שבע פעולות שמונעות את רוב הפריצות לאתרי וורדפרס

יש הנחה נפוצה שאתר של עסק קטן לא מעניין אף אחד. זו טעות בהבנת המניע. התוקף לא מחפש דווקא אתכם — הוא מפעיל סורק שעובר על מיליוני כתובות ובודק אוטומטית אם מותקנת גרסה פגיעה של תוסף מסוים. אתר קטן הוא לא מטרה, הוא מספר ברשימה.

וזו בדיוק הסיבה שהגנה בסיסית עובדת כל כך טוב: הסורק לא ינסה לפצח אתכם, הוא פשוט יעבור לאתר הבא ברשימה.

למה בכלל פורצים לאתר קטן

ברוב המקרים המטרה אינה המידע שלכם. אתר פרוץ שווה כסף בזכות עצמו: אפשר להשתיל בו עמודים שמקדמים אתרים אחרים, לשלוח ממנו דואר זבל, להפנות ממנו גולשים לאתרי הונאה, או להשתמש בשרת לכריית מטבעות.

המשמעות המעשית: הנזק הראשון שתרגישו הוא בדרך כלל לא מידע גנוב אלא צניחה בגוגל, חסימת דומיין בדואר, או אזהרה אדומה בדפדפן — ואת אלה קשה לתקן הרבה יותר מאשר למנוע.

שבע הפעולות שסוגרות את רוב הפער

אחת: עדכונים אוטומטיים לליבה ולתוספים

הרוב המוחלט של הפריצות מנצל חולשה שכבר תוקנה, לפעמים חודשים קודם. אתר שמתעדכן אוטומטית מוציא את עצמו מהרשימה. הפחד מעדכון ששובר משהו לגיטימי — התשובה לו היא גיבוי אוטומטי, לא ויתור על עדכונים.

שתיים: למחוק כל מה שלא בשימוש

תוסף מושבת עדיין נמצא על השרת, והקוד שלו עדיין ניתן להרצה בחלק מהמקרים. תבנית ישנה שנשארה מהעיצוב הקודם היא אותו סיפור. כל דבר שאינכם משתמשים בו — למחוק, לא להשבית.

שלוש: אימות דו-שלבי לכל משתמש ניהול

סיסמה חזקה מגינה מפני ניחוש. היא לא מגינה מפני סיסמה שדלפה מאתר אחר שבו השתמשתם באותה סיסמה. אימות דו-שלבי הוא ההבדל בין דליפה מביכה לבין אתר פרוץ.

ארבע: להפסיק להשתמש בשם המשתמש admin

חצי מהמאמץ של תקיפת ניחוש סיסמאות מבוזבז על ניחוש שם המשתמש. אל תיתנו את זה במתנה. משתמש בשם admin, או בשם שזהה לשם הדומיין, הוא הזמנה.

חמש: הרשאות לפי תפקיד

לא כל מי שכותב תוכן צריך הרשאת מנהל. כותב צריך להיות כותב. ספק חיצוני שסיים פרויקט צריך שהמשתמש שלו יימחק, לא יישאר "ליתר ביטחון". כל חשבון ניהול מיותר הוא עוד דלת.

שש: גיבוי אוטומטי שנשמר מחוץ לשרת

גיבוי שיושב על אותו שרת עם האתר אינו גיבוי — אם השרת נפגע, נפגע גם הוא. הגיבוי צריך לרדת ליעד חיצוני, ולרוץ אוטומטית. וחשוב מכך: פעם ברבעון תשחזרו אותו לסביבת בדיקה, כי גיבוי שלא נוסה מעולם הוא השערה ולא ביטוח.

שבע: תעודת אבטחה והכוונה מלאה ל-HTTPS

לא רק בגלל הצופן. אתר שנטען גם בכתובת מוצפנת וגם בלא מוצפנת יוצר כפילות בגוגל ומאפשר יירוט תעבורה ברשתות ציבוריות. ההכוונה צריכה להיות מלאה, מכל הווריאציות.

מה לעשות אם כבר נפרצתם

1. אל תמחקו מיד. קודם שמרו עותק של האתר במצבו הנוכחי — הוא הראיה היחידה שתאפשר להבין איך נכנסו.
2. החליפו את כל הסיסמאות: ניהול, מסד נתונים, אחסון, דואר. גם אלה שנראות לא קשורות.
3. שחזרו מגיבוי שקדם לפריצה, ורק אחר כך עדכנו הכול. שחזור לגרסה מעודכנת חשוב יותר משחזור לגרסה אחרונה.
4. בדקו משתמשים שנוספו ומשימות מתוזמנות שאינכם מכירים. אלה שתי דרכי החזרה הנפוצות ביותר.
5. בקשו בדיקה חוזרת בכלי מנהלי האתרים אחרי שהאתר נקי, אחרת האזהרה תישאר גם כשהבעיה נפתרה.

מה לא צריך לעשות

לא צריך להתקין חמישה תוספי אבטחה. הם מתנגשים זה בזה, מאטים את האתר, ויוצרים תחושת ביטחון שאינה מדויקת. תוסף אחד טוב, מוגדר נכון, עדיף על חמישה בהגדרות ברירת מחדל.

ולא צריך להסתיר את גרסת וורדפרס. זה נשמע כמו הגנה, אבל סורק לא בודק את המספר שכתוב בקוד — הוא בודק אם החולשה עצמה קיימת. הסתרה מייצרת עבודה בלי להזיז את המחט.

שורה תחתונה

אבטחת אתר קטן היא לא פרויקט, היא הרגל. שבע הפעולות שלמעלה לוקחות בערך שעה להגדרה ראשונה, ואחר כך כמעט אפס תחזוקה. מול העלות של אתר פרוץ — ימי עבודה, אובדן דירוגים, ולעיתים לקוחות שראו אזהרה אדומה בדפדפן — זו העסקה הטובה ביותר שתעשו השנה.