Bezpieczeństwo WordPress

Szeroko rozumiane problemy z bezpieczeństwem to prawdziwa zmora. Wg badań przeprowadzonych przez Cyberfolks, 49.5% osób, które tworzą strony na WordPress doświadczyła minimum jednego ataku na swój serwis . Dlatego, projektując bezpieczny hosting WordPress od początku myśleliśmy o jak najskuteczniejszym zabezpieczeniu przed atakami.

Mechanizmy bezpieczeństwa hostingu WordPress

Większość ankietowanych użytkowników (79%) wyrażała oczekiwanie, że firma hostingowa wdroży dodatkowe mechanizmy, wspierające bezpieczeństwo po stronie serwera. Mimo, że za bezpieczeństwo aplikacji w największym stopniu odpowiada jej twórca, a mnogość motywów i wtyczek jest ogromna – spróbowaliśmy podjąć to wyzwanie. Zagadnienia związane z bezpieczeństwem, które rozwiązujemy dzięki naszemu hostingowi WordPress, można podzielić na kilka kategorii.

A co z wtyczkami?

Wtyczki zaprojektowane jako narzędzia ułatwiające wzmacnianie bezpieczeństwa WordPress są popularne. Zdania na ich temat są jednak mocno podzielone. Zaawansowani użytkownicy i developerzy często rekomendują rezygnację z wtyczek na rzecz samodzielnego dokonania kilku modyfikacji, które niewielkim nakładem pracy potrafią znacznie ograniczyć ryzyko, że Twoja strona padnie ofiarą hackerskiego ataku.

Z drugiej strony jednak – użytkownik początkujący nie jest w stanie samodzielnie dokonać edycji podstawowych plików, jak np. .htaccess (w tym pliku znajdują się dyrektywy sterujące pracą serwera www, które, odpowiednio zastosowane, mogą znacznie poprawić bezpieczeństwo strony). Ci, którzy będą chcieli – mogą zainstalować na hostingu jedną z popularnych wtyczek i będzie ona działać. Zwracamy jednak uwagę, iż developerzy często podnoszą zarzut, iż wtyczka jest oprogramowaniem instalowanym w folderze /wp-contents/ i często sama staje się źródłem podatności.

Dlatego zaprojektowaliśmy Audyt Bezpieczeństwa – niezależną aplikację, pozwalającą sprawdzić krytyczne punkty Twojej strony.

Audyt bezpieczeństwa WordPress

To autorskie rozwiązanie, które nie pozostawia groźnych plików w Twojej instalacji. Aby skorzystać z audytu w ramach pakietu hostingowego WordPress, wystarczy zalogować się do panelu i kliknąć opcję „Wykonaj audyt”.

Nasz serwer zajmuje się całą resztą. Odpowiednie oprogramowanie jest wykonywane na serwerze w taki sposób, że w Twojej przestrzeni pozostaje jedynie statyczny plik wynikowy typu .html, nie zawierający żadnych formularzy, a jedynie prezentujący wynik działania audytu. Dzięki takiemu rozwiązaniu nie jest tworzona żadna dodatkowa warstwa podatności, tak jak dzieje się to w przypadku klasycznych wtyczek.

Audyt strony sprawdza 22 elementy, na które naszym zdaniem warto zwrócić uwagę, kiedy prowadzisz stronę na WordPress.

O co chodzi z tymi hasłami?

To tylko jeden z elementów bezpieczeństwa, ale opiszemy je poniżej jako przykład zastosowania audytu, dostępnego bezpłatnie w kontach hostingu WordPress. Hasła do WordPress’a możemy podzielić na 2 główne kategorie: hasła do bazy oraz hasła użytkowników. Oba rodzaje haseł są przez nas sprawdzane.

Utworzyliśmy bazę haseł o wysokiej podatności na „odgadnięcie”. Bazę tę opracowaliśmy na podstawie publikacji serwisów specjalizujących się w zagadnieniach bezpieczeństwa. Ze względów wydajnościowych – z tej bazy wybieramy 20 tysięcy najbardziej „niebezpiecznych” haseł do sprawdzenia połączenia z bazą i około 2 tysięcy do sprawdzenia haseł użytkowników. Sprawdzamy każdego użytkownika w Twojej instalacji i dla każdego z nich sprawdzamy, czy posługuje się trywialnym hasłem.

Ale, ale… co to znaczy „hasło trywialne”? Przykładowe hasła, jakie można znaleźć w publikacjach niebezpiecznik.pl albo symantec.com to hasła związane z popularnymi słowami, jak „admin”, „root”, „hasło”, imionami , sportem oraz wulgaryzmami. Do klasyki należą hasła typu „1234”, „qwerty”, „123qwe” i inne, wynikające z naciskania kolejnych klawiszy klawiatury w jednej linii, po przekątnej itp. Wreszcie – jeśli w haśle ma wystąpić liczba – bardzo dużo użytkowników umieszcza liczbę na końcu, stąd do haseł o podniesionej podatności będzie należeć np. „Adam1”. Mimo, że zawiera wielką literę i cyfrę – jest to hasło, które stosunkowo łatwo odgadnąć.

Dzięki audytowi szybko sprawdzisz, czy użytkownicy zarejestrowani w Twoim WordPress posługują się właśnie tego rodzaju hasłami. Jeśli znajdziemy takiego użytkownika – wskażemy Ci jego login, abyś łatwo mógł podjąć dalsze kroki w celu poprawienia takiego hasła.

Chcesz w łatwy sposób stworzyć bezpieczne, silne hasło? Skorzystaj z naszego generatora haseł – kilka chwil i masz hasło nie do złamania!

Jak wykonać audyt?

1. Po zalogowaniu do panelu Direct Admin wybierasz Audyt Bezpieczeństwa.
2. Audyt wykonuje się ok. 5-10 sekund
3. Otrzymujesz link do statycznego pliku z wynikami – klikasz i otwierasz w przeglądarce.

Audyt nie zostawia w Twojej instalacji żadnego pliku wykonywalnego, który mógłby powodować dalsze podatności. W razie pytań dotyczących konfiguracji WordPress – zapraszamy, nasz zespół chętnie pomoże we włączeniu opisanych funkcji.