדאי לקרוא גם על אבטחת ה-REST API.

האם צריך תוסף אבטחה?

תוסף אבטחה יכול לעזור, אבל הוא לא מחליף עדכונים, הרשאות וגיבויים — ולפעמים הוא עצמו מוסיף עומס וסיבוכיות. מה הוא עושה ומה לא: תוסף אבטחה לוורדפרס.

כשמשהו כבר קרה

אם האתר מפנה לאתרים זרים, מופיעים בו קבצים לא מוכרים, או שגוגל מסמנת אותו כמסוכן — לא מתחילים למחוק קבצים באקראי. יש סדר פעולות: אתר נפרץ? מה עושים — שישה שלבים, ואיך מזהים ומנקים קוד זדוני: נוזקה באתר. גם שגיאת 403 Forbidden קשורה לא פעם לחסימה שהופעלה בשרת או בחומת האש.

שלוש טעויות שחוזרות שוב ושוב

• תוספים מושבתים שנשארו מותקנים — תוסף כבוי עדיין יושב בשרת, ופרצה בו עדיין ניתנת לניצול. מה שלא בשימוש — נמחק.
• משתמש ניהול משותף — כשכמה אנשים נכנסים עם אותו משתמש, אי אפשר לדעת מי עשה מה, ואי אפשר לבטל גישה לאדם אחד.
• גיבוי שאף פעם לא שוחזר — גיבוי שלא נבדק הוא הנחה, לא גיבוי. פעם בתקופה כדאי לשחזר אותו לסביבת בדיקה ולראות שהאתר עולה.

נושאים קרובים: גיבוי ושחזור, התחברות ואימות ותוספי וורדפרס.

רוצים שמישהו יעבור על האתר, יעדכן ויסדר את ההרשאות והגיבויים? זה חלק משירות תחזוקת האתרים שלי, ואפשר גם לכתוב לי ישירות.