Najczęstsze błędy w zabezpieczeniu WordPressa, które wykrywa audyt bezpieczeństwa

Na 10 zleceń naprawy po włamaniu w naszym studiu, w 7-8 przypadkach przyczyną były te same, powtarzające się zaniedbania. Żadne z nich nie wymaga dużego budżetu, tylko konsekwencji.

Lista najczęstszych błędów

1. Login administratora to „admin” lub nazwa firmy

Boty skanujące WordPressa testują najpierw loginy admin, administrator, root. Zmiana loginu na unikalny ciąg eliminuje większość automatycznych ataków słownikowych bez dodatkowych kosztów.

2. Brak limitu prób logowania

Bez wtyczki typu Limit Login Attempts formularz wp-login.php przyjmuje nieskończoną liczbę prób na minutę. Limit 3-5 nieudanych prób i 15-minutowa blokada IP zatrzymuje większość ataków brute force.

3. Wtyczki i rdzeń aktualizowane rzadziej niż raz na 2-3 miesiące

Znana podatność w popularnej wtyczce bywa wykorzystywana w ciągu 48-72 godzin od publikacji łatki. Strony, które aktualizujemy w abonamencie, sprawdzamy co 2 tygodnie, nie co kwartał.

4. Backup istnieje, ale nikt go nie testował

Sam fakt, że backup się wykonuje, nie znaczy, że się odtworzy. W co piątym audycie plik backupu okazuje się uszkodzony albo nieaktualny o kilka tygodni.

5. Jedno konto administratora dla wszystkich

Przy 3-4 osobach korzystających z tego samego logina nie da się ustalić, które urządzenie było źródłem wycieku danych. Osobne konta z rolami Redaktor czy Autor ograniczają szkody.

6. Brak dwuetapowej weryfikacji (2FA)

Wyciek hasła z innej strony (tzw. credential stuffing) odpowiada za część przejęć kont. 2FA kosztuje zero złotych we wtyczce Wordfence czy Google Authenticator i blokuje dostęp mimo znanego hasła.

Koszt zaniedbania vs koszt profilaktyki

Jeśli strona nie przechodziła audytu od ponad roku, warto zacząć od sprawdzenia podstaw opisanych w audycie bezpieczeństwa, zanim dojdzie do sytuacji opisanej w tekście co robić, gdy strona WordPress zostanie zhakowana. Pełny cennik usług znajduje się na stronie cennika.