6 sfaturi pentru rezolvarea problemelor de securitate WordPress

Bun venit la Cel mai popular CMS de pe Pământ

WordPress este una dintre cele mai mari ținte ale atacurilor cibernetice. Asta pentru că WordPress este de departe cel mai popular sistem de management al conținutului (CMS) din lume: alimentează 43,1% din toate site-urile web și se mândrește cu o cotă de piață CMS de 63,6% conform W3Techs. Pentru comparație, locul al doilea este Shopify, care alimentează 3,8% dintre site-uri web și are o cotă de piață CMS de 5,6%.

Platforma sa de comerț electronic gratuit, WooCommerce, este, de asemenea, un jucător important în sine – fiind cea mai populară soluție de comerț electronic cu sursă deschisă din lume.

Asta ridică o întrebare evidentă: ce ar trebui să faci când vine vorba de securizarea WordPress pe site-ul tău și de prevenirea sau remedierea vulnerabilităților WordPress? Din cele mai bune practici de securitate cibernetică de la Coalition Technologies, iată cele mai bune 6 sfaturi pentru rezolvarea problemelor de securitate WordPress.

De ce să alegeți WordPress?

WordPress este extrem de flexibil și puternic și, deoarece este open source, este, de asemenea, foarte rentabil și popular. Cu WordPress fiind cea mai mare platformă de pe web, există o mulțime de experți în securitate cibernetică care sunt disponibili pentru a ajuta cu securitatea unui site web WordPress pentru o fracțiune din costul a ceea ce ar putea fi pentru o platformă personalizată.

1. Protejați-vă acreditările de conectare

Cel mai puternic pas pe care îl puteți face în rezolvarea problemelor de securitate WordPress este să nu aveți acele probleme în primul rând – iar protejarea acreditărilor dvs. de conectare poate reduce încălcările de date cu mai mult de jumătate.

Potrivit Verizon în Raportul de investigații privind încălcarea datelor din 2021, 61% dintre încălcările de date au implicat utilizarea acreditărilor de conectare într-un fel. Acest lucru se întâmplă cel mai frecvent din cauza:

• Furtul parolei
• Atacurile de forță brută
• Utilizarea greșită internă a acreditărilor

Apărați-vă împotriva furtului de parolă

Hackerilor le place să se îndrepte spre fructele care nu se potrivesc, iar remedierea vulnerabilităților WordPress începe cu tăierea tuturor fructelor care nu se potrivesc înainte ca hackerii să-l poată ajunge.

• Actualizați toate parolele în mod regulat. 90 de zile (o dată pe trimestru) este o valoare implicită bună.

• Folosiți parole unice și nu le reutilizați niciodată. PurpleSec spune că 25% dintre angajați folosesc aceeași parolă pentru orice, ceea ce ar trebui să deranjeze pe oricine.

• Stocați corect parolele. WordPress gestionează totul în siguranță la capăt, dar dacă angajații tăi își notează parolele pe note lipicioase sau Google Docs, se pot scurge.

• Luați în considerare ca parolele să expire. Acest lucru îi obligă pe oameni să-și actualizeze parolele, dar îi poate determina și pe unii angajați să devină neglijenți în ceea ce privește stocarea parolelor. Rezolvarea problemelor de securitate WordPress pe termen lung înseamnă atenuarea acestei vulnerabilități cu politicile de parole.

Întăriți-vă împotriva atacurilor cu forță brută

Hackerii pot folosi, de asemenea, atacuri de forță brută pentru a fura acreditările. Aceasta înseamnă ghicirea parolelor la întâmplare, de milioane de ori, până la găsirea unei permutații care funcționează.

• Limitați numărul de încercări de conectare permise. Un plugin de securitate WordPress bun va gestiona acest lucru pentru dvs., remediand și vulnerabilitățile WordPress pe măsură ce sunt descoperite.

• Folosiți parole unice. Ca și înainte, rezolvarea problemelor de securitate WordPress înseamnă utilizarea parolelor unice și utilizarea lor o singură dată.

• Folosiți parole robuste. Parolele ar trebui să aibă cel puțin 8 caractere și, în mod ideal, vor implica cifre, litere și caractere speciale. Iată câteva sfaturi. De asemenea, puteți utiliza parole memorabile, ceea ce ajută la reducerea problemelor de memorie. Centrul Național de Securitate Cibernetică al guvernului Regatului Unit susține ideea celor trei cuvinte aleatorii – deși patru sau cinci cuvinte sunt chiar mai bune.

• Blocați anumite țări sau adrese IP care generează o mulțime de încercări eșuate de conectare. În special, blocați aceste surse să nu acceseze conturi sensibile cu acces la panourile de administrare folosind firewall-uri.

Utilizați cele mai bune practici de protecție cu parolă

La Coalition Technologies lucrăm neobosit pentru a menține în siguranță acreditările clienților noștri. De-a lungul anilor, ne-am construit un istoric mândru de politici de protecție cu parole de cele mai bune practici. În mod similar, rezolvarea problemelor de securitate WordPress necesită politici proprii de protecție a parolelor. Iată câteva îndrumări pentru remedierea vulnerabilităților WordPress la nivel de resurse umane:

• Limitați accesul de conectare la nevoie. Oferiți angajaților doar nivelul minim de permisiuni de care au nevoie și acordați-le doar acces la filele și sistemele de care au nevoie. Limitați conturile „admin” cu acces universal la numărul minim posibil de persoane.

• Implementați o formare eficientă a angajaților. Uneori, folosirea greșită a parolelor de către angajații nemulțumiți este rău intenționată (caz în care puteți limita daune limitând accesul așa cum s-a menționat mai sus). Dar, de cele mai multe ori, această utilizare greșită este neintenționată, iar rezolvarea problemelor de securitate WordPress cu scurgeri de parole poate fi prevenită cu o pregătire bună. Asigurați-vă că procesul dvs. de integrare include un modul despre securitatea parolei și luați în considerare implementarea unor module periodice de reîmprospătare la fiecare 12 – 24 de luni.

2. Instalați un plugin de securitate WordPress bun și urmați cele mai bune practici

Nucleul WordPress este foarte sigur, cu talent de clasă mondială în domeniul securității cibernetice care lucrează pentru a menține în siguranță milioane de site-uri web. Dar WordPress permite și utilizarea pluginurilor. Aceste plugin-uri extind funcționalitatea WordPress în mod masiv, dar introduc și noi vulnerabilități potențiale de securitate.

Cu toate acestea, există o întreagă industrie construită în jurul securizării pluginurilor WordPress, iar aceste produse sunt ele însele pluginuri WordPress. Cunoscute sub numele de „pluginuri de securitate”, acestea sunt utilități obligatorii pentru rezolvarea problemelor de securitate WordPress și remedierea vulnerabilităților WordPress în timp real. Prima ta oprire după instalarea sau actualizarea software-ului de bază WordPress ar trebui să fie să alegi un plugin de securitate WordPress bun și să-l configurezi corect.

Recomandările noastre pentru pluginul de securitate

Există multe pluginuri bune de securitate WordPress acolo. Clienții noștri se bazează pe arhitectura WordPress pentru venituri de milioane de dolari. Securitatea site-ului este absolut critică.

Atunci când colaborăm cu clienții noștri pentru a oferi serviciile noastre extinse de web design WordPress, recomandăm în special aceste două plugin-uri pentru rezolvarea problemelor de securitate WordPress:

• Securitate Wordfence – Firewall, scanare malware și securitate autentificare
• Defender Security – Scanner de programe malware, securitate de conectare și firewall

Folosim în mod obișnuit aceste pluginuri de securitate pentru clienții noștri atunci când gestionăm site-urile lor WordPress.

Asigurați-vă configurarea corectă a pluginului de securitate

Experții în cercetarea cuvintelor cheie de la Semrush recomandă acești pași critici pentru rezolvarea preventivă a problemelor de securitate WordPress:

• Limitați numărul de încercări de conectare permise. Am acoperit deja acest lucru, dar merită repetat ca o modalitate excelentă de a remedia preventiv vulnerabilitățile WordPress.

• Ascundeți pagina de autentificare din vizualizarea publică. Vizitatorii site-ului dvs. nu ar trebui să poată ajunge la pagina dvs. de conectare prin navigarea pe site sau ghicind adresa URL. Adresa URL a paginii de conectare ar trebui să fie obscure și deconectată de alte pagini.

• Eliminați paginile backend, admin și coș de cumpărături din indexarea motoarelor de căutare. Aceste pagini sunt, în mod evident, mult mai vulnerabile la hacking, așa că în acest caz, rezolvarea problemelor de securitate WordPress înseamnă păstrarea acestor pagini în afara rezultatelor căutării.

• Faceți copii de rezervă ale site-ului dvs. în mod regulat. Puteți face acest lucru fie manual, fie automat, dar faceți-o în mod regulat. Orice lucru pentru care nu este copiat de rezervă ar trebui să fie considerat pierdut, pentru că la asta se va reduce într-un atac de tip ransomware. Copiile de rezervă ar trebui să fie găzduite pe un server diferit și să utilizeze acreditări de acces diferite. Atunci când este fezabil, este, de asemenea, inteligent să păstrați backup-uri locale „la rece”. Acest lucru este deosebit de important pentru întreprinderile mai mici.

3. Auditați temele și pluginurile cu atenție înainte de instalare

Când vine vorba de alte pluginuri WordPress (în afară de pluginuri de securitate) și teme WordPress, este esențial să înțelegeți că aveți de-a face cu o gamă foarte largă de produse și calitate. Orice strategie bună pentru remedierea vulnerabilităților WordPress înseamnă să faceți multă diligență în auditarea acestor aplicații.

Multe plugin-uri și teme sunt solide și oferă funcționalități esențiale și opțiuni de aspect de care site-ul dvs. are nevoie pentru a înflori. Alte plugin-uri și teme sunt prost proiectate și vulnerabile la exploatările de securitate ale hackerilor. Și câteva sunt de-a dreptul malware.

WordPress este vigilent la rezolvarea problemelor de securitate WordPress cu pluginuri și teme prin blocarea programelor malware și spam-ului, dar uneori, câteva dintre aceste ouă rele trec peste. Iată câteva dintre cele mai bune practici pentru auditarea pluginurilor și temelor care vă interesează:

• Un număr mare de descărcare este de obicei mai sigur. Programele malware sunt prinse devreme, iar temele și pluginurile proaste nu devin niciodată populare, așa că numai lucrurile care funcționează este probabil să strângă un număr mare de descărcări.

• Un număr mare de recenzii pozitive ale utilizatorilor reprezintă un indicator de încredere. Dacă mulți oameni au acordat unui plugin sau unei teme o evaluare cu stele perfectă sau aproape perfectă, acesta este un semn bun. Dar asigurați-vă că citiți și câteva dintre recenziile medii și negative, pentru a vedea ce fel de plângeri au oamenii.

• Căutați pe web companii și organizații de știri care vorbesc despre experiența lor folosind aceste plugin-uri. Când vine vorba de rezolvarea problemelor de securitate WordPress și remedierea vulnerabilităților WordPress pentru afacerea dvs., este posibil ca recenziile utilizatorilor să nu aibă profunzimea sau credibilitatea pe care o căutați. Așa că accesați online și căutați nume în care aveți încredere. Vezi ce spun ei despre aceste aplicații.

De unde ar trebui să obțineți pluginuri?

Când aveți îndoieli, alegeți pluginuri WordPress din surse de renume:

• Depozitul oficial de pluginuri WordPress este cel mai bun pariu al tău, iar dacă primești doar pluginuri dintr-o singură sursă, obține-le aici.

• Piețele terțe de renume pentru pluginuri, de exemplu, CodeCanyon, sunt o altă sursă bună pentru pluginuri. Piețele de renume pun foarte mult accent pe rezolvarea problemelor de securitate WordPress, deoarece reputația lor depinde de asta.

• Site-urile pentru dezvoltatori de pluginuri WP, cum ar fi WPMU DEV, sunt o altă sursă de înaltă calitate pentru pluginuri. Aceste comunități de dezvoltatori de pluginuri WordPress de carieră se reunesc pentru a crește vizibilitatea și încrederea produselor lor.

Pluginurile bune au echipe de dezvoltare bune, iar vulnerabilitățile acestor plugin-uri sunt de obicei corectate rapid de dezvoltatorii sau agențiile independenți care le-au creat. Și când nu sunt, de obicei există multe plugin-uri alternative diferite care oferă aceeași funcționalitate în siguranță.

4. Actualizați totul și reaudiați

Este ușor să lăsați software-ul să rămână în urmă din cauza timpului necesar pentru actualizare (și a timpului necesar pentru a remedia lucrurile întrerupte de actualizări), dar acest lucru este teribil, deoarece multe dintre aceste actualizări conțin patch-uri pentru remedierea vulnerabilităților sau vulnerabilităților WordPress în pluginurile WordPress sau teme. De aceea, organizații precum Search Engine Journal vă recomandă să vă mențineți pluginurile și temele la zi.

Nu există nicio acoperire cu zahăr: acesta este unul dintre sfaturile noastre cele mai consumatoare de timp pentru a rezolva problemele de securitate WordPress. Dar trebuie să puneți timp, pentru că altfel, deschideți ușa atacatorilor cibernetici.

Aceasta include software-ul de bază WordPress, versiunea PHP pe care o rulează și toate temele și pluginurile. TOATE trebuie să fie actualizate atunci când devin disponibile noi actualizări și, atunci când le actualizați, toate pluginurile și funcțiile afectate trebuie auditate din nou pentru a vă asigura că totul funcționează corect.

Alocați forță de muncă continuă

A ține pasul cu actualizările de bază WordPress și actualizările pluginurilor trebuie să facă parte din fișa postului cuiva. Dacă rezolvarea problemelor de securitate WordPress prin actualizarea preventivă nu este pe radarul cuiva, acesta este genul de lucru care tinde să fie uitat.

Actualizarea software-ului și remedierea vulnerabilităților WordPress nu generează vânzări în mod direct, ci acționează pentru a preveni costurile potențial catastrofale și ar trebui să fie bugetate în consecință. Asigurați-vă că vă pregătiți compania pentru succes, asigurându-vă că administratorul de sistem sau echipa IT are lățime de bandă pentru a rămâne la curent cu actualizările.

La Coalition Technologies, rămânem la curent cu actualizările, ca parte a strategiei noastre de succes pentru stabilirea clienților pentru o creștere durabilă pe termen lung.

Fiți atenți la actualizări

Un lucru de știut despre rezolvarea problemelor de securitate WordPress prin instalarea diligentă a actualizărilor pe măsură ce sunt lansate: WordPress examinează toate pluginurile care sunt trimise în depozitul său oficial, pentru a filtra spam-ul, a detecta erori comune grave și pentru a se asigura că pluginurile sunt conforme cu WordPress. instrucțiuni.

Cu toate acestea, odată ce un plugin este aprobat și listat, WordPress nu are capacitatea de a audita din nou toate aceste pluginuri terță parte de fiecare dată când un plugin este actualizat. Baza de cod a unui plugin poate și adesea se schimbă semnificativ după acea revizuire inițială, iar WordPress nu ar ști.

Acest lucru se întâmplă de obicei din motive legitime - de exemplu, upgrade-uri UX, remedierea vulnerabilităților și erorilor WordPress și adăugarea de noi funcții. Dar hackerii pot juca sistemul punând o versiune inițială a plugin-ului lor, care trece de adunare și apoi adăugând malware cu actualizările ulterioare. Se poate întâmpla și atunci când un plugin existent este abandonat sau vândut, iar o terță parte rău intenționată îl preia și adaugă malware. Înseamnă că o parte din munca de rezolvare a problemelor de securitate WordPress revine dvs.

Examinați întotdeauna notele de actualizare atunci când un plugin este actualizat și nu vă grăbiți să fiți un utilizator timpuriu fără verificare externă: vedeți mai întâi ce spun alții.

Utilizați serviciile de căutare a vulnerabilităților

De asemenea, puteți utiliza servicii precum Baza de date de vulnerabilități WPScan, care vă poate ajuta să rezolvați problemele de securitate WordPress, anunțându-vă din timp cu privire la riscurile de securitate nou descoperite.

Dacă sunteți în parteneriat cu Coalition Technologies pentru a vă gestiona site-ul WordPress, ne facem propria noastră verificare a temelor și a pluginurilor WordPress și ne asumăm responsabilitatea pentru remedierea vulnerabilităților WordPress la care este expus site-ul dvs., oferindu-vă liniște sufletească și descărcarea unei sarcini care consumă timp. .

5. Identificați atacurile de tip phishing

O sursă majoră de vulnerabilitate a securității cibernetice este phishingul și, deși acesta este un fenomen la nivel de internet, acesta ar trebui să fie discutat în contextul cazurilor de utilizare WP și al soluționării problemelor de securitate WordPress. Phishers deseori falsifică WordPress în sine sau falsifică e-mailurile clienților. Firma de securitate cibernetică Varonis are o notă bună despre cum funcționează phishingul.

Orice cu hyperlinkuri pe care nu le controlați ar putea fi un atac de tip phishing — site-uri web, documente digitale etc. — dar mai ales e-mail.

Atenție la e-mailurile primite

Aproape toate atacurile de tip phishing încep prin e-mail. (Este de aproximativ 90% conform CyberTalk.org.) Asta înseamnă că companiile trebuie să învețe angajații cele mai bune practici de autoapărare prin e-mail. Acesta nu este atât de mult despre remedierea vulnerabilităților WordPress, cât împiedică comportamentul echipei tale să devină un vector pentru atacuri de securitate cibernetică.

Asigurați-vă că aveți înregistrări DMARC și SPF configurate pentru DNS-ul dvs., ceea ce va împiedica oamenii să vă utilizeze domeniul în e-mailuri, deoarece fie vor ajunge în nedorit, fie nu vor fi niciodată trimise, în funcție de politica DMARC setata. .

Apărați-vă împotriva linkurilor false

Phishers folosesc linkuri false, care uneori sunt deghizate pentru a arăta ca site-uri obișnuite, cum ar fi Google. O metodă de rezolvare a problemelor de securitate WordPress prin securizarea împotriva phishingului este modificarea antetelor de securitate ale opțiunilor X-Frame-Opțiuni ale site-ului dvs., care nu vor permite ca site-ul dvs. să fie utilizat într-un iframe de către site-uri externe.

Utilizați adrese URL reale

În cele din urmă, nu utilizați dispozitive de scurtare a linkurilor, care nu dezvăluie utilizatorului site-ul de destinație finală.

6. Asigurați-vă rețeaua

Un alt sfat important pentru rezolvarea problemelor de securitate WordPress este să vă securizați rețeaua. În această eră a pandemiei de telecommuting și locuri de muncă globale, companiile transmit în mod obișnuit informații critice pe internet, creând multe oportunități pentru vulnerabilități de securitate.

WordPress este o platformă foarte flexibilă, ceea ce înseamnă că puteți corecta metodele exploatate în mod obișnuit cu fragmente de cod simple găsite online, cum ar fi dezactivarea XMLRPC și necesitatea autentificarea pentru a accesa WP-JSON. Remedierea vulnerabilităților WordPress este adesea la fel de simplă ca instalarea și utilizarea pluginurilor adecvate.

În plus, opțiunile de autentificare cu mai mulți factori sunt disponibile cu ajutorul pluginurilor WordPress.

Practicați pregătirea solidă și prevenirea

Firewall-urile pentru aplicații web, cum ar fi Cloudflare și multe altele, și-au conceput WAF-ul special pentru a proteja aplicațiile WordPress de diferite tipuri și modele de atac comune. Mulți furnizori de găzduire oferă gratuit un serviciu de backup zilnic, cum ar fi WP Engine.

Partener cu Coalition Technologies for WordPress Design & Development

La Coalition oferim servicii complete de design și dezvoltare WordPress, fie de sine stătătoare, fie împreună cu serviciile noastre premiate SEO și marketing digital. Tot ceea ce am discutat astăzi despre rezolvarea problemelor de securitate WordPress și remedierea vulnerabilităților WordPress este inclus în serviciile noastre atunci când faci partener cu noi.

Consultați întrebările frecvente despre serviciile noastre WordPress. Ne-ar plăcea să lucrăm cu tine! Contactați-ne pentru a discuta despre nevoile site-ului dvs.