Zwykle zaczyna się niewinnie. Klient pisze, że po wejściu na Twoją stronę przeglądarka pokazała czerwone ostrzeżenie. Albo zamiast Twojej oferty otwiera się reklama kasyna. Albo w Google pod Twoją nazwą pojawia się dopisek „Ta witryna mogła zostać zhakowana”. W tym momencie nie myślisz o wtyczkach - myślisz o tym, ilu klientów zobaczyło to przed Tobą.
Nie musisz być celem, żeby zostać zaatakowanym
Większość włamań na strony WordPress nie zaczyna się od kogoś, kto wybrał akurat Twoją firmę. To automaty, które bez przerwy przeszukują internet: zgadują hasła do panelu, szukają nieaktualnych wtyczek ze znanymi lukami, próbują wstrzyknąć do strony obcy kod. Mała strona usługowa jest dla nich tak samo dobra jak duży sklep - często nawet lepsza, bo rzadziej ktoś jej pilnuje.
Ile kosztuje włamanie
- Dni bez zapytań. Strona, która przekierowuje na podejrzane serwisy albo straszy ostrzeżeniem, nie sprzedaje. Każdy dzień do naprawy to zapytania, które poszły do konkurencji.
- Widoczność w Google. Wyszukiwarka oznacza zainfekowane strony i obniża ich pozycje. Odzyskanie zaufania trwa dłużej niż samo sprzątanie.
- Maile w spamie. Jeśli z Twojego serwera poszedł spam, Twoje zwykłe wiadomości do klientów zaczynają lądować w folderze „Spam”.
- Koszt sprzątania. Czyszczenie plików, szukanie tylnych furtek, odtwarzanie kopii, zmiana haseł - to praca specjalisty, płacona w trybie pilnym.
- Dane klientów. Przy formularzach i zamówieniach dochodzi odpowiedzialność za dane osobowe i obowiązek zgłoszenia naruszenia.
- Zaufanie. Klient, który raz zobaczył ostrzeżenie na Twojej stronie, zapamięta je dłużej niż Twoją ofertę.
Najczęstsze furtki
- Słabe albo powtarzane hasło do panelu - wystarczy jeden wyciek z innego serwisu.
- Panel logowania pod ogólnie znanym adresem, który automaty atakują setki razy dziennie.
- Nieaktualne wtyczki i motywy - ich luki są publicznie opisane.
- Strona, która zdradza wersję WordPressa i nazwy użytkowników, ułatwiając dobranie ataku.
- Brak kontroli nad tym, jakie skrypty może załadować przeglądarka odwiedzającego.
Co realnie chroni stronę
Nie ma jednej magicznej sztuczki. Działa kilka prostych warstw naraz: aktualizacje, logowanie, którego nie da się przejść samym hasłem, ukryty i pilnowany panel, mniej informacji dla atakującego i blokada obcych skryptów. Każda z nich zamyka inną furtkę.
Są różne wtyczki bezpieczeństwa. Polecam swoją, bo...
Wtyczek bezpieczeństwa jest wiele. Duże zagraniczne pakiety potrafią przytłoczyć setkami opcji, a najważniejsze funkcje chowają w płatnej wersji z rocznym abonamentem. Ja napisałem RRSecurity tak, żeby zamykała najczęstsze furtki bez skomplikowanej konfiguracji:
- Kod przy logowaniu - jednorazowy kod na e-mail, ważny 10 minut. Samo hasło nie otworzy panelu.
- Ukryty panel i ochrona logowania - własny adres zamiast /wp-login.php i blokada adresu IP po kilku nieudanych próbach.
- Blokada obcych skryptów - przeglądarka nie uruchomi kodu, którego nie dopuściłeś.
- Mniej informacji dla atakujących - ukryta wersja WordPressa, wyłączone nieużywane interfejsy, zablokowane wyszukiwanie użytkowników.
- Zapora i antyspam - podejrzane żądania i spam w formularzach zatrzymane, zanim dotrą do strony.
Wszystko po polsku, w jednej wtyczce, która dogaduje się z RRS Consent Mode - domeny skryptów analitycznych trafiają do zabezpieczeń automatycznie.
Płacisz raz, bez abonamentu
RRSecurity możesz rozliczać miesięcznie albo rocznie, ale możesz też kupić licencję jednorazowo - bez abonamentu, na jedną domenę. Płacisz raz, a aktualizacje instalujesz z panelu WordPressa jak przy każdej innej wtyczce.
Pisane w Polsce, dla polskich firm
Moje wtyczki powstają z myślą o polskich przedsiębiorcach i polskich przepisach: panel, dokumentacja i komunikaty są po polsku, a funkcje odpowiadają temu, czego wymaga nasz rynek. Zanim wyjdę z nimi za granicę, chcę, żeby jak najlepiej służyły firmom tutaj.
Masz pomysł? Wpłyń na to, jak działa wtyczka
Każda moja wtyczka rozwija się także dzięki użytkownikom. Jeśli brakuje Ci jakiejś funkcji albo widzisz, co można zrobić prościej - napisz do mnie. Dobre pomysły trafiają do kolejnych wersji, a Ty masz realny wpływ na narzędzie, z którego korzystasz.
