WordPress alapú weboldalak biztonsági karbantartása
Miért kritikus pont a weboldal keretrendszerének és moduljainak folyamatos frissítése? Egy sikeres támadás nemcsak a weboldal leállását okozhatja, hanem jogi kockázatot is jelent a vállalkozás számára.
A karbantartás két alappillére a biztonságkezelés és a kompatibilitás fenntartása. A WordPress, a sablonok és a különböző bővítmények különálló fejlesztőktől származnak, mégis szoros egységet alkotnak. Frissítésük szakértelmet és naprakész ismereteket igényel, hiszen egy rossz ütemű vagy hibás frissítés az egész oldal működését béníthatja. Ennek megfelelően a feladatunk nemcsak a megelőzés, hanem az is, hogy egy esetleges hiba eseté, biztonságosan visszaállítsuk és stabilizáljuk a rendszert.
Miért elengedhetetlen a biztonság megalapozása?
Weboldalunk működéséért kettős felelősséggel tartozunk: a látogatók és a tárhelyszolgáltató felé is. Ha egy elhanyagolt, feltört rendszeren keresztül kár éri a látogatókat vagy a szervert, az komoly következményekkel járhat.
A hazai tárhelyszolgáltatók Általános Szerződési Feltételei egyértelműen fogalmaznak:
-
Felelősség a szoftverekért: Az Előfizető felel az általa telepített rendszerek biztonságáért, valamint a frissítések elvégzéséért.
-
Hiteles adatok és hozzáférések: A fiókok védelme és a biztonságos jelszavak használata az Ügyfél kötelessége.
-
Kötelező megelőzés: A gondatlanságból fakadó hacker-támadásokért vagy spamek küldéséért a szolgáltató felszólítására sem vis maior a felelősség; a szolgáltató jogosan függesztheti fel az elhanyagolt weboldalt.
Bár 100%-os biztonság nem létezik az online térben, a minimális óvintézkedések elmulasztása jogi és szerződéses kockázatokat rejt.
A céges levelezés védelme: a feketelisták veszélye
Egy weboldalas fertőzés szinte mindig magával rántja a levelezési rendszert is. A feltört felületen keresztül a támadók könnyen küldhetnek tömeges spamet vagy adathalász üzeneteket a vállalkozás nevében.
Ez kettős veszélyt jelent:
-
Bizalmi válság: A partnerek felé küldött üzenetek elveszítik hitelességüket.
-
Kézbesíthetetlenség: A cég domainje és email címei rövid időn belül nemzetközi feketelistákra kerülhetnek. Onnan kikerülni hónapokig tartó, bizonytalan kimenetelű folyamat, ami teljesen béníthatja a napi üzleti kommunikációt.
Aki céges, saját domaines email címet használ, annak kifejezetten javasolt a magasabb szintű biztonsági csomag választása a kockázatok minimalizálása érdekében.
Karbantartás csomagajánlatok
Az árak kiindulópontok, esetenként ez változhat a weboldal felépítésétől, funkciójától függően, és a működést szolgáló moduloktól is.
Alap csomag
Olyan egyszerű, statikus bemutatkozó oldalakhoz ajánljuk, amelyeknél ritkán frissül a tartalom, és nem ezen keresztül érkeznek a napi ajánlatkérések. Ha a weboldalad inkább csak egy kötelező információs felület, de szeretnéd elkerülni, hogy egy elavult rendszer miatt feltörjék és lekapcsolják, ez a tökéletes belépő szint.
- WordPress keretrendszer frissítése
- Sablon/Page Builder frissítése
- Bővítmények frissítése
- A fenti frissítésekből adódó esetleges kompatibilitási hibák javítása
- Szükség esetén tárhelybeállítások módosítása
- Updraft Plus biztonsági modul előfizetése
- Biztonsági mentés készítése a fileokról és az adatbázisról
- Egyszerű biztonsági tűzfal modul
- Manuális biztonsági vizsgálat, vírusirtó futtatása
- Tárhelyszolgáltatóval kapcsolatos ügyintézés elvégzése
- Brute Force Attack védelem: az elég gyakori, admin felület elleni támadás megelőzésére
- Szükség esetén eseti vírusirtás elvégzése
- Kétlépcsős azonosítás az admin felülethez
- Monitorozás külső szolgáltatón keresztül: azonnal értesítést kapunk, ha valami okból a weboldal leáll
- Havi maximum 30 perc emailes vagy telefonos segítségnyújtás
- Havi kisebb tartalmi módosítások elvégzése
Biztonsági csomag
Ez az üzleti standard. Akkor válaszd, ha a weboldaladon keresztül érdeklődőket, ügyfeleket akarsz szerezni, használod a céges e-mail címedet, vagy esetleg hirdetéseket is futtatsz. Ebben a csomagban igyekszünk megelőzni egy esetleges leállást, vagy a levelezésed feketelistára kerülését.
- WordPress keretrendszer frissítése
- Sablon/Page Builder frissítése
- Bővítmények frissítése
- A fenti frissítésekből adódó esetleges kompatibilitási hibák javítása
- Szükség esetén tárhelybeállítások módosítása
- Updraft Plus biztonsági modul előfizetése
- Biztonsági mentés készítése a fileokról és az adatbázisról
- Solid Security Premium biztonsági tűzfal modul előfizetése
- Manuális biztonsági vizsgálat, vírusirtó futtatása
- Tárhelyszolgáltatóval kapcsolatos ügyintézés elvégzése
- Brute Force Attack védelem: az elég gyakori, admin felület elleni támadás megelőzésére
- Szükség esetén eseti vírusirtás elvégzése
- Kétlépcsős azonosítás az admin felülethez
- Monitorozás külső szolgáltatón keresztül: azonnal értesítést kapunk, ha valami okból a weboldal leáll
- Havi maximum 30 perc emailes vagy telefonos segítségnyújtás
- Havi kisebb tartalmi módosítások elvégzése
Prémium csomag
Azoknak, akik maximális biztonságot akarnak, és mellette szükségük van havi szintű rendelkezésre állásra is. Ha nem akarsz a weboldal szövegezésével, képcseréivel vagy kisebb módosításaival bajlódni, ezt is levesszük a válladról.
- WordPress keretrendszer frissítése
- Sablon/Page Builder frissítése
- Bővítmények frissítése
- A fenti frissítésekből adódó esetleges kompatibilitási hibák javítása
- Szükség esetén tárhelybeállítások módosítása
- Updraft Plus biztonsági modul előfizetése
- Biztonsági mentés készítése a fileokról és az adatbázisról
- Solid Security Premium biztonsági tűzfal modul előfizetése
- Manuális biztonsági vizsgálat, vírusirtó futtatása
- Tárhelyszolgáltatóval kapcsolatos ügyintézés elvégzése
- Brute Force Attack védelem: az elég gyakori, admin felület elleni támadás megelőzésére
- Szükség esetén eseti vírusirtás elvégzése
- Kétlépcsős azonosítás az admin felülethez
- Monitorozás külső szolgáltatón keresztül: azonnal értesítést kapunk, ha valami okból a weboldal leáll
- Havi maximum 30 perc emailes vagy telefonos segítségnyújtás
- Havi kisebb tartalmi módosítások elvégzése
A karbantartási csomagok tartalmazzák a fent említett munkafolyamatokat és a modulok előfizetését is. Ezt általában éves ciklusokban számlázzuk, de egyedi kéréseknek is eleget tudunk tenni.
„Miért pont az én oldalamat törnék fel?” – A legveszélyesebb tévhit
Sok cégtulajdonos gondolja úgy, hogy az ő weboldala túl kicsi vagy jelentéktelen ahhoz, hogy a hackerek célpontjává váljon. A valóság azonban az, hogy a kibertámadások 99%-át ma már nem élő emberek, hanem automatizált robotok hajtják végre.
Ezek a programok éjjel-nappal, vakon pásztázzák az internetet biztonsági réseket keresve. Nem tesznek különbséget egy helyi kisvállalkozás és egy multi között – számukra minden védtelen weboldal egyformán értékes célpont. Mivel a WordPress a világ legnépszerűbb weboldal-motorja, a támadók kifejezetten erre a rendszerre optimalizálják ezeket a keresőrobotokat.
A behatolás célja szinte sosem a személyes károkozás. A hackerek egyszerűen a te weboldalad erőforrásait és látogatóit akarják felhasználni a saját (sokszor illegális) céljaikra. A következményeket azonban neked kell elviselned: a te vállalkozásod hírneve sérül, és a te ügyfeleid fognak szembesülni a rendkívül kínos szituációkkal.
A weboldal lassú, nem elérhető
A kártékony kódok és a támadórobotok folyamatos próbálkozásai végletekig leterhelik a szervert. A weboldal lassan tölt be vagy teljesen összeomlik, a türelmetlen látogatók pedig azonnal a konkurenciához pártolnak.
Elrettentő böngésző-figyelmeztetések
Ha a Google fertőzöttnek minősíti az oldalt, a böngészők egy hatalmas, piros „Veszélyes oldal” képernyővel blokkolják a belépést. A weboldal be sem töltődik, az érdeklődők pedig megijedve zárják be az ablakot, ami hatalmas presztízsveszteség.
Számítógép fertőzése
Egy feltört weboldal fegyverré válhat: tudtodon kívül kártékony programokat, trójai vagy zsarolóvírusokat telepíthet a gyanútlan látogatók számítógépeire.
Átirányítás
A hackerek átirányítják a látogatókat más olyan weboldalakra, amiből profitot szereznek. Ezek lehetnek megbotránkoztató tartalmú oldalak, illegális termékeket forgalmazó webshopok. A látogatók pedig hihetik azt, hogy szándékosan irányítottuk őket oda, így az ilyen vírusok igencsak árthatnak hírnevünknek.
Kínos és hitelrontó átirányítások
Rendkívül kellemetlen szituáció, amikor egy érdeklődő megnyitja a weboldaladat, de a céged bemutatkozása helyett illegális felnőtt tartalmakon, vagy gyanús szerencsejáték-oldalakon találja magát. Egy ilyen átirányítás azonnal rombolja a vállalkozásod hírnevét.
Tárhely felfüggesztése
Ha a fertőzött tárhelyedet észlelik (például tömeges spam kiküldése miatt), a tárhelyszolgáltató a többi ügyfele védelmében azonnal, figyelmeztetés nélkül felfüggesztheti a teljes weboldaladat és levelezésedet.
Naprakész utánajárás
Folyamatosan tájékozódunk az aktuális trendekről, technikákról, hogy a legjobbat nyújthassuk ügyfeleinknek. Erre biztonság szempontból is nagy szükség van: Havonta többször készítenek cikkeket a biztonsággal foglalkozó portálok az aktuális bővítményekről, melyben sérülékenységek derültek ki, ezáltal potenciális veszélyforrások lehetnek. Erre a listára gyakran kerülnek fel a legnépszerűbbek közül is, amit szinte minden WordPress fejlesztő használ. Ilyen esetben megoldást kell keresni: ha van rá lehetőség – és javították a hibát – azonnal frissíteni, ha nincs akkor ideiglenes kiiktatni vagy lecserélni másikra az adott bővítményt.
Kompatibilitás
Lévén informatikáról van szó, a weboldalak alapját adó keretrendszer, az arra épülő sablon és a bizonyos funkciókat adó bővítmények folyamatosan fejlődnek, új verziók jelennek meg, melyek aktualizálása biztonsági és kompatibilitási szempontból is fontos.
A keretrendszer, sablon és modulok frissítése megfelelő szaktudást, utánajárást és naprakész ismereteket igényel. Mindhárom összefügg egymással, ha ezek közül valamelyik nem működik megfelelően, akár az egész weboldalra kiterjedő kompatibilitási hibákkal kell szembenézni. Azonban sok esetben egyes modulok nem működnek még megfelelően például az legfrissebb WordPress rendszerrel, mert a fejlesztők még nem hangolták hozzá. Ebben az esetben meg kell keresni az összhangot, hogy miből melyik az a verzió, ami a lehetőségekhez képest friss, de nem okoz kompatibilitási gondot. A legfrissebb sok esetben még hibás, ezért meg kell várni míg kijön hozzá a megfelelő javítás, figyelni kell miből melyik a legutolsó, stabilan működőképes verzió.
Szintén ide tartozó, és kompatibilitás szempontból fontos a tárhelybeállítások összhangban tartása a weboldallal. Egyes modulok megkövetelik a legfrissebb PHP verziót, míg másikak egy régebbi verzióval működnek stabilan. Ilyen esetben is kompromisszumos megoldást kell keresni, hogy megfelelően működjön a weboldal.
Ezen műveletek honlapunk biztonságát alapjaiban meghatározzák, hiszen a hacker robotok – melyek különböző kártékony kódokat próbálnak elhelyezni a weboldal forrásában, adatbázisában – a régebbi verziók sérülékenységeit próbálják kihasználni. Ugyanakkor a verziókat csak akkor frissítjük, ha megbizonyosodtunk arról, hogy azok már kompatibilisek egymással, ezért figyelemmel kell követni az aktualitásokat, ez gondos utánajárást igényel.
Biztonsági mentés
Mielőtt nekikezdünk egy rendszerfrissítésnek, minden esetben készítünk egy teljes biztonsági mentést a fileok és az adatbázisról az Updraft Plus, biztonsági mentés automatizáló segítségével, hogyha időközben kompatibilitási gond lép fel, akkor helyre tudjuk állítani a legutolsó működő állapotot. Emellett a támadások miatt is fontos, hogyha esetleg mégis megfertőződik a rendszer, legyen egy tiszta verzió, ezért néhány hónapra visszamenőleg is tároljuk ezeket.
Biztonsági modulok
Csakúgy, mint a számítógép operációs rendszerének védelme esetén is, egy weboldal keretrendszerénél is elengedhetetlen a megfelelő tűzfal és vírusirtó modulok használata. A világon sehol sem létezik 100%-os biztonság, ugyanakkor megelőző intézkedéseket tudunk tenni annak érdekében, hogy egy támadás ne járjon sikerrel, vagy egy esetleges támadás esetén minimálisra csökkentsük annak sikerességét.
Weboldal monitorozás
Egy külső applikáció segítségével folyamatosan monitorozzuk a csomagban lévő weboldalakat, mely azonnal emailt küld, ha a megfigyelt weboldalt valamilyen okból nem elérhető.
A harmadik féltől származó modulok működéséért felelősséget nem vállalunk! Probléma esetén külön eseti megbízás keretében vállaljuk annak felkutatását, és megoldást találni a problémára (felvenni a kapcsolatot a modul fejlesztőjével, adott esetben másik modul után nézni) A karbantartás nem garancia arra, hogy a weboldal a szolgáltatás igénybevételétől kezdődően feltörhetetlen lesz! A karbantartás a fent leírt munkafolyamatokat tartalmazza, melyekre elővigyázatossági intézkedésként kell tekinteni!
A karbantartási csomagok tartalmazzák a fent említett munkafolyamatokat és a modulok előfizetését is. Ezt általában éves ciklusokban számlázzuk, de egyedi kéréseknek is eleget tudunk tenni.