5 mitów o bezpieczeństwie WordPressa, które drogo kosztują małe firmy

Podczas audytów bezpieczeństwa i napraw po infekcjach powtarzają się te same błędne założenia. Poniżej pięć z nich, zestawionych z tym, co realnie dzieje się na serwerach klientów.

Mit 1: Moja strona jest za mała, żeby ktoś się nią zainteresował

Boty skanujące internet nie sprawdzają liczby odwiedzin ani obrotów firmy. Szukają konkretnych, znanych luk w popularnych wtyczkach i motywach, na przykład w starszych wersjach Elementora, WooCommerce czy wtyczek do formularzy kontaktowych. Skan tysięcy losowych domen w poszukiwaniu jednej konkretnej podatności trwa dla bota kilka sekund, niezależnie od tego, czy strona ma 50, czy 50 tysięcy odwiedzin miesięcznie. Wizytówka lokalnego warsztatu jest równie atrakcyjnym celem jak sklep internetowy, bo chodzi o przejęcie serwera do wysyłki spamu lub podmiany treści pod SEO, a nie o dane klientów.

Mit 2: Silne hasło administratora wystarczy

Z doświadczenia przy naprawach infekcji wynika, że zdecydowana większość przypadków to nie złamanie hasła metodą brute force, tylko wykorzystanie luki w nieaktualnej wtyczce lub motywie, przez którą atakujący wgrywa złośliwy kod z pominięciem panelu logowania. Hasło ma znaczenie, ale bez regularnych aktualizacji jądra WordPressa, wtyczek i motywu, nawet najsilniejsze hasło nie chroni przed atakiem, który w ogóle nie próbuje się logować.

Mit 3: Backup u hostingodawcy wystarczy, dodatkowy nie jest potrzebny

Standardowe backupy hostingowe to zwykle kopie z ostatnich 7-14 dni, trzymane na tym samym serwerze co strona. Jeśli infekcja siedzi w plikach dłużej niż ten okres, co zdarza się często przy tak zwanych cichych infekcjach SEO spam, kopia zapasowa zawiera już zainfekowany kod. Do tego, jeśli padnie cały serwer, kopia przechowywana w tym samym miejscu też przepada. Rozwiązaniem jest backup niezależny od hostingu, na przykład wtyczka UpdraftPlus z zapisem na Google Drive lub zewnętrznym S3, z archiwum sięgającym co najmniej 30-60 dni wstecz.

Mit 4: Wtyczka zabezpieczająca załatwia sprawę raz na zawsze

Narzędzia takie jak Wordfence czy WPScan są przydatne, ale to jeden element układanki, nie rozwiązanie kompletne. Sama instalacja bez skonfigurowanego firewalla aplikacyjnego, harmonogramu skanów i reakcji na alerty daje fałszywe poczucie bezpieczeństwa. Wtyczka wykryje znane sygnatury złośliwego kodu, ale nie zastąpi regularnych aktualizacji ani audytu, który sprawdza uprawnienia plików, listę zainstalowanych rozszerzeń i realne wektory ataku.

Mit 5: Po naprawie włamania strona jest już bezpieczna

Usunięcie widocznych objawów, jak podmieniona strona główna czy przekierowania na obce domeny, to dopiero połowa pracy. Jeśli przyczyna, na przykład przestarzały motyw z luką, nie zostanie usunięta, infekcja potrafi wrócić w ciągu 30-60 dni, czasem szybciej. Prosta naprawa infekcji kosztuje zwykle 400-800 zł, natomiast poważniejsze przypadki, z backdoorami rozsianymi po wielu katalogach, zaczynają się od 1000 zł w górę i wymagają dokładniejszego przeglądu.

Jeśli strona nigdy nie przeszła przeglądu pod kątem bezpieczeństwa, warto to zrobić zanim pojawią się pierwsze objawy, a nie po nich. Więcej o zakresie takiego przeglądu w usłudze Audyt Bezpieczeństwa. Opis kroków po samym włamaniu i realne koszty napraw znajdują się w tekście Strona WordPress zhakowana, co robić krok po kroku i ile kosztuje naprawa. Aktualny cennik usług można sprawdzić na stronie Cennik.