Audyt bezpieczeństwa WordPress — 4 rodzaje i który wybrać dla swojej strony

Słowo „audyt bezpieczeństwa” brzmi jak jedna, konkretna usługa. W praktyce kryją się pod nim co najmniej cztery zupełnie różne podejścia, które różnią się zakresem, czasem trwania i ceną – czasem nawet kilkukrotnie. Jeśli dostałeś ofertę „audytu” za 200 zł i za 3000 zł, nie musi to znaczyć, że jedna firma zawyża cenę. Może po prostu obie mówią o czymś innym.

1. Skan automatyczny

To najprostsza forma sprawdzenia strony – skaner przechodzi przez pliki, wtyczki i konfigurację, porównując je z bazą znanych luk. Zajmuje kilka minut, często jest darmowy albo bardzo tani, ale wykrywa tylko problemy, które są już opisane i skatalogowane. Nie sprawdzi, czy administrator ma słabe hasło, czy backupy w ogóle działają.

2. Audyt podstawowy (manualny przegląd)

Tu do gry wchodzi człowiek. Ktoś realnie loguje się do panelu, przegląda listę użytkowników, uprawnienia, wtyczki, ustawienia hostingu i konfigurację backupów. To zajmuje kilka godzin i daje sensowny obraz sytuacji bez wchodzenia w głębokie testy techniczne.

3. Audyt pełny / penetracyjny

Najbardziej dokładna forma – obejmuje próby faktycznego przełamania zabezpieczeń, testy podatności w kodzie, sprawdzenie API, integracji i konfiguracji serwera. Ma sens przy sklepach internetowych przetwarzających dane kart płatniczych albo stronach z dużym ruchem, gdzie skutki włamania byłyby kosztowne.

4. Audyt powłamaniowy (reaktywny)

To zupełnie inna sytuacja – strona jest już zhakowana albo są tego oznaki, i trzeba ustalić, co się stało, jak głęboko sięga problem i co naprawić. Jeśli akurat trafiłeś tutaj z tego powodu, warto zajrzeć do osobnego poradnika o naprawie zhakowanej strony – to zwykle pilniejsze niż wybór rodzaju audytu.

Który wybrać?

Jeśli nic nie sugeruje problemu i chcesz po prostu mieć spokój – skan automatyczny raz na kwartał plus audyt podstawowy raz w roku to rozsądny standard dla większości małych firm. Sklep internetowy albo strona z logowaniem klientów zasługuje na coś głębszego, bo koszty ewentualnego wycieku danych bywają dużo wyższe niż koszt audytu. A jeśli coś już się wydarzyło – nie ma sensu zaczynać od skanu, tylko od razu szukać przyczyny i naprawiać.

Warto też pamiętać, że audyt bezpieczeństwa często wychodzi na jaw przy okazji zmiany wykonawcy strony – nowa firma chce wiedzieć, co dostaje w spadku. Więcej o tym, jak to zorganizować bez utraty pozycji w Google, znajdziesz w poradniku o zmianie firmy obsługującej stronę.