WordPress: Jak zabezpieczyć stronę?

Był rok 2019…

Klient miał już wcześniej stronę internetową. Jej adres znały i regularnie skanowały boty (to normalne). Po stworzeniu nowej witryny przystąpiłem do jej instalacji na serwerze. Przeniosłem bazę danych, a następnie wszytskie pliki strony.

Zalogowałem się do panelu administracyjnego żeby dokończyć konfigurację. Jakież było moje zdziwienie gdy na liście użytkowników zobaczylem drugiego administratora. Jakiś bot znalazł lukę i włamał się na stronę (większość ataków to własnie ataki automatyczne).

Posprzątałęm powstały bałagan i zacząłem szukać słabego punktu.

Odnalazłem go bardzo szybko: hasło admin – szkolny błąd. Ustawiłem takie w wersji roboczej strony i zapomniałem zmienić przed rozpoczęciem wdrożenia.

Oczywiście pełna wina była po mojej stronie – przez nieuwagę zostawiłem szeroko otwarte drzwi.

Obecnie takie sytuację już mi się nie zdążają ale ten przykład pokazuje jak ważne jest silne hasło i unikatowa nazwa użytkownika.

Proste rozwiązanie – nasza wtyczka bezpieczeństwa beSafe

Nie jestem fanem instalowania miliona wtyczek na stronę – to oznacza potencjalne problemy. Dlatego zamiast iść w dziesiątki opcji, które trzeba ustawiać, testować i aktualizować, lepiej zabezpieczyć stronę prostymi, sprawdzonymi metodami.

Początkowo wszytsko robiłem ręcznie, za każdym razem dopisując do strony odpowiedni kod, co było… upierdliwe.

Dlatego stworzyłem beSafe – lekką wtyczkę bezpieczeństwa, która działa w tle, bez potrzeby konfiguracji, w sposób który nie obciąża strony.  Nawet nie odczujesz jej obecności.

Co robi?

• zamyka najczęstsze luki bezpieczeństwa WordPress,
• utrudnia potencjalne ataki,
• częściowo eliminuje błędy ludzkie.

Nie wymaga skomplikowanej konfiguracji – wszystko działa od ręki.

Uwaga: wtyczka beSafe nie jest dostępna w sprzedaży – udostępniamy ją wyłącznie klientom, którym wdrażamy lub administrujemy strony internetowe. Dzięki temu mamy pełną kontrolę nad jakością, aktualnością i skutecznością jej działania.

Dodatkowe rekomendacje – jak zabezpieczyć WordPressa

Pełne bezpieczeństwo to proces. beSafe zabezpiecza najważniejsze elementy, ale warto też pamiętać o kilku dodatkowych zasadach:

• silne hasło i unikatowy login – to trzeba powtarzać do skutku,
• aktualizacje – WordPress, motywy i wtyczki muszą być regularnie aktualizowane,
• tylko legalne dodatki – unikaj wersji z forów, grup i podejrzanych stron,
• włącz uwierzytelnianie dwuskładnikowe (2FA) – np. od Wordfence, które pozwalają na generowanie jednorazowych kodów dostępu przez Google Authenticator,
• ogranicz liczbę zainteresowanych wtyczek, nawet tych wyłączonych,
• unikaj gotowych motywów – mają masę funkcji, większości nie użyjesz, a kod zostaje,
• rób regularne backupy (kopie zapasowe) – najlepiej automatyczne, zapisywane poza serwerem,
• zainstaluj certyfikat SSL – który zabezpieczy komunikację między przeglądarką, a serwerem,
• rozważ mechanizm, który ograniczy ilość prób logowania,
• warto skanować strony pod kątem złośliwego oprogramowania,
• i najważniejsze – działaj uważnie.

Tutaj należy wspomnieć o tym, że zabezpieczenie WordPressa zaczyna się już na etapie jego instalacji i konfiguracji (np. wyłączając komunikaty o błędach w pliku wp-config.php). Z tego powodu nie warto korzystać z instalatorów dostępnych w panelu hostingu – nie masz pełnej kontroli nad procesem.

Zabezpieczenie strony to nie opcja – to obowiązek

Posiasanie strony internetowej to odpowiedzialność za bezpieczeństwo użytkowników. Gdy Twoja witryna padnie ofiarą ataku, to nie tylko stracisz ruch czy pozycje w Google. Utracisz wiarygodność i narazisz dane osobowe swoich klientów.

Niesty – trzeba pamiętać o tym, że nawet  najlepiej zabezpieczoną stronę da się złamać. Ważne, by atakującemu nie opłacało się tego robić.

Na koniec moje ulubione porównanie: rower z porządnym łańcuchem trudniej ukraść niż taki przypięty cienką linką. Złodziej będzie wolał poszukać innego, łatwiejszego celu.

I tak właśnie pianina być zabezpieczona Twoja strona lub sklep internetowy.

autor tekstu – Kamil Jędryczka.