A WordPress biztonsága: a legfontosabb alapok
A WordPress a legnépszerűbb weboldalmotor, ezért a támadók is ezt célozzák a leggyakrabban. A feltörések döntő többsége nem a WordPress magján, hanem egy elavult bővítményen vagy sablonon, illetve egy gyenge jelszón keresztül történik. Néhány alapszabály betartásával a kockázat nagy része elkerülhető.
Kinek mi a feladata?
Szervereinket tűzfal és webes támadásszűrő védi, amely sok ismert támadást még a weboldal elérése előtt kiszűr. A weboldal szoftverének – a WordPressnek, a bővítményeknek és a sablonnak – a frissítése és karbantartása azonban az Ön (vagy a fejlesztője) feladata.
1. Frissítések
- Frissítse rendszeresen a WordPresst, a bővítményeket és a sablont. A WordPress a kisebb (biztonsági) frissítéseket alapból automatikusan telepíti; a bővítményeknél és sablonoknál is bekapcsolhatja az automatikus frissítést.
- Részletek: A weboldal szoftvereinek frissítése.
2. Bővítmények és sablonok
- A nem használt bővítményeket és sablonokat ne csak kapcsolja ki, hanem törölje – a kikapcsolt bővítmény fájljai is támadhatók.
- Csak megbízható forrásból, rendszeresen frissített bővítményt telepítsen.
3. Adminisztrátori fiókok és jelszavak
- Tekintse át a Felhasználók listáját: törölje a felesleges (például korábbi fejlesztőknek létrehozott) adminisztrátori fiókokat.
- Kerülje az „admin” felhasználónevet, és mindenhol használjon hosszú, egyedi jelszót.
4. Kétlépcsős hitelesítés
Kapcsolja be a kétlépcsős hitelesítést a DirectAdminban (Kétlépcsős hitelesítés a DirectAdminban), és lehetőleg a WordPress-adminfelületen is – ehhez egy megbízható, jól értékelt kétlépcsős hitelesítést biztosító bővítményre van szükség.
A wp-admin mappát a DirectAdmin Jelszóval védett könyvtárak menüpontjában egy további jelszóval is védheti. Ez azonban egyes bővítmények és űrlapok működését zavarhatja, ezért csak akkor alkalmazza, ha tudja, mit csinál.
5. PHP 8.3 és SSL
- Használja a javasolt PHP 8.3-at – a régebbi verziók már nem kapnak biztonsági javításokat, és a 8.3 alattiak 2027. január 1-jétől megszűnnek: PHP-verzió váltása.
- A weboldal mindig titkosított kapcsolaton (https://) fusson: Ingyenes SSL-tanúsítvány (Let's Encrypt).
Mit tegyen, ha feltörték?
- Változtassa meg a jelszavakat: a WordPress-adminisztrátorokét, a DirectAdminét, az FTP-fiókokét és az adatbázisét.
- Írjon nekünk – segítünk felmérni, mi történt, és mit kell tenni.
- A tárhelyekről naponta mentést készítünk. Ha egy korábbi állapotra kell visszaállni, a visszaállítást az Ügyfélkapuban rendelheti meg (egyszeri díj, jelenleg 3000 Ft + ÁFA), legfeljebb 1 hétre visszamenőleg, vagy az adott hónap 1. napjára.