Як найчастіше ламають сайти
- Застарілі плагіни й теми з відомими вразливостями — найпоширеніша причина.
- Підбір паролів до адмінки, FTP чи хостингу.
- Піратські теми й плагіни з «подарунком» — бекдором усередині.
- Сусіди на хостингу — коли зламаний один сайт, а файли інших доступні йому на запис.
10 кроків захисту
- Оновлення. Ядро, плагіни й тема — регулярно; про порядок — у статті «Як безпечно оновити WordPress».
- Приберіть зайве. Вимкнені й покинуті плагіни теж можна зламати — видаляйте їх, а не просто вимикайте.
- Лише ліцензійне. Теми й плагіни — з офіційного каталогу WordPress або від розробника, ніколи «безкоштовні версії преміум».
- Надійні паролі й окремі облікові записи. Кожному співробітнику — свій вхід з мінімально потрібною роллю, без спільного «admin».
- Двофакторний вхід для адміністраторів — навіть вкрадений пароль тоді не відкриє адмінку.
- Обмеження спроб входу. Після кількох невдалих спроб IP блокується — перебір паролів стає марним.
- Вимкніть зайві входи. XML-RPC, якщо ним не користуєтеся, і редагування файлів з адмінки.
- Правильні права файлів і окремий користувач для кожного сайту на сервері — злам одного не зачепить інших.
- Щоденні бекапи поза сервером. Якщо щось станеться, сайт відновлюється за хвилини, а не дні.
- Моніторинг. Search Console повідомить про проблеми з безпекою, а перевірка змінених файлів покаже чужий код одразу.
Плагін безпеки — не чарівна паличка. Він корисний, але не замінить оновлень і бекапів. Сайт із десятком застарілих плагінів і плагіном безпеки поверх — однаково вразливий.
Ознаки, що сайт уже зламали
- у пошуку Google за вашим доменом з’являються сторінки про казино, ліки чи кредити;
- відвідувачів із телефонів перекидає на чужі сайти;
- з’явилися незнайомі адміністратори чи файли;
- хостинг або Google попереджає про шкідливий код.
Детально про перевірку — у статті «Як перевірити сайт на віруси».
Часті запитання
Чи потрібен платний плагін безпеки?
Для більшості сайтів вистачає безкоштовних можливостей разом із правильними налаштуваннями сервера. Платні версії корисні для магазинів і сайтів з великою кількістю користувачів.
Чи захищає SSL від злому?
Ні: SSL шифрує передачу даних, але не закриває вразливості плагінів чи слабкі паролі. Потрібні обидва.
Допоможете захистити сайт?
Так: налаштовую захист WordPress і сервера, бекапи й моніторинг у межах супроводу. Якщо сайт уже зламали — чистка від вірусів із пошуком того, як саме зайшов зловмисник.