Многие из нас задумываются о безопасности своего сайта. Но безопасность предполагает и правильныее превентивные меры защиты сайта, это касается как выбора тем и плагинов WordPress так и контроль за их актуальным состояянием. В интервью журналу Smashing Magazine руководителю отдела продуктов безопасности в GoDaddy Тони Пересу был задан следующий вопрос.
Содержание
Что делает WordPress уязвимым?
«Вот простой ответ. Старые версии WordPress, а также уязвимости тем и плагинов, помноженные на популярность CMS, с конечным пользователем, добавленным в смесь, создают уязвимый веб-сайт ». — Тони Перес
Наиболее распространенные угрозы для любой CMS связаны с уязвимостями, которые были представлены сторонними модулями, плагинами, темами и расширениями.
Обеспечение регулярного аудита ваших плагинов и тем WordPress улучшит ваше состояние безопасности, минимизирует возможные уязвимости и угрозы. И плагины, и темы могут быть использованы в качестве бэкдора хакерами, стремящимися получить доступ к вашему сайту.
Каждый хакер ищет устаревшие или плохо поддерживаемые плагины и темы: возможность принудительного входа. Вредоносные пользователи запускают автоматические сценарии (боты), чтобы определить, присутствует ли уязвимость веб-сайта. Это не имеет никакого отношения к тому, кто вы есть, или насколько велик ваш сайт. Если вредоносные актеры найти уязвимость в одном из ваших тем WordPress или плагинов, вы можете держать пари , что они будут использовать их.
Как проверить плагины и темы WordPress
Вы можете оценить безопасность ваших плагинов и тем WordPress, измеряя следующие показатели:
У плагина или темы большая база для установки?
Это может помочь вам определить репутацию разработчика. Если тема или плагин имеют большую пользовательскую базу, есть больше шансов, что их поддержат надежные ресурсы.
Много ли отзывов пользователей и средняя оценка высока?
Оценка здесь — это вызов здравого смысла. Попробуйте прочитать как хорошие, так и плохие отзывы, чтобы понять средний пользовательский опыт.
Поддержка обновления или исправления безопасности?
Убедитесь, что разработчики активно работают над любыми плагинами и темами, которые были установлены на вашем сайте WordPress. Убедитесь, что исправления регулярно предоставляются пользователям. Когда последний раз плагин обновлялся? Если это было более 6 месяцев назад, вы можете рассмотреть альтернативный плагин или тему, которая поддерживается
Условия обслуживания или политика конфиденциальности
Если они это сделают, это хороший признак того, что плагин или тема является законным. Вы должны внимательно прочитать условия обслуживания, поскольку они могут включать нежелательные дополнения или «функции», которые не были объявлены для плагина или расширения.
Есть ли контактный адрес в ToS или страница контактов?
Важно иметь возможность связаться с автором / разработчиком, если вам нужна дополнительная помощь или информация. Наличие физического адреса служит индикатором достоверности и указывает, что он может быть получен из надежного источника.
Есть ли у плагина страница поддержки?
Плагины и темы из официального репозитория WordPress включают страницу поддержки, на которой пользователи могут задавать вопросы разработчику или сообщать о проблемах. Рекомендуется прочитать о том, о каких проблемах сообщают люди, и проверить, как часто разработчик реагирует на (и исправляет) ошибки или жалобы.
Теперь, когда мы определили, как выбрать наиболее безопасный плагин и тему для вашего сайта WordPress, давайте перейдем к тому, как обезопасить вашу установку WordPress.
Резервное копирование WordPress
Каждый веб-сайт должен регулярно создаваться резервные копии. Ищите следующие требования в вашем решении для резервного копирования
- Вне сайта: Резервные копии должны храниться не на сервере вашего сайта, а как отдельный экземпляр.
- Автоматический : так же, как метод предосторожности на случай сбоя памяти.
- Надежное восстановление. Сохраняйте резервные копии своих резервных копий и проверяйте их, чтобы убедиться, что они работают.
Если вы хотите узнать больше о резервных копиях и других методах обеспечения безопасности веб-сайтов, наш блог « 10 советов по улучшению безопасности веб-сайтов» — отличное начало.
Удаление и очистка от неиспользуемых или устаревших плагинов и тем.
Когда дело доходит до безопасности сайта, чем меньше, тем лучше. Удалите неиспользуемые сторонние компоненты и держите все в порядке, чтобы уменьшить уязвимости.
Вы можете думать о своей установке WordPress как о своем доме: чем больше у вас вещей, тем труднее заметить, когда что-то не на своем месте или когда какой-то предмет пропадает.
Чтобы проверить ваш веб-сайт, воспользуйтесь этим быстрым контрольным списком из нашей статьи « Как выполнить аудит веб-сайта» вместе с оценочными моментами, которые мы только что прошли.
Контрольный список аудита безопасности:
- Обновить
- Проверьте программное обеспечение
- Проверьте плагины
- Пароли
- удалять
- Неактивные или неиспользуемые плагины
- Устаревшее или небезопасное расширение
- Рассмотрение
- Доступ пользователя и учетной записи — минимум привилегий
- Файловые права
- Настройки плагина безопасности
- Настройки резервного копирования
- SSL сертификат
- Изменения в файлах
Безопасность вашего сайта должна быть на первом месте, это один из важных факторов для развития сайта.
Какие меры предпринимаются для предотвращения использования устаревших и плохо поддерживаемых плагинов и тем?
Какие методы и инструменты рекомендуется использовать для аудита плагинов и тем на сайте?
Есть ли специфические уязвимости, связанные с конечными пользователями и как их можно предотвратить?
Какие меры безопасности рекомендуется принимать, чтобы предотвратить использование плагинов и тем как бэкдора хакерами?
Какие дополнительные меры безопасности могут быть предприняты для защиты от уязвимостей плагинов и тем WordPress?