רשימת אבטחת וורדפרס שכל בעל אתר צריך לעבור עליה פעם ברבעון

רוב אתרי הוורדפרס לא נפרצים בגלל התקפה מתוחכמת וממוקדת. הם נפרצים בגלל משהו קטן שנשמט: תוסף שאף אחד לא עדכן, חשבון משתמש שאף אחד לא ביטל, סיסמה שלא השתנתה מאז 2019. החדשות הטובות הן שבדיקה רבעונית תופסת כמעט את כל זה.

לא צריך להיות מפתח כדי לעבור על הרשימה הזו. תקבעו תזכורת חוזרת כל שלושה חודשים, תפנו 30 דקות, ותעברו על הרשימה למטה. תחשבו על זה כמו בדיקת בריאות שגרתית לאתר שלכם, לא תיקון חד פעמי.

למה בדיקות רבעוניות חשובות ליישום שיטות מומלצות לאבטחת וורדפרס

שיטות מומלצות לאבטחת וורדפרס הן לא משהו שמגדירים פעם אחת ושוכחים ממנו. פרצות אבטחה חדשות מתגלות בתוספים ובתבניות כל שבוע. רשימת המשתמשים באתר שלכם גדלה ומתכווצת. כלים ישנים ננטשים על ידי המפתחים שלהם. רשימת בדיקה שעברתם עליה לפני שנה כמעט לא אומרת לכם כלום על הסיכון שלכם היום.

תדירות רבעונית היא קצב טוב כי הוא תכוף מספיק כדי לתפוס בעיות מוקדם, אבל לא כל כך תכוף שזה הופך למטלה שמדלגים עליה. אם האתר שלכם מטפל בנתוני לקוחות רגישים או מעבד תשלומים, כדאי לכם להריץ גרסה קלה יותר של הבדיקה הזו כל חודש במקום.

1. עדכנו הכל, ואז בדקו מה לא התעדכן

תתחילו מהדבר המובן מאליו: ליבת הוורדפרס, כל התוספים, והתבנית שלכם. אבל אל תעצרו רק בלחיצה על "עדכן הכל". תחזרו ותבדקו אילו פריטים נכשלו בעדכון או תקועים על גרסה ישנה. תוספים נטושים (כאלה שלא עודכנו יותר משנה) הם אחת הדרכים הנפוצות ביותר שדרכן תוקפים חודרים לאתר.

אם תוסף לא נגע בו המפתח שלו יותר מ-12 חודשים, כדאי לשקול להחליף אותו, גם אם הוא עדיין עובד טכנית.

2. בדקו כל חשבון משתמש

עברו ללשונית משתמשים בלוח הבקרה של וורדפרס ובדקו כל חשבון בנפרד. שאלו את עצמכם:

• האם האדם הזה עדיין צריך גישה?
• האם יש לו את התפקיד הנכון, או יותר הרשאות משהוא באמת משתמש בהן?
• האם זה חשבון של פרילנסר או סוכנות ישן שהיה צריך להסיר כבר לפני חודשים?

הסירו או הורידו הרשאות מכל דבר שלא עומד במבחן הזה. קבלן לשעבר עם חשבון מנהל ששכחו ממנו מהווה סיכון גדול יותר מרוב ההתקפות החיצוניות.

3. בדקו את הסיסמאות ואת אבטחת ההתחברות שלכם

ודאו שכל חשבון ברמת מנהל משתמש בסיסמה ייחודית וחזקה, לא כזו שכבר שימשה באתר אחר. אם עדיין לא הפעלתם אימות דו-שלבי, זה הזמן לעשות את זה. עברנו על השלבים המדויקים במאמר איך להגדיר אימות דו-שלבי בוורדפרס בפחות מעשר דקות, וזה באמת לוקח פחות זמן מקריאת החלק הזה.

בזמן שאתם שם, ודאו שהגבלת ניסיונות ההתחברות עדיין פעילה. בוטים שמנסים לפרוץ בכוח לא מפסיקים לנסות רק כי הגדרתם את זה פעם אחת. למבט מעמיק יותר על האיזון בין אבטחה לנוחות שימוש, ראו איך להגביל ניסיונות התחברות בוורדפרס בלי לתסכל משתמשים אמיתיים.

4. חפשו קבצים לא מוכרים ומשתמשי מנהל חשודים

תוקפים שמקבלים גישה משאירים לעיתים קרובות דלתות אחוריות, קבצים קטנים שמאפשרים להם לחזור פנימה גם אחרי שניקיתם את הבלגן הגלוי. השתמשו במנהל הקבצים של האירוח שלכם או בגישת SSH כדי לסרוק אחר קבצים עם שמות חריגים בתיקיית ההעלאות, או קבצים עם תאריכי שינוי אחרונים שאתם לא נגעתם בהם.

כמו כן, בדקו שוב את רשימת משתמשי המנהל שלכם, הפעם ספציפית לחיפוש חשבונות שאתם לא מזהים. זו בדיקה שונה מהשלב השני, כי אתר שנפרץ יכול לקבל חשבון מנהל זדוני שנוסף בלי שהוא יופיע בזרימת העבודה הרגילה שלכם.

5. בדקו את מצב הגיבויים שלכם

שאלו את עצמכם בכנות: אם האתר שלכם היה נמחק מחר, הייתם יכולים לשחזר אותו תוך פחות משעה? ודאו שהגיבויים באמת פועלים, לא רק מוגדרים. ודאו שהם כוללים גם קבצים וגם את מסד הנתונים. ובאמת בדקו שחזור בעותק בדיקה (staging) לפחות פעם בשנה, לא רק כשהאסון קורה.

אירוח מנוהל טוב מריץ גיבויים אוטומטיים יומיים למיקום נפרד, כך שהשלב הזה הופך לבדיקת נקודה קצרה במקום ריצה בהיסטריה. אם אתם רוצים להבין איך אמורה להיראות הגדרת גיבוי מוצקה, סקירת הגיבויים שלנו מכסה את היסודות.

6. הריצו סריקת תוכנות זדוניות ושלמות קבצים

גם כשהכל מעודכן והגישה נעולה, כדאי להריץ סריקה שמשווה את קבצי הליבה של וורדפרס שלכם לגרסאות הרשמיות ומסמנת כל דבר שהשתנה או שהוזרק אליו קוד חשוד. תוספים כמו Wordfence או Sucuri יכולים לעשות את זה, או שהאירוח שלכם עשוי להציע סריקה כחלק מסביבת האירוח עצמה.

אם אתם לא בטוחים עד כמה יסודית ההגנה הנוכחית שלכם, המאמר איך לבדוק את הגנת האבטחה הנוכחית של האתר שלכם בלי לשכור מומחה עובר על תהליך בדיקה רחב יותר.

7. בדקו את תעודת ה-SSL ואת הגדרת ה-HTTPS

ודאו שתעודת ה-SSL שלכם תקפה ומוגדרת לחידוש אוטומטי. בדקו גם שכל עמוד באמת נטען דרך HTTPS, לא רק דף הבית שלכם. אזהרות תוכן מעורב (מקום שבו חלק מהמשאבים נטענים דרך HTTP) נפוצות אחרי עדכוני תבנית או תוספים ופוגעות בשקט במצב האבטחה שלכם.

8. בדקו את חוקי החומת האש וחוקי הגישה שלכם

אם אתם משתמשים בחומת אש לאפליקציות רשת, הקדישו כמה דקות לבדיקת יומני החסימה. האם יש דפוסים של התקפות חוזרות מאותן מדינות או טווחי כתובות IP? האם חוקי הגבלת הקצב שלכם עדיין מתאימים לרמות התנועה הנוכחיות שלכם? WAF שהוגדר לפני שנתיים אולי לא משקף את האופן שבו האתר שלכם משמש היום.

איך לגרום לרשימת הבדיקה לקרות בפועל

הסיבה הגדולה ביותר לכך שרשימות בדיקה לאבטחה נכשלות היא לא שאנשים לא יודעים מה לבדוק. זה שאף אחד לא מקדיש לזה זמן. תקבעו עכשיו אירוע חוזר ביומן, פעם ברבעון, עם הרשימה הזו מצורפת. עוד יותר טוב, תחלקו פריטים ספציפיים למי שמנהל את האתר שלכם ביום יום.

אם לוח הבקרה של הוורדפרס שלכם מציג אזהרות אבטחה או מסמן רכיבים מיושנים באופן אוטומטי, השתמשו בזה כרשימת ההתחלה שלכם במקום לעבור על הכל ידנית מאפס. הגדרת וורדפרס מנוהלת טובה תציג בפניכם את האזהרות האלה עוד לפני שתתחילו ללחוץ על ההגדרות.

לסיכום

אף אחד משמונת השלבים האלה לא לוקח יותר מכמה דקות בנפרד. יחד, הם מכסים את הרוב המכריע של הדרכים שבהן אתרי וורדפרס באמת נפרצים. שיטות מומלצות לאבטחת וורדפרס הן לא עניין של מציאת הגדרה מושלמת ובלתי ניתנת לפריצה. הן עוסקות בסגירת הפערים הקטנים והמשעממים לפני שמישהו אחר ימצא אותם קודם. תשימו את זה ביומן, תעברו על הרשימה, ותמשיכו הלאה עם הרבעון שלכם.