Безопасность WordPress, или как защитить сайт от взлома

Опубликовано 11.01.2021 Автор Admin

Часто слышу и читаю в интернете что WordPress сайты легко взломать. WordPress слабый движок в плане безопасности и далее по тексту.

Взламывают любые CMS, а так как WordPress сайтов больше в интернете, отсюда и такая статистика. Но речь не об этом, в этой статье хочу сказать, что сайты взламывают по вине самих администраторов. Используйте хотя бы базовые меры безопасности, и взлом WordPress сайта (как впрочем и другой CMS) сведете к минимуму.

Как узнать что WordPress сайт взломан ?

Общие признаки, по которым подозревают взлом сайта.

Неизвестные пользователи регистрируются на вашем сайте
Вы не можете получить доступ к своей учетной записи администратора.
В статистике посещений появляются внезапные падения или всплески трафика.
Сайт перенаправляет на другой URL (может только в мобильных устройствах)
Дизайн главной страницы изменен или показывает измененный контент.
Ошибки или предупреждения отображаются в браузере, браузер помечает ваш сайт как вредоносный.
В панели веб мастера появились ссылки на “левые” ресурсы
Хостер пишет письма что превышена суточная нагрузка
Рассылка спама с вашего сайта
Подозрительные исходящие ссылки с сайта
Появились «чужие» поисковые фразы, по которым на сайт приходят посетители. Под эти фразы вы не оптимизировали страницу

Это некоторые признаки, сигнализирующие о том, что вероятно сайт взломан.

Кому это надо?

Да ладно, ерунда, кто взломает мой приунывший блог, который продвигается только в моем микрорайоне. Это так же распространенная ошибка владельца взломанного сайта.

Я тоже раньше так думал, и пренебрегал безопасностью, пока один из моих сайтов не взломали (спасибо парню из Индонезии (как потом выяснил), за то, что он расширил мой кругозор в области безопасности сайтов).

Не буду позиционировать себя как эксперта по безопасности, просто поделюсь своим опытом по этому вопросу.

Если сайт «заказали» и по нему конкретно работают, его взломают, не важно на какой технологии он сделан, на популярном движке или самописном, платном или бесплатном движке, это вопрос времени и денег, потраченных на это дело. Поэтому опустим тему «заказного» взлома больших веб проектов, и поговорим о том, как и зачем ломают тысячи небольших сайтов с маленькой посещаемостью которые, казалось бы, не должны интересовать злоумышленников, и вообще «откуда он узнал про мой сайт».

Зачем взламывают сайты

Как писал выше, взламывают сайты даже с маленькой посещаемостью. Основные причины для взлома:

Превратить взломанный ресурс в часть ботнета, для участия в DDoS-атаке на сторонний сайт.
Кража паролей и другой конфиденциальной информации (базы данных клиентов, платежная информация и т.д.), совершать покупки от имени другого пользователя
Показывать пользователю рекламу, переадресация на др. ресурсы
Шантаж пользователя
Распространение вредоносных программ
По заказу конкурентов
Размещение ссылок для продвижения третьих ресурсов (приоритетная причина)
Для тренировки соответствующих навыков

Как взламывают сайты

Компьютерные технологии в наше время сильно продвинулись, способы взлома сайта или компьютера пользователя ограничивается только знанием и умением специалиста (а это очень умные люди).

Если говорить о массовых взломах сайтов, то происходит это не так как представляет обыватель: «сидит плохой парень в толстовке с капюшоном, и ковыряет каждый отдельно взятый сайт». Нет, все по-другому, обычно этот «плохой парень» пишет «хорошую» программу, которая делает свою работу в массовом порядке, сканируя тысячи сайтов на уязвимость.

Не буду пытаться описывать способы, т.к. не являюсь специалистом в этой области, не знаю и малой доли специальных алгоритмов.

!!! Смысл статьи акцентировать внимание, на то, что в подавляющем большинстве случаев сайты взламывают по безалаберности владельцев.

Как защититься от взлома

Чтобы защитить сайт от взлома, соблюдайте базовые меры безопасности. Сюда относят:

Хороший хостинг с надлежащим оборудованием и защитой (идеальных нет), но выбор есть.
Использовать сложные пароли, и не стандартные логины.
Скрыть страницу входа в админ панель, или поставить на вход капчу.
Следить за домашним компьютером, на предмет технического здоровья. Пользоваться антивирусами, регулярно чистить, не открывать не понятные ссылки, соблюдать простые меры компьютерной гигиены.
Настройка как минимум базового уровня защиты сайта, и домашнего компьютера, сильно осложнит процесс взлома. «Средне статистическая» программа для перебора паролей, поиска дыр в используемой CMS будет малоэффективна.
Кроме этого своевременное обновление CMS и плагинов, установка последних выпусков модулей и плагинов, отказ от устаревших не поддерживающих обновление плагинов.
Включить и периодически заглядывать в лог файлы сайта находить и блокировать подозрительную активность на сайте, это будет еще одним плюсом.
На коммерческих сайтах собирающих платежную и т.п. информацию у клиентов, установить SSL сертификат.
Владельцам коммерческих проектов, при наличии финансов, подключить специализированный сервис по защите сайта, в сети есть подобные предложения.

Эти простые доступные меры сделают интернет проект более защищенным.

А сейчас не поленитесь, скачайте лечащую утилиту Dr.Web CureIt (она бесплатна и не требует установки) и проверьте свой компьютер на наличие вредоносных программ.