אבטחת אתר וורדפרס: הצעדים הבסיסיים שכל בעל אתר חייב להכיר

וורדפרס מפעילה חלק עצום מהאתרים ברשת, והפופולריות הזו הופכת אותה גם ליעד מועדף לתוקפים. רוב הפריצות אינן מתקפות מתוחכמות שמכוונות דווקא לאתר שלכם, אלא סריקות אוטומטיות שמחפשות אתרים עם פרצות מוכרות, סיסמאות חלשות או תוספים שלא עודכנו. המשמעות המעודדת היא שחלק גדול מהסיכון אפשר לנטרל בצעדים פשוטים יחסית, שלא דורשים ידע טכני מעמיק אלא בעיקר משמעת ותשומת לב.

עדכונים: קו ההגנה הראשון

הדבר החשוב ביותר שאפשר לעשות כדי להגן על אתר וורדפרס הוא לשמור על כל הרכיבים מעודכנים. זה כולל את ליבת המערכת, את התבנית ואת כל התוספים. כשמתגלה פרצת אבטחה ברכיב מסוים, המפתחים בדרך כלל משחררים עדכון שסוגר אותה. אבל מרגע שהעדכון מתפרסם, גם התוקפים יודעים על הפרצה, ומתחילים לסרוק אתרים שעדיין לא עודכנו.

אפשר להפעיל עדכונים אוטומטיים לחלק מהרכיבים, במיוחד לעדכוני אבטחה קטנים של הליבה. לגבי תוספים ותבניות, יש מי שמעדיף לעדכן ידנית כדי לבדוק שהאתר לא נשבר. גישה זו לגיטימית, בתנאי שבאמת מבצעים את העדכונים באופן קבוע, למשל פעם בשבוע, ולא דוחים אותם לחודשים. וכמובן, לפני עדכונים גדולים כדאי לגבות את האתר.

סיסמאות חזקות והרשאות מינימליות

חלק ניכר מהפריצות מתבצע פשוט באמצעות ניחוש סיסמאות. תוקפים מריצים תוכנות שמנסות אלפי שילובים של שמות משתמש וסיסמאות נפוצות, ואתר שבו מנהל משתמש בסיסמה פשוטה הוא טרף קל. כל משתמש עם הרשאות ניהול חייב להשתמש בסיסמה ארוכה, ייחודית ואקראית, רצוי כזו שנוצרה ונשמרת במנהל סיסמאות.

לא פחות חשוב הוא עקרון ההרשאות המינימליות. לא כל מי שכותב באתר צריך הרשאות מנהל. וורדפרס מאפשרת להגדיר תפקידים שונים כמו כותב, עורך ומנהל, וכדאי לתת לכל אחד רק את מה שהוא צריך. כשעובד או ספק מסיים את עבודתו, מחקו את המשתמש שלו או הורידו את ההרשאות. משתמשים ישנים שנשכחו הם פרצה נפוצה ומיותרת.

אימות דו שלבי והגבלת ניסיונות התחברות

אימות דו שלבי מוסיף שכבת הגנה משמעותית. גם אם סיסמה דלפה או נוחשה, התוקף יצטרך גם קוד חד פעמי שנשלח לטלפון או נוצר באפליקציה. יש תוספים רבים שמוסיפים את האפשרות הזו לוורדפרס בקלות, וכדאי מאוד להפעיל אותה לפחות לכל המשתמשים עם הרשאות ניהול.

במקביל, כדאי להגביל את מספר ניסיונות ההתחברות הכושלים. תוסף שחוסם כתובת אחרי כמה ניסיונות שגויים מקשה מאוד על מתקפות ניחוש. יש גם מי שמשנה את כתובת עמוד ההתחברות לכתובת לא סטנדרטית. זה לא תחליף לסיסמאות חזקות, אבל זה מפחית את כמות הניסיונות האוטומטיים ואת העומס על השרת.

בחירה זהירה של תוספים ותבניות

כל תוסף שמותקן באתר הוא קוד נוסף שעלול להכיל פרצות. לכן כדאי להתקין רק תוספים שבאמת נחוצים, ולבחור אותם בקפידה. סימנים לתוסף אמין כוללים מספר רב של התקנות פעילות, עדכונים תכופים, תמיכה פעילה ודירוג טוב. תוסף שלא עודכן שנים הוא סימן אזהרה, גם אם הוא עדיין עובד.

• הימנעו מגרסאות פרוצות של תוספים ותבניות בתשלום
• מחקו תוספים ותבניות שאינם בשימוש, ולא רק השביתו אותם
• הורידו תוספים רק ממקורות רשמיים ומוכרים
• בדקו מדי פעם אם יש דיווחים על פרצות בתוספים שלכם

גרסאות פרוצות של תוספים בתשלום הן אחד הגורמים הנפוצים לנוזקות באתרים. החיסכון של כמה עשרות שקלים עלול לעלות ביוקר רב כשמתברר שהקוד כולל דלת אחורית.

הגנות ברמת השרת והאתר

מעבר למה שקורה בתוך וורדפרס, יש הגנות שאפשר להפעיל ברמה רחבה יותר. תעודת אבטחה שמצפינה את התקשורת בין הגולש לאתר היא כבר מזמן חובה בסיסית. חומת אש לאפליקציות רשת, בין אם כשירות חיצוני ובין אם כתוסף, יכולה לחסום בקשות זדוניות עוד לפני שהן מגיעות לאתר.

ספק אחסון טוב יספק גם הגנות ברמת השרת, כמו סריקת נוזקות, בידוד בין חשבונות וגרסאות עדכניות של שפת התכנות. כדאי לבדוק מה הספק שלכם מציע ולהפעיל את מה שזמין. יש גם הגדרות פשוטות בקבצי התצורה של וורדפרס, כמו ביטול האפשרות לערוך קבצים מתוך ממשק הניהול, שמקשות על תוקף שהצליח להשיג גישה.

גיבויים ותוכנית למקרה חירום

גם עם כל אמצעי ההגנה, אין אבטחה מושלמת. לכן הגיבוי הוא רשת הביטחון האחרונה. גבו את האתר באופן אוטומטי וקבוע, כולל הקבצים ומסד הנתונים, ושמרו עותקים במיקום נפרד מהשרת. בדקו מדי פעם שאפשר באמת לשחזר מהגיבוי, כי גיבוי שלא נבדק עלול להתגלות כפגום בדיוק כשהוא נחוץ.

כדאי גם להכין מראש תוכנית פעולה למקרה של פריצה: למי פונים, איך מנתקים את האתר זמנית, איך משנים את כל הסיסמאות ואיך משחזרים גרסה נקייה. בעל אתר שיודע מה לעשות יגיב מהר ויצמצם את הנזק. במקרים מורכבים, במיוחד באתרי מסחר שמחזיקים מידע של לקוחות, כדאי להיעזר באנשי מקצוע בתחום אבטחת המידע ולבדוק גם אילו חובות דיווח חלות עליכם.

סימנים שמעידים על פריצה אפשרית כוללים הפניות מוזרות לאתרים אחרים, משתמשים חדשים שלא יצרתם, קבצים לא מוכרים בתיקיות האתר, אזהרות מדפדפנים או ממנועי חיפוש וירידה חדה ופתאומית בתנועה. אם אתם מזהים אחד מהם, אל תתעלמו ותבדקו מיד.

לסיכום

אבטחת אתר וורדפרס אינה פעולה חד פעמית אלא הרגל. עדכונים קבועים, סיסמאות חזקות, אימות דו שלבי, תוספים מעטים ואמינים, הגנות ברמת השרת וגיבויים שנבדקו מכסים את רוב הסיכונים שאתר ממוצע חשוף אליהם. השקעה של שעה בחודש בתחזוקה שוטפת חוסכת ימים של עבודה ונזק תדמיתי במקרה של פריצה.