WordPress — самая популярная система сайтов в мире. Именно поэтому её чаще всего атакуют. Хорошая новость: подавляющее большинство взломанных сайтов взламывают из-за одних и тех же ошибок, и их нетрудно предотвратить.
Почему важно обновляться?
Сам WordPress, темы (theme) и плагины регулярно обновляются. Часть обновлений приносит новые возможности, но важная часть закрывает обнаруженные уязвимости. Как только уязвимость становится публичной, автоматические скрипты ищут по интернету сайты со старыми версиями. Необновлённый сайт может стать целью в течение нескольких дней.
Безопасное обновление: пошагово
- Сначала резервная копия. Перед обновлением убедитесь, что есть свежая копия файлов и базы данных.
- Обновляйте по одному. Не все плагины сразу, а по одному. Если возникнет проблема, сразу будет видно, какой плагин её вызвал.
- Проверьте после обновления. Проверьте главную страницу, формы, корзину и оплату (если есть).
- Осторожно с крупными версиями. При смене крупной версии WordPress или основного плагина разумно подождать несколько дней и посмотреть отзывы других пользователей — а небольшие обновления безопасности не откладывайте.
Плагины: поменьше и понадёжнее
- Неиспользуемые плагины и темы не просто отключайте, а удаляйте — файлы отключённого плагина остаются на сервере, и уязвимостью всё ещё могут воспользоваться.
- Плагины, которые давно не обновлялись и заброшены автором, заменяйте альтернативами.
- Никогда не скачивайте платные плагины и темы с сайтов, раздающих «бесплатные версии»: в таких файлах часто есть вредоносный код.
Безопасность входа
- Откажитесь от имени пользователя «admin» и выдайте каждому пользователю отдельный аккаунт.
- Используйте надёжный уникальный пароль и храните его в менеджере паролей.
- Включите двухэтапную проверку (2FA) — аккаунт защищён, даже если пароль украдут.
- Давайте сотрудникам только нужные права: сотруднику, который пишет статьи, не нужны права администратора.
- Ограничьте попытки входа, чтобы блокировать ботов, подбирающих пароль.
Серверная сторона
- Актуальная версия PHP. Старые версии PHP не получают обновлений безопасности и замедляют сайт.
- HTTPS. Все страницы должны открываться по SSL.
- Ежедневные резервные копии, которые хранятся отдельно от сайта. Подробнее: правило 3-2-1.
- Проверка на вредоносный код. Файлы нужно регулярно сканировать, а подозрительные изменения — быстро выявлять.
Что уже есть у нас
В наших тарифах хостинга для WordPress есть ежедневное автоматическое резервное копирование, бесплатный SSL и защита Cloudflare, а сайты на хостинге проверяются ImunifyAV+ на вредоносный код. Если у вас нет времени самостоятельно заниматься обновлениями и проверками, выберите один из пакетов техподдержки — эту работу сделаем мы.
