WordPress biztonság – áttekintés cégvezetőknek
Amikor manapság az internet kerül szóba, az egyik forró téma a biztonság kérdése. Gyenge WordPress biztonság miatt titkok kitudódhatnak, adatok szivároghatnak ki, rossz hírbe kerülhet a cég a piacon vagy akár a vállalkozás honlapja is leállhat és nem tud fogadni érdeklődőket.
Valóban, a biztonság ma az internet legfontosabb kérdése, de sajnos sok felhasználó és weboldal-adminisztrátor nem rendelkezik elég tudással a témában.
Ebben a cikkben áttekintjük a WordPress biztonság kérdését, hogy cégvezetői szinten tisztába kerüljünk a legkritikusabb dolgokkal, amik egy WordPress weboldal biztonságossá tételéhez szükségesek.
A WordPress egy hatalmas nyílt forráskódú projekt, és egyben a legismertebb CMS (tartalomkezelő rendszer). Statisztikák alapján WordPress van a világ honlapjainak 34%-a mögött, és az ismert CMS-ű weboldalak több, mint 60%-a WordPress alapú. Ez a hihetetlen népszerűség egyben a legkívánatosabbá is teszi a hackerek számára is. Valóban, ha kiderül egy fontos biztonsági rés a WordPress-ben, akkor az az internet egy harmadát érinti!
Biztosan hallott már olyanról, hogy egy WordPress weboldalt támadás érte (én is javítottam már ilyet), így aztán a kérdés, ami minden nap felmerül, az, hogy “Elég biztonságos-e egy WordPress weboldal?” Ebben a cikkben kicsit mélyebben belemegyünk a témába, pár statisztikai adattal, a WordPress biztonság rétegeivel, valamint a honlap-adminisztrátorok felelősségével is foglalkozunk.
WordPress biztonsági statisztika
forrás: sucuri.net
Ahogy a Sucuri és a GoDaddy jelentése mutatja, a 2018-ban megfertőzött 25.466 oldal 90%-a WordPress-es volt. A jelentés szerint a WordPress-fertőződések aránya nőtt 2017-hez képest.
Ha a legkirívóbb problémákat tekintjük, nem találunk semmit, ami magával a WordPress magjával lenne kapcsolatos. Érdekes módon nem magával a WordPress-szel van a baj! Ami számít, az a beállítások, a használat módja és az, amit az adminisztrátorok tesznek (vagy nem tesznek).
Tudjuk, hogy a WordPress egy nyílt forráskódú projekt, ami azt jelenti, hogy mindenki láthatja a programkódot és megváltoztathatja azt. Másfelől pedig ez módot ad arra is, hogy bárki gyorsan felfedezzen egy potenciálisan veszélyes vagy hibás kódot, és a hibajavítás gyorsan végigterjedjen a WordPress-t használó weboldalakon, megvédve azokat.
A statisztikák alapján tehát a WordPress önmagában nem jelent nagyobb veszélyt, mint bármilyen más megoldás. Tehát a WordPress biztonság olyasmi, ami működik!
A WordPress biztonság rétegei
Fel kell ismernünk ezért, hogy egy WordPress weboldal biztonsága nem önmagában a WordPress- használatán múlik. Függ például máson is, mint a sablonok, a bővítmények, valamint a tárhely biztonsági beállításai és legfőképpen az adminisztátorok, karbantartók hozzáértése.
A WordPress mag biztonsága
Ha például egy WordPress-es weboldal nincs rendszeresen frissítve, akkor bizony azonnal kitettük magunkat a hackerek támadásainak! Fontos tehát, hogy úgy rendeljünk weboldal készítést, hogy egyben az oldal rendszeres karbantartása-frissítése is benne legyen.
Mivel a hackerek könnyen meg tudják állapítani a WordPress verziószámát, azt is tudják, melyik honlapot érdemes támadni. Minél régebbi a weboldal WordPress verziója, annál több biztonsági rés lehet benne, és annál nagyobb az esély egy megfertőződésre. Rendszeres karbantartással ez a probléma kikerülhető.
Sablonok és bővítmények biztonsága
Ismeretlen források
A legtöbb WordPress-oldal az ún. “hátsó ajtók” miatt fertőződik meg. Amennyiben a fejlesztő letöltött egy bővítményt egy ismeretlen (nem fizetős) helyről, rögtön kitette a honlapot fertőződésnek. (Nekem egy éve ki kellett javítanom egy weboldalt, ami havonta összeomlott, mert az eredeti fejlesztő egy lopott bővítménnyel próbált spórolni.)
Nem frissített sablonok és bővítmények
Ahogy a WordPress magját, a bővítményeket is frissíteni kell, mert a hackerekkel folytatott bújócskában fontos lépést tartani. Olyan fejlesztőt kell választani, aki egyúttal vállalja a weboldal rendszeres karbantartását, és akkor nyugodtan alhatunk.
Tárhely beállítások
Előfordul, hogy egy weboldal az osztott tárhely miatt fertőződik meg. Egy osztott tárhelyen 500 másik weboldallal osztozunk, és ha valamelyik megfertőződik, a fertőzés átkúszhat a szomszédos honlapokra is.
Ebből következően érdemes a weboldalt egy megbízható tárhelyre tenni, ahol értenek is a webszerver beállításához és a biztonsági óvintézkedések megtételéhez.
Adminisztráció
Ahogy korábban említettük, az admin-ok a problémák legnagyobb okozói, és ők a fő okai annak, hogy egy weboldalt feltörik a hackerek. Ez a statisztikák szerint így van, de sajnos mégsem irányul erre elég nagy figyelem.
Ha például egy könnyen kitalálható admin felhasználónév / jelszó páros lett beállítva, az automata hacker programok ezt könnyen kitalálják, és már bent is vannak az oldalon, ahol elhelyezhetik a kártékony kódjukat, tönkretéve ezzel a weboldal működését.
Összegzésként: A WordPress-szel nincs baj, nyugodtan lehet ilyen weboldalt készíttetni, de csak hozzáértő, a biztonságra kiemelten figyelő szakember által, aki aztán a rendszeres karbantartást, frissítést is elvégzi.
Így egy hosszú távon megbízhatóan működő, kiszámíthatóan pénzt termelő weboldalunk lehet.
