На самом деле контролировать уязвимости WordPress не сложно, если начинать с
малых действий и выполнять базовые вещи, чтобы хоть немного, но повысить
безопасность своего сайта. О сложных проблемах разработчики Вордпресс узнают
быстро и стараются закрывать все дыры и уязвимости в свежих патчах этой СMS. В
таком случае ваша задача предпринять простые шаги для защиты своего ресурса и
просто вовремя обновлять свой сайт. И тогда будет все в порядке
Насколько безопасен WordPress сам по себе?
Всегда при выборе CMS для будущего сайта, веб-мастер ориентируется по
некоторым параметрам:
- Популярность. Этого у WordPress не отнять, ведь более 30% всех сайтов мира
- созданы именно на нем.
- Простота и доступность. Этот движок просто в изучении и к нему доступно
- огромное количество плагинов и тем.
- Безопасность. В общем WordPress безопасен, несмотря на свои уязвимости.
Но у этим преимуществ перед другими CMS есть и обратная сторона медали.
Популярность играет на руку «вредителям», так как много сайтов и не все они
качественно обслужены. И поэтому есть раздолье для взломов и именно поэтому
владельцы сайтов на WP часто сталкиваются с ними.
Огромное наличие разнообразных тем и плагинов — тоже не всегда улучшает
качество безопасности. Так как многие «разработчики» изначально внедряют
вредоносный код в свои «разработки», а наивные пользователи их качают,
устанавливают, а потом мучаются.
Вот и получается, что если относиться с серьезностью к созданию и обслуживанию
своего сайта, то уязвимости WordPress вам будут не страшны.
Но в тоже время наличие огромного сообщества у движка WP — это залог того, что
любая брешь в безопасности будет обнаружена, опубликована и залатана очень
быстро.
Самые распространенные уязвимости WordPress
Чуть ниже мы приведем уязвимости WordPress, которые часто используются для
хакинга:
- Backdoor. Это способ найти «скрытый проход» сквозь протоколы
защищенности, чтобы получить доступ к серверу, где размещен сайт. И если
это получается, то вред наносится всем сайтам, размещенным на данном
сервере. Это один из самых распространенных способов взломать сайт.
Данные уязвимости WordPress можно открыть, если устанавливать темы или
плагины из непроверенных источников или вовремя не обновлять уже
установленные. - Pharma Hacks. Так же имеет распространение через не обновленные
расширения или через не обновленный сам WordPress. Однако преследует
несколько другую цель, чем «Бэкдор». Он вставляет вредоносный код
непосредственно в не обновленную версию сайта/плагина/темы и тем самым
подменяет ваши мета тэги на свои. По факту же получается, что в поисковой
выдаче вместо вашего сайта будет видна реклама какой-либо
фармацевтической компании. То есть это больше похоже на спам, чем на
какую-то опасную угрозу, однако, если это вовремя не заметить, то можно
схлопотать бан от поисковиков. - Брут-форс. В качестве уязвимости WordPress часто используется этот метод
перебора паролей, чтобы получить доступ к админке вашего сайта. Как
правило для этого используют специализированных ботов. Защититься можно
просто, если ограничить количество авторизаций, использовать вход через
смс, использовать надежный пароль, также неплохо было бы наличие
«белых» и «черных» IP. - Перенаправления. Часто используют внедрив в код сайта, используя
backdoors. Вредоносный код может располагаться и в «.htaccess», и в
«index.php», или прямо внутри ядра WP. Суть в том, чтобы перенаправлять
трафик с вашего сайта на другие сайты. Как правило, это сайты с
«пониженной» репутацией. - Скрипт XSS. Как правило, этот способ использует заражающие JavaScript-
скрипты, которые расположены прямо внутри файлов сайта. Цель может быть
разнообразная. - DDos-атаки. От этой уязвимости WordPress не застрахован никто, особенно от
крупных DDos-атак. Ее цель — это «положить» ваш сайт. Достигается из-за
наличия ошибок в коде, используя которые можно просто полностью
остановить сервер, где расположен ваш ресурс. Самым известным примером
подобной атаки является 16-й год, когда в один октябрьский день удалось из-
за нее отключить весь интернет в Европе и Северной Америке.
Как обезопасить себя от уязвимости WordPress
Следуя определенным шагам можно обезопасить себя от уязвимости WordPress . На
все 100% не получится, но существенно снизить риск взломов и атак — это точно
сделаете. И возможно тогда не попадете в ежедневную статистику по взломанным
сайтам. Кстати, кто-то подсчитал, что в день взламывают больше 110 тысяч сайтов.
Основные способы защититься
- Безопасный хостинг. Первое с чего нужно начать — это подобрать безопасный
хостинг для вашего ресурса. Ведь хорошо защищенные сервера существенно
снизить возможность атаки. Для этого выбирайте проверенные с
рекомендациями компании. Помните, что вы им доверяете частичку своих
трудов, а возможно и финансовых вложений. Если есть возможность, то
выбирайте отдельные VPS сервера — там будут расположены только ваши
сайты. На «виртуальном хостинге» помимо ваших сайтов будут расположены
еще десятки других. А это точно снижает защищенность, так как за действия
«других» веб-мастеров вы точно не сможете ответить. - Применяйте актуальную версию PHP. Как вы знаете WordPress -сайты в
основном состоят из PHP. А у разработчиков этого языка есть такая хитрость –
они не поддерживают версии своего языка PHP, которые старше 2-х лет.
Поэтому свежая версия — это залог безопасности и быстрого исправления
ошибок. - Не используйте простые и стандартные логин и пароль. Тут все просто
меняйте стандартный логин «admin» и установите сложный пароль от
админки. Теперь внимание, самый часто используемый пароль 20-го года –
«123456»! Представьте как у некоторых все просто. Если у вас несколько
сайтов, то лучше использовать на разных сайтах — разные пароли. - Постоянно обновляйте компоненты сайта. Как уже было сказано выше, что
основа уязвимости WordPress — это не желание обновлять его компонентов.
Постоянно обновляйте CMS, тему и плагины. При обновлениях устраняются
баги и дыры в безопасности. Все обновления приходят не с «балды», потому
что есть какая-то необходимость. - Защитите панель администрации. Для этого как минимум можно скрыть
стандартную страницу для входа «wp-admin», поменяв на свою и ограничить
количество ввода неправильного пароля. Таким образом вы как минимум
защититесь от брутфорса. Для этих действий можно использовать бесплатные
плагины, которые отлично справятся с этой задачей. - Настройте двухфакторную аутентификацию. Данный способ на 100% способен
защитить вас от брутфорса. Для этого помимо связки «логин-пароль»,
добавляется еще один метод проверки — почта, смс или звонок на ваш
телефон. И получается, что для входа хакеру нужен будет не только «логин-
пароль», но и ваш телефонный аппарат. Для этой настроики тоже можно
использовать бесплатные плагины. - Всегда устанавливайте SSL сертификат на свой ресурс. Тем самым вы
запустите свой сайт через протокол «https» – а это протокол защищенности и
частичка дополнительной безопасности. У таких сайтов в адресной строке
браузера изображен «замочек». - Используйте плагины для защиты. Если есть трудности настраивать
безопасность «ручками», то не лишним будет воспользоваться плагинами, устраняющие многие уязвимости WordPress. Некоторые плагины легко
справятся с задачами, описанными выше. - Защитите базу данных WordPress. Самые простые способы это сделать —
сменить имя БД, на что-то трудно распознаваемое и также поменять
стандартный префикс таблиц «wp_» на что-то собственное. - Убедитесь в безопасности соединения на вашем сервере. Тут просто, узнайте
работает ли ваш хостер с протоколами SSH или SFTP. Они обеспечивают
более защищенное соединение чем стандартный FTP. При этом не лишним
будет обезопасить и свой роутер, чтобы ваша домашняя сеть не была
взломана и взломщик не получил доступ к вашему сайту. А в открытых и
доступных сетях WiFi не заходите в алминку своего сайта. - Правильно назначайте пользователей сайта. Если у вас большой сайт и над
ним работают несколько человек, то не назначайте права администратора
всем подряд. Если человек только пишет тексты — то он автор или редактор, а
не админ. Правильные роли помогут повысить защищенность ресурса. - Создавайте резервные копии. Даже если вы примените все описанные
способы устранить уязвимости WordPress , вы все равно не будете защищены
на 100%, так как методы и способы взлома постоянно усовершенствуются.
Поэтому регулярно делайте резервные копии сайта. И в случае взлома или
поломки сайта вы всегда сможете восстановить свой ресурс менее
болезненно
В заключение
Мы перечислили основные уязвимости WordPress и способы их устранить. Но это не
все. Их на самом деле куда больше, а некоторые ситуации взлома вообще
индивидуальны. Но повысить безопасность своего ресурса можно, если следовать
описанным рекомендациям. В таком случае ваш сайт просто будет лучше защищен
чем других, а следовательно это отсеет многих небольших хакеров, спамеров,
взломщиков и т. д.
Возможно вам будет интересно почитать статью“WhatsApp открыл API для бизнеса“
Свой сайт — это ваш труд, бизнес, хобби или источник дохода. А это значит, что
стоит потратить немного времени, чтобы закрыть основные уязвимости WordPress и
спать спокойнее.
