Το WordPress τροφοδοτεί ένα πολύ μεγάλο μέρος των ιστοσελίδων στον κόσμο, γι’ αυτό και αποτελεί συχνό στόχο αυτοματοποιημένων επιθέσεων. Η καλή είδηση είναι ότι η ασφάλεια WordPress δεν απαιτεί μαγικές λύσεις: τα περισσότερα προβλήματα προλαμβάνονται με απλά, σταθερά μέτρα.

Παρακάτω θα βρείτε τα δέκα μέτρα που εφαρμόζουμε σε κάθε site που συντηρούμε, με τη σειρά που έχουν τη μεγαλύτερη επίδραση.

1. Ενημερώσεις χωρίς καθυστέρηση

Ο πυρήνας, τα plugins και το θέμα πρέπει να είναι ενημερωμένα. Οι ενημερώσεις ασφαλείας κλείνουν γνωστά κενά, και τα αυτοματοποιημένα εργαλεία των επιτιθέμενων ψάχνουν ακριβώς τις παλιές εκδόσεις. Ιδανικά, οι ενημερώσεις δοκιμάζονται πρώτα σε αντίγραφο του site (staging).

2. Backups που λειτουργούν

Ένα backup αξίζει μόνο αν μπορείτε να το επαναφέρετε. Φροντίστε για:

  • αυτόματα backups αρχείων και βάσης δεδομένων,
  • αποθήκευση εκτός του server της ιστοσελίδας,
  • αρκετές παλαιότερες εκδόσεις, όχι μόνο την τελευταία,
  • περιοδική δοκιμή επαναφοράς.

3. Ισχυροί και μοναδικοί κωδικοί

Κάθε λογαριασμός χρειάζεται μακρύ, μοναδικό κωδικό που δεν χρησιμοποιείται πουθενά αλλού. Ένας διαχειριστής κωδικών (password manager) το κάνει εύκολο. Αποφύγετε λογαριασμούς με όνομα «admin».

4. Έλεγχος ταυτότητας δύο βημάτων

Με τον έλεγχο δύο βημάτων (2FA), ακόμη κι αν κάποιος μάθει τον κωδικό, χρειάζεται και έναν κωδικό από το κινητό σας. Είναι από τα πιο αποτελεσματικά μέτρα για τους λογαριασμούς διαχειριστών.

5. Σωστά δικαιώματα χρηστών

Δώστε σε κάθε άτομο μόνο τον ρόλο που χρειάζεται: ένας συντάκτης δεν χρειάζεται δικαιώματα διαχειριστή. Αφαιρείτε άμεσα λογαριασμούς πρώην συνεργατών.

6. Λιγότερα, αξιόπιστα plugins

Κάθε plugin είναι κώδικας που τρέχει στο site σας. Κρατήστε μόνο όσα χρειάζεστε, από αξιόπιστους δημιουργούς που ενημερώνουν τακτικά. Διαγράψτε, μην απενεργοποιείτε απλώς, όσα δεν χρησιμοποιείτε. Αποφύγετε «δωρεάν» αντίγραφα επί πληρωμή plugins — συχνά περιέχουν κακόβουλο κώδικα.

7. Προστασία της σελίδας σύνδεσης

Περιορίστε τις αποτυχημένες προσπάθειες σύνδεσης ώστε να δυσκολεύουν οι επιθέσεις μαντέματος κωδικών, και ενεργοποιήστε ειδοποιήσεις για ύποπτες συνδέσεις.

8. HTTPS και ασφαλής φιλοξενία

Το πιστοποιητικό SSL κρυπτογραφεί τα δεδομένα μεταξύ επισκέπτη και site. Εξίσου σημαντική είναι η φιλοξενία: ενημερωμένη έκδοση PHP, απομόνωση μεταξύ λογαριασμών και firewall σε επίπεδο server.

9. Απενεργοποίηση της επεξεργασίας αρχείων από τον πίνακα

Το WordPress επιτρέπει επεξεργασία κώδικα θεμάτων και plugins μέσα από το διαχειριστικό. Αν κάποιος αποκτήσει πρόσβαση, αυτό του δίνει εύκολο εργαλείο. Η ρύθμιση DISALLOW_FILE_EDIT στο αρχείο wp-config.php το απενεργοποιεί.

10. Παρακολούθηση και σχέδιο αντίδρασης

Ένα εργαλείο που ελέγχει για αλλαγές σε αρχεία, για κακόβουλο κώδικα και για διαθεσιμότητα σάς ειδοποιεί έγκαιρα. Και αν κάτι συμβεί, πρέπει να ξέρετε τα βήματα:

  1. αλλαγή όλων των κωδικών,
  2. επαναφορά από καθαρό backup,
  3. εντοπισμός και κλείσιμο του κενού,
  4. έλεγχος στο Google Search Console για προειδοποιήσεις ασφαλείας.

Ασφάλεια σημαίνει συνέπεια

Κανένα site δεν είναι απόλυτα απρόσβλητο, όμως με τα παραπάνω μέτρα γίνεται πολύ δύσκολος στόχος. Το σημαντικότερο είναι να γίνονται τακτικά, όχι μία φορά. Αν προτιμάτε να το αναλάβει κάποιος άλλος, η M. Dimopoulos προσφέρει συντήρηση και υποστήριξη και για ιστοσελίδες που έχουν φτιαχτεί από άλλους.