Strony oparte na systemie WordPress, to już ponad 70% wszystkich stron w Internecie. Czy więc to dobrze, czy źle, że korzystamy z tak popularnego CMS-a?
W czasach kiedy WordPress dopiero pojawił się jako system do zarządzania stroną internetową, mogliśmy zdać się na sam system i spać spokojnie, bo nie zagrażał nam atak na stronę. Gdy system stał się popularny, o raz coraz więcej pojawiało się dostępnych wtyczek i motywów, które nie zawsze były sprawdzane pod kątem zabezpieczeń, zostały wykorzystywane luki w systemie do włamania na stronę.
10 zasad jak zabezpieczyć stronę na WordPress
- Aktualizacja silnika WordPress
- Aktualizacja wtyczek
- Stosowanie odpowiedniej wersji języka PHP
- Usunięcie nie aktywnych wtyczek
- Usunięcie nie aktywnych motywów
- Stosowanie protokołu HTTPS
- Instalacja wtyczki bezpieczeństwa
- Stosowanie odpowiedniego hasła
- Stosowanie innej strony logowania
- Skanowanie strony pod kątem złośliwego oprogramowania.
Aktualizacja silnika WordPress oraz wersji PHP
W ostatnich latach można było zauważyć jak często była wypuszczana nowa wersja systemu WordPress. Aktualnie mamy wersję 5.5.3. System trzeba aktualizować na bieżąco, ponieważ każda nowa wersja to bardzo często poprawki dotyczące zabezpieczeń. Nie ma doskonałego systemu, zawsze znajdą się błędy, ważne żeby je szybko niwelować.
System WordPress napisany jest w języku PHP. Język ten również się rozwija. Stosując starą wersję języka możemy przyczynić się do pozostawienie niebezpiecznych funkcji, które wyszły z użycia, bądź zostały zastąpione bardziej bezpiecznymi. Aktualnie zalecana wersja PHP to 7.4. A aż 30% stron ma przestarzałą wersję 5.6, która nie jest już wspierana od 2017 roku.
Aktualizacja wtyczek, motywów, usunięcie nie potrzebnych.
Wtyczki oraz motywy, które są wykonane z zastosowaniem starej wersji PHP, aby były bezpieczne również muszą być aktualizowane. Przy zmianie wersji PHP, mogą przestać działać, lub mogą się wyświetlać błędy na stronie. Wtyczki mogą też posiadać luki, błędy, więc jeśli jest tylko taka możliwość to aktualizujemy. Przy instalacji nowych funkcjonalności należy sprawdzić, kiedy była wypuszczona ostatnia aktualizacja, najlepiej jak nie jest to czas dłuższy niż rok. Sprawdzamy też czy wtyczka jest kompatybilna z zainstalowaną wersją WordPress, taką informacje również znajdziemy wybierając wtyczkę.
Instalacja wtyczki bezpieczeństwa
Warto na stronie zainstalować wtyczkę bezpieczeństwa, jest to tak jak z systemem operacyjnym na, którym powinien być zainstalowany antywirus. Wtyczka tego rodzaju powinna być jedna, większa ilość wtyczek o tej samej funkcjonalności może powodować błędy, i jedna drugą może traktować jako intruza. Nie podam tu konkretnego rozwiązania, tylko wymienię funkcjonalności jakie powinna posiadać taka wtyczka.
Wtyczka bezpieczeństwa powinna posiadać możliwość zabezpieczenia dostępu do strony logowania, zabezpieczenie i wykonania kopi zapasowej bazy danych, blokowania adresów IP, zaporę sieciową, zabezpieczenia przed spamem, funkcje skanowania w poszukiwania wirusów i złośliwego oprogramowania. Podobnie jak z każdą wtyczką, wersja darmowa będzie ograniczona i najbardziej pożądane funkcjonalności będą wymagały aktywacji wtyczki w wersji premium.
