Bezpieczeństwo WordPressa: co naprawdę warto ogarnąć

WordPress stoi pod sporą częścią stron, które robimy i które potem ktoś „już tylko trochę dopracuje”. Jest wygodny. I właśnie dlatego jest celem: nie dlatego, że sam z siebie jest dziurawy, tylko dlatego, że stary motyw, porzucona wtyczka albo hasło Firma2020 otwierają drzwi szerzej niż jakikolwiek „hakerski atak z filmu”.

Poniżej to, co realnie ogarniamy przy stronach, które potem ktoś ma utrzymać. Nie checklista na sto punktów. Kilka nawyków, bez których reszta i tak nic nie da.

Aktualizacje nie są opcją

Rdzeń, motyw i wtyczki. W tej kolejności, po kopii zapasowej. Większość głośnych wpadek WordPressa to nie zero-day z konferencji, tylko dziura, na którą łata leży od tygodni, a strona stoi nietknięta od zeszłego sezonu.

• nie odkładaj aktualizacji „na spokojniejszy miesiąc” — spokojniejszy miesiąc nie przychodzi
• zniknięte wtyczki z repozytorium usuwaj, nie zostawiaj „bo jeszcze działa”
• motyw-dziecko albo motyw od znanej ekipy; porzucony szablon z marketplace’u z 2018 to ryzyko

Jeśli boisz się, że aktualizacja rozjedzie sklep: zrób kopię, wejdź na staging albo przynajmniej w godzinach, gdy nikt nie kupuje. Nieaktualizowanie ze strachu kończy się zwykle drożej.

Logowanie, którego nie widać z ulicy

Panel /wp-admin nie musi być tajemnicą, ale nie musi też witać każdego bota z internetu.

• konto admin do kosza; każde imię i własne hasło
• hasło z menedżera haseł, nie z nazwy firmy i roku
• dwuskładnikowe logowanie na koncie, które może zmieniać wtyczki
• limit prób logowania — siłowe zgadywanie to nadal najnudniejszy, najczęstszy atak

Dostęp dla księgowej, stażysty i „kolegi od Facebooka” na poziomie administratora to nie wygoda. To wspólny klucz do całego domu.

Im mniej wtyczek, tym lepiej śpisz

Każda wtyczka to cudzy kod na Twoim serwerze. SEO, czat, popup, „przyspieszacz”, kolejny suwak — łącznie potrafią więcej zepsuć niż sam motyw.

Zostaw to, czego strona naprawdę używa. Resztę wyłącz i skasuj, nie tylko deaktywuj. Szukaj wtyczek z regularnymi aktualizacjami i jasnym autorem. „Pakiet bezpieczeństwa” z dwudziestoma przełącznikami nie zastąpi kopii i aktualizacji.

Bezpieczeństwo WordPressa to raczej porządek w szafie niż kolejny tarczowy plugin na stronie głównej.

Kopia, której nie trzymasz na tym samym hostingu

Backup na tym samym koncie FTP, co strona, ginie razem ze stroną. Potrzebujesz kopii poza serwerem: inny dysk, inna chmura, inny hosting. I raz na jakiś czas sprawdzenia, czy w ogóle da się z niej wrócić.

Zapisuj pliki i bazę. Sam katalog wp-content bez SQL-a to pół produktu. Po włamaniu liczy się godzina, nie to, że „na pewno gdzieś była kopia”.

Hosting, SSL i to, czego nie widać w motywie

Certyfikat HTTPS to dziś minimum, nie bonus. PHP w aktualnej, wspieranej wersji też. Stary PHP na tanim koncie trzyma dziury, których WordPress nie załata za Ciebie.

Nie wystawiaj wp-config.php ani katalogów z wgrywaniem plików światu. Po starcie strony nie zostawiaj instalatorów, dumpów bazy i kont testowych. To rzeczy, które robimy przy wdrożeniu — i które rozjeżdżają się, gdy ktoś przez rok dokłada wtyczki „na własną rękę”.

Co robić, gdy już jest po fakcie

Strona przekierowuje na leki, w Google wyskakuje ostrzeżenie, w panelu siedzi nieznane konto. Wtedy nie instaluj kolejnego skanera na żywca.

Zdejmij stronę z ruchu albo przynajmniej z indeksu, zmień wszystkie hasła (WordPress, FTP, baza, poczta), wróć do czystej kopii z przed dnia wpadki i dopiero potem łataj. Jeśli kopii nie ma — liczenie plików ręcznie jest możliwe, ale to praca na godziny, nie na „wtyczkę, która wszystko wyleczy”.

Jeśli masz WordPressa i nie ruszałeś go od roku

To najczęstszy obrazek: strona działa, więc nikt nie wchodzi w aktualizacje. Do czasu, aż zacznie wysyłać spam albo spadnie z Google.

Przy nowych realizacjach ogarniamy to na starcie. Przy starszych witrynach — audyt, porządki, kopia i spokojne aktualizacje. Jak chcesz przejść to z kimś, kto to robi na co dzień, napisz albo zadzwoń. Bez listy 40 pluginów. Z konkretnym planem, co ruszyć najpierw.