Bezbednost WordPress sajta: osnovne mere i šta ako je sajt hakovan

Većina provala na WordPress sajtove ne dolazi od veštih napadača, već od zastarelog dodatka, slabe lozinke ili teme preuzete sa sumnjivog mesta. Ovde su osnovne mere koje zatvaraju te rupe, znaci po kojima se prepoznaje hakovan sajt i prvi koraci ako se to dogodi.

1. Ažurirajte WordPress, teme i dodatke

Zvanična dokumentacija je jasna: stare verzije WordPress-a ne dobijaju bezbednosne ispravke, pa sajt uvek treba da bude na poslednjoj. Isto važi za teme i dodatke (plugine).

• Sva ažuriranja su na jednom mestu: „Kontrolna tabla“ > „Ažuriranja“ (Dashboard > Updates).
• Manja i bezbednosna izdanja WordPress se na većini sajtova instaliraju sama, u pozadini. Veća izdanja pokrećete vi.
• Za svaki dodatak i temu možete posebno da uključite automatsko ažuriranje: na strani „Dodaci“ veza „Enable auto-updates“ pored dodatka, a kod teme ista veza u prozoru sa detaljima teme.

2. Jake lozinke i prijava u dva koraka

• Lozinka treba da bude duga, složena i korišćena samo na tom sajtu. Dokumentacija preporučuje program za čuvanje lozinki koji ih sam smišlja.
• Ne koristite reči iz rečnika, lične podatke, kratke lozinke ni samo brojeve. WordPress pri promeni lozinke prikazuje merač jačine.
• Isto važi za sve ulaze u sajt: nalog na hostingu, FTP i bazu podataka, kao i za sve korisnike sajta.
• Korisničko ime administratora ne treba da bude „admin“ ni „webmaster“, jer se ta imena prva isprobavaju.
• Uključite prijavu u dva koraka bar za administratore. WordPress je nema ugrađenu, pa se dodaje dodatkom; u zvaničnom direktorijumu postoji, na primer, dodatak Two Factor, a imaju je i veći bezbednosni dodaci.

3. Dajte svakom korisniku najmanja potrebna prava

Administratorski nalog dajte samo onome ko zaista upravlja sajtom. Ko samo piše tekstove treba da bude autor ili saradnik. Naloge ljudi koji više ne rade na sajtu uklonite, a podrazumevanu ulogu za nove korisnike (Settings > General) ostavite na pretplatniku.

4. Uklonite ono što ne koristite

Dodatak koji je samo isključen i dalje stoji na serveru i može da ima propust. Dokumentacija kaže: ako dodatak ne koristite, obrišite ga. Alat „Zdravlje sajta“ (Tools > Site Health) isto preporučuje za neaktivne teme. Ostavite aktivnu temu i najviše jednu podrazumevanu kao rezervu.

5. Teme i dodaci samo iz pouzdanih izvora

Dokumentacija savetuje da se ograničite na direktorijum wordpress.org ili na poznate firme. Sam WordPress preuzimajte samo sa wordpress.org.

6. HTTPS

Sa HTTPS-om se lozinka i sve što kucate u kontrolnoj tabli šalju šifrovano. Sertifikat se uključuje u panelu hostinga. Da li ga sajt koristi vidite u alatu „Zdravlje sajta“, na kartici „Info“.

7. Ograničite pokušaje prijave

Automatizovani napadi redom isprobavaju lozinke na strani za prijavu. WordPress sam ne ograničava broj pokušaja, pa se to rešava bezbednosnim dodatkom ili, još bolje, zaštitom na nivou servera ili mreže za isporuku sadržaja, ako je vaš hosting nudi. Primeri dodataka su u vodiču Najkorisniji WordPress dodaci.

8. Redovne rezervne kopije

Nijedna mera nije potpuna. Redovna kopija fajlova i baze, čuvana van servera, jeste ono što vam omogućava da sajt vratite posle upada.

Znaci da je sajt hakovan

• Pregledač ili pretraživač prikazuje upozorenje da sajt nije bezbedan ili da širi zlonamerni softver.
• Hosting vam je isključio sajt.
• Posetioci javljaju da im antivirus prijavljuje vaš sajt.
• Stiže vam obaveštenje da se sa vašeg sajta napadaju drugi.
• Pojavilo se nešto što niste uradili, na primer novi korisnici.
• Sajt očigledno izgleda drugačije kada ga otvorite.

Prvi koraci ako se to dogodi

1. Ostanite mirni i zapišite šta vidite, kada ste primetili i šta ste poslednje menjali (novi dodatak, tema).
2. Pregledajte sajt dodatkom za pronalaženje zlonamernog koda, a zatim i svoj računar antivirusom, jer upad često počinje od ukradene lozinke.
3. Javite se hostingu. Možda je pogođen ceo server, a oni mogu da potvrde šta se dogodilo.
4. Promenite sve lozinke: WordPress korisnika, hostinga, FTP-a i baze.
5. Napravite kopiju zatečenog stanja, pa vratite sajt iz čiste kopije ako je imate.
6. Ažurirajte sve, pa lozinke promenite još jednom, sada na čistom sajtu.

Ako se ne snalazite sa fajlovima i bazom, čišćenje prepustite podršci hostinga ili stručnjaku. Pomoć možete potražiti i na zvaničnom forumu podrške wordpress.org.

Najčešće greške

• Odlaganje ažuriranja „da se nešto ne pokvari“. Rešenje je kopija pre ažuriranja, a ne zastareo sajt.
• Ista lozinka na sajtu, imejlu i hostingu.
• Svi su administratori. Jedan provaljen nalog tada znači ceo sajt.
• Isključeni, a neobrisani dodaci i teme.
• Oslanjanje samo na bezbednosni dodatak, bez ažuriranja i kopija.

Česta pitanja

Da li je WordPress sam po sebi nebezbedan?

Samo jezgro se redovno održava i dobija bezbednosne ispravke. Rizik najčešće donose zastarele verzije, loši dodaci i slabe lozinke, dakle ono na šta vlasnik sajta utiče.

Moram li da imam bezbednosni dodatak?

Nije obavezan, ali je koristan jer ograničava pokušaje prijave i pregleda fajlove. Ne zamenjuje ažuriranja, jake lozinke i rezervne kopije.

Da li treba da uključim automatska ažuriranja dodataka?

Na sajtu koji ne pratite svakog dana, da, uz redovne automatske kopije. WordPress posle automatskog ažuriranja šalje obaveštenje imejlom, pa odmah proverite sajt.

Da li pomaže sakrivanje strane za prijavu?

Samo donekle. Dokumentacija prikrivanje ne smatra pouzdanom glavnom zaštitom; važnije su jake lozinke, prijava u dva koraka i ograničenje pokušaja prijave.