Bezpieczeństwo strony WWW: Jak wygląda profesjonalna opieka nad WordPressem

W poprzednim artykule pokazałam Ci 7 kroków, które możesz wdrożyć samodzielnie, aby zabezpieczyć swoją stronę. To świetny fundament. Ale powiedzmy sobie szczerze: samodzielne dbanie o stronę to po prostu zamykanie drzwi na klucz i kupno kłódki do domku letniskowego. Czas rozwinąć tę metaforę i pokazać Ci, z czego faktycznie składa się profesjonalna opieka techniczna nad WordPressem – i dlaczego to coś zupełnie innego niż ręczne klikanie „aktualizuj” raz w miesiącu. Z resztą umówmy się – aktualizacje przeprowadzane raz w miesiącu, to nie jest opieka…

Monitoring, który nie śpi ani na chwilę

Podczas gdy Ty zajmujesz się swoim biznesem, opieka techniczna pilnuje strony dosłownie przez cały czas – 24 godziny na dobę, 7 dni w tygodniu. To coś więcej niż sprawdzanie, czy strona „działa”.

Profesjonalny monitoring oznacza śledzenie uptime’u z różnych lokalizacji na świecie, bo strona może działać poprawnie w Polsce, a jednocześnie być niedostępna na innym kontynencie. Do tego dochodzi kontrola wersji PHP na serwerze – przestarzała wersja to prosta droga do błędów i luk bezpieczeństwa – stały pomiar szybkości wczytywania strony oraz pilnowanie certyfikatu SSL, co jest szczególnie istotne, jeśli korzystasz z płatnego certyfikatu odnawianego ręcznie. Jego wygaśnięcie to natychmiastowy komunikat „niebezpieczna strona” w przeglądarce Twojego klienta. Osobno śledzona jest też data wygaśnięcia domeny, żeby nigdy nie zaskoczyła Cię utrata adresu, pod którym działa Twój biznes, bo to kończy się nie tylko zupełnie niedziałającą stroną WWW, ale także brakiem dostępu do poczty email.

Kopie zapasowe zaprojektowane na prawdziwy kryzys

Kopia zapasowa wykonana 30 dni wstecz przez hosting to za mało, jeśli coś pójdzie nie tak dzień dzień przed jej stworzeniem. Profesjonalna opieka daje elastyczność wykonywania backupów nawet co godzinę (co jest przydatne szczególnie w przypadków sklepów internetowych), a dzięki kopiom przyrostowym – gdzie po pierwszej pełnej kopii zapisywane są tylko zmiany, a nie cała strona za każdym razem – dzieje się to bez obciążania serwera i spowalniania witryny.

Każda kopia jest szyfrowana, więc nawet jeśli ktoś włamie się na dysk, na którym są przechowywane (co realnie zdarza się np. na Dysku Google), nie odczyta ich zawartości. Równie ważne jak samo tworzenie kopii jest łatwe przywracanie – w sytuacji kryzysowej liczy się czas, a nie żmudne odtwarzanie plików ręcznie. To realna siatka bezpieczeństwa, a nie iluzja backupu, który w praktyce nigdy nie zadziała, gdy będzie naprawdę potrzebny.

Aktualizacje pod pełną kontrolą

Aktualizacje to jeden z tych obowiązków, które łatwo odkładać, a które w profesjonalnej opiece dzieją się w pełni kontrolowany sposób. Przed każdą aktualizacją automatycznie wykonywana jest kopia zapasowa, więc nawet jeśli coś pójdzie nie tak, powrót do poprzedniej wersji zajmuje chwilę, a nie godziny nerwowego szukania rozwiązania.

Dodatkowo wykonywane są zrzuty ekranu strony przed i po aktualizacji, dzięki czemu można od razu porównać, czy coś się wizualnie zepsuło – wtyczki i motywy czasem wchodzą w konflikt, a takie zmiany nie zawsze rzucają się w oczy na pierwszy rzut oka. Po aktualizacji strona jest sprawdzana pod kątem błędów, a pamięć podręczna czyszczona, żeby użytkownicy od razu widzieli aktualną, działającą wersję witryny, a nie starą, zapisaną w cache’u.

Ochrona, zanim ktokolwiek zapuka do drzwi

Największa różnica między zabezpieczeniami samodzielnymi a profesjonalną opieką widoczna jest w warstwie ochrony przed atakami – tu wchodzą w grę mechanizmy, których nie da się włączyć jedną wtyczką. Strona jest regularnie skanowana w poszukiwaniu luk w zabezpieczeniach, wersja WordPressa jest ukrywana przed osobami z zewnątrz (utrudnia to atak, jeśli luka pojawi się akurat w Twojej wersji), a łatwe odgadnięcie loginu administratora – zarówno poprzez enumerację użytkowników jak i odczytanie z site mapy zostaje zablokowana.

Dochodzą do tego nagłówki bezpieczeństwa oraz blokowanie adresów IP, z których wcześniej nadchodziły próby włamań, zanim w ogóle dotrą do Twojej strony. Najbardziej zaawansowanym elementem jest wirtualne łatanie luk (virtual patching) – załatanie znanej luki w konkretnej wtyczce, zanim jej autor wyda oficjalną poprawkę, bez ingerowania w kod samej wtyczki.

Czujniki, które wychwycą to, co trudno zauważyć

Część zagrożeń nie da się zablokować z góry – trzeba je po prostu wychwycić, zanim wyrządzą realną szkodę. Dlatego profesjonalna opieka pilnuje logowań z nowych, nieznanych wcześniej lokalizacji: jeśli mieszkasz w Krakowie, a ktoś zaloguje się na Twoje konto z drugiego końca świata, to sygnał, którego nie można zignorować.

Tak samo pilnowane jest pojawienie się nowych kont administratora – jeśli ktoś włamie się na stronę i stworzy sobie taki dostęp, może zostać wykryte i zablokowane, zanim narobi więcej szkód. Do tego dochodzi stała kontrola integralności plików, sprawdzanie, czy z witryny nie znikają masowo treści, oraz pilnowanie zmian w kluczowych plikach, takich jak .htaccess – to jeden z pierwszych elementów, które modyfikują hakerzy, żeby przejąć kontrolę nad ruchem na stronie.

Malware i dostęp pod stałą kontrolą

Kolejna warstwa ochrony to codzienne skanowanie kopii zapasowej strony – nie tej działającej na żywo, którą widzą Twoi klienci, tylko backupu – w poszukiwaniu złośliwego oprogramowania. Dzięki temu malware wychwytywane jest zanim zdąży wyrządzić szkody na stronie, którą realnie odwiedzają Twoi klienci.

Jeśli infekcja mimo wszystko się pojawi, opieka może obejmować też jej usunięcie – czyszczenie strony z wirusów, tak aby wróciła do pełnej sprawności. Dopełnieniem całości jest uwierzytelnianie dwuskładnikowe (2FA) blokujące dostęp do konta administratora – nawet jeśli komuś uda się zdobyć hasło, bez drugiego składnika logowania i tak się nie zaloguje. To domyka cały system: od zapobiegania, przez wykrywanie, po sprzątanie po incydencie.

Co dokładnie obejmuje opieka nad Twoją stroną – pełna lista

Monitoring 24/7:

• sprawdzanie uptime’u strony na całym świecie lub na wybranym kontynencie
• kontrola wersji PHP na serwerze
• pomiar szybkości wczytywania strony
• monitoring działania certyfikatu SSL
• śledzenie terminu wygasania domeny

Kopie zapasowe i aktualizacje:

• elastyczne kopie zapasowe, nawet co godzinę
• wydajne kopie przyrostowe (tylko zmiany, nie cała strona za każdym razem)
• szyfrowanie kopii zapasowych
• łatwe przywracanie kopii w razie potrzeby
• automatyczna kopia zapasowa przed każdą aktualizacją
• zrzuty ekranu przed i po aktualizacji do porównania zmian
• monitoring błędów pojawiających się po aktualizacjach
• czyszczenie pamięci podręcznej po aktualizacji

Bezpieczeństwo:

• skanowanie strony w poszukiwaniu luk w zabezpieczeniach
• ukrywanie wersji WordPressa
• blokowanie enumeracji użytkowników
• dodawanie nagłówków bezpieczeństwa
• blokada znanych złośliwych adresów IP
• wirtualne łatanie znanych luk w wtyczkach do czasu oficjalnej aktualizacji
• śledzenie logowań z nowych, nieznanych lokalizacji
• śledzenie nowo utworzonych kont administratora
• kontrola integralności plików
• sprawdzanie, czy ze strony nie znikają masowo treści
• monitorowanie zmian w kluczowych plikach, np. .htaccess
• codzienne skanowanie kopii zapasowej strony pod kątem malware
• czyszczenie strony z infekcji
• blokowanie dostępu do konta administratora za pomocą uwierzytelniania dwuskładnikowego (2FA)

Zdejmij ten ciężar ze swoich barków

Profesjonalna opieka nad WordPressem to nie jest usługa dla osób, które nie radzą sobie z komputerem, tylko dla tych, które wiedzą, że ich czas i energia są zbyt cenne, żeby spędzać je na pilnowaniu serwera, kopii zapasowych i logów bezpieczeństwa.

Dlatego właśnie powstała profesjonalna opieka techniczna nad stroną WordPress. W zależności od pakietu, zdejmuje ona z Ciebie ten obowiązek i obejmuje opisane wyżej czynności. Do tego co miesiąc dostajesz krótkie podsumowanie co na stronie faktycznie zostało zrobione i jak wiele czasu zamiast poświęcać serwisowaniu strony możesz zainwestować w pracę z klientami i realnym zarabianiu pieniędzy.

Jeśli chcesz mieć spokojną głowę i pewność, że ktoś czuwa nad Twoją witryną – sprawdź pakiety opieki technicznej i wybierz ten dopasowany do Twojego biznesu.

A jeśli wolisz zajmować się kopiami zapasowymi i aktualizacjami na własną rękę polecam Ci mój ebook o aktualizacjach WordPressa dla laików, w którym krok po kroku tłumaczę, jak robić to bezpiecznie.