Сайты на WordPress взламывают не потому, что система ненадёжна, а потому, что она самая распространённая: злоумышленники автоматически перебирают миллионы сайтов в поисках устаревших плагинов и простых паролей. Небольшой сайт компании для них такая же цель, как крупный портал. Защититься несложно — достаточно соблюдать девять правил.
9 правил безопасности
- Обновляйте WordPress, тему и плагины. Большинство взломов происходит через уязвимости, которые уже исправлены в новых версиях.
- Делайте резервные копии. Копия должна храниться не на том же сервере, что и сайт. Хотя бы раз проверьте, что из неё действительно можно восстановиться.
- Используйте надёжные пароли. Длинный уникальный пароль для админки, хостинга и почты. Пароль вида «название компании и год» подбирается за секунды.
- Заведите каждому свой аккаунт. Не передавайте один логин всем сотрудникам и подрядчикам. Ушёл человек — отключили его учётную запись.
- Выдавайте минимум прав. Тому, кто пишет статьи, не нужны права администратора.
- Включите двухфакторную аутентификацию. Даже если пароль украдут, без кода из приложения войти не получится.
- Удаляйте неиспользуемые плагины и темы. Отключённый плагин остаётся на сервере и может быть уязвим.
- Не ставьте «бесплатные» копии платных плагинов. В них часто встроен вредоносный код.
- Ограничьте попытки входа. Плагин защиты блокирует перебор паролей после нескольких неудачных попыток.
Как понять, что сайт взломали
- На сайте появились чужие ссылки, страницы или реклама.
- Посетителей перенаправляет на посторонние сайты.
- Яндекс или браузер предупреждают, что сайт может быть опасен.
- В админке появились незнакомые пользователи.
- Хостинг сообщает о рассылке спама или высокой нагрузке.
Что делать, если это случилось
- Смените пароли от админки, хостинга, базы данных и почты.
- Восстановите сайт из резервной копии, сделанной до взлома.
- Обновите WordPress, тему и все плагины.
- Найдите причину: устаревший плагин, слабый пароль, заражённая тема. Без этого взлом повторится.
- Проверьте сайт в Яндекс Вебмастере в разделе о безопасности.
Если найти и удалить вредоносный код самостоятельно не получается, это можем сделать мы — подробнее на странице лечения сайта от вирусов.
Сколько времени это занимает
Настроить защиту — пара часов один раз. Поддерживать — около получаса в месяц на обновления и проверку копий. Если заниматься этим некому, обновления и резервные копии входят в ежемесячную поддержку. О форматах и ценах — в статье «Сколько стоит поддержка сайта».
Услуги по теме: поддержка и доработка сайтов, технический аудит сайта.
