Jak zabezpieczyć swoją stronę – podstawowe ustawienia i triki

Uruchamiając swoją pierwszą stronę na WordPressie, najczęściej nie myśli się jeszcze o bezpieczeństwie. Zdecydowanie wydaje się być odległym tematem. Wielu myśli sobie wtedy: „No, ale przecież kto będzie chciał włamywać się na moją stronę, nikt jej jeszcze przecież nie zna i ja tu mam tylko kilka wpisów na blogu”. Niestety w Internecie działa to wszystko inaczej. Ataki na strony nie są wymierzone tylko w wielkie portale. Złośliwe boty skanują tysiące stron dziennie i próbują dostać się wszędzie, gdzie tylko mogą. Dlatego Twoja mała, świeżutka strona również może być celem, a odpowiednie zabezpieczenie jej już od samego początku oszczędzi Ci masy stresu.

Oczywiście na starcie strony nie będziemy wdrażać wielkich i skomplikowanych rozwiązań. W tym wpisie podpowiem działania podstawowe, ale równie ważne. To elementy, o których na swojej stronie zapomnieć Ci nie wolno.

Silne hasła i loginy, czyli Twój pierwszy mur obronny

Pierwsza rzecz, którą musisz zrobić, to zapomnieć o loginie „admin” i hasłach typu „qwerty123”. To zaproszenie dla włamywacza. Silne hasło powinno być długie, składać się z liter, cyfr i znaków specjalnych. Najlepiej używać menedżera haseł, żeby nie musieć tego wszystkiego pamiętać. Zdziwisz się, jak wielu początkujących przegrywa właśnie na tym etapie, a to absolutna podstawa.

Jeśli już masz zainstalowanego WordPressa i Twoim loginem jest nieszczęsny “admin”, tu znajdziesz informację, jak możesz to zmienić.

Panel logowania pod lupą

Adres logowania do WordPressa (twojadomena.pl/wp-admin albo twojadomena.pl/wp-login.php) to pierwszy punkt ataku. Boty uwielbiają testować tysiące kombinacji loginów i haseł, żeby dostać się do środka. Co możesz zrobić? Ogranicz liczbę prób logowania (np. wtyczką Limit Login Attempts Reloaded). Zadziała to jak zamknięcie dodatkowego zamka w drzwiach, a intruzowi będzie trudniej dokonać włamania.

Kopie zapasowe, czyli Twoje koło ratunkowe w razie “W”

To rzadkość, ale czasem zdarza się, strona znika z Internetu, albo zostaje nadpisana dziwnymi treściami, ponieważ ktoś się włamał. Co robisz? Jeśli masz świeżą kopię zapasową, po prostu klikasz „przywróć” i wszystko z powrotem działa. Jeśli nie – niestety tracisz swoją stronę. Dlatego wtyczki do automatycznych kopii zapasowych (np. UpdraftPlus) to złoto. Możesz ustawić, żeby raz w tygodniu (albo częściej) wysyłały kopie do Dropboxa czy Google Drive. Taki backup to Twoje ubezpieczenie na czarną godzinę. To również moment, gdy warto zorientować się, czy kopie zapasowe Twojej strony tworzy również hosting, jak długo je przechowuje i w jaki sposób w godzinie “W” możesz kopię z hostingu przywrócić.

Aktualizacje — Twój najlepszy przyjaciel i najważniejszy obowiązek

Wielu początkujących boi się aktualizacji. Bo „coś się popsuje”, bo „strona przestanie działać”. Tymczasem większość włamań do WordPressa dzieje się właśnie przez stare, nieaktualizowane wtyczki albo motywy. Aktualizacje “łatatają” dziury w zabezpieczeniach. Jeśli chcesz być naprawdę bezpieczny, aktualizuj wszystko na bieżąco. A jeśli boisz się, że coś pójdzie nie tak — tu właśnie przydają się kopie zapasowe.

Najczęstsze błędy początkujących

Na koniec kilka grzeszków, które najczęściej zdarzają się początkującym (wiem niestety też z własnego lub moich Klientów doświadczenia):

• instalowanie zbyt wielu wtyczek, „bo może się przydadzą” – im więcej wtyczek, tym większe ryzyko dziur w bezpieczeństwie,
• instalowanie kilku wtyczek, które mają za zadanie takie same działania, np. dwie różne wtyczki do SEO – to proszenie się o kłopoty w czystej postaci, ponieważ wtyczki te szybko zaczną się gryźć i nadpisywać,
• pobieranie motywów i wtyczek z podejrzanych źródeł – motyw lub wtyczka w wersji pro (płatnej) “zorganizowane” za darmo z nieznanej strony może być jak prezent z bombką w środku, dlatego zawsze korzystaj z oficjalnego repozytorium WordPressa lub sprawdzonych, oficjalnych dostawców,
• ignorowanie komunikatów w kokpicie – warto wiedzieć, że WordPress naprawdę nie wysyła ich dla zabawy, to sygnały, że coś wymaga Twojej uwagi,
• nie aktualizowanie wersji PHP na serwerze – o tej potrzebie również poinformuje Cię WordPress w kokpicie, jeśli nie wiesz, jak to zrobić zwróć się do swojego hostingu z prośbą o pomoc.

Reasumując

Podstawowe zabezpieczenie strony WordPress nie musi być trudne ani drogie. Wystarczy kilka dobrych praktyk: silne hasła, ochrona logowania, regularne kopie zapasowe i aktualizacje. To nie tylko techniczne sztuczki, to nawyki, które sprawią, że Twoja strona będzie bezpieczna na lata. Traktuj je jak codzienną higienę: tak jak myjesz zęby, żeby nie bolały, tak dbasz o WordPressa, żeby pewnego dnia nie obudzić się z problemem.

Wpis jest dziewiątym wpisem z cyklu: “Stwórz swoją stronę od podstaw”. Pierwszy – o wyborze hostingu – znajdziesz tutaj, drugi – o instalacji WordPressa – tutaj, trzeci – o podstawach poruszania się po kokpicie i działaniach do podjęcia po instalacji WordPressa – tutaj, czwarty o wpisach i stronach tutaj, piąty o wyborze motywu tutaj, szósty o wtykach w WordPressie tutaj, siódmy o dodawaniu treści tutaj, a ósmy o organizacji menu na stronie tutaj.