אבטחת אתר וורדפרס: 10 צעדים שכל בעל אתר יכול לעשות

עשרת הצעדים

1. עדכנו הכל – ליבה, תבנית ותוספים. רוב הפריצות מנצלות חולשות שכבר תוקנו בגרסה חדשה.
2. מחקו מה שלא בשימוש – תוסף מושבת עדיין יכול להוות סיכון. אם לא צריך אותו, מחקו.
3. התקינו רק ממקורות מהימנים – לא תבניות ותוספים "פרימיום" מאתרים לא רשמיים.
4. סיסמאות חזקות וייחודיות – לכל משתמש, ובעזרת מנהל סיסמאות.
5. אימות דו-שלבי – לכל מי שיש לו הרשאות ניהול.
6. הרשאות מינימליות – כותב תוכן לא צריך הרשאת מנהל.
7. הגבלת ניסיונות התחברות – חוסמת ניסיונות לנחש סיסמאות.
8. גיבוי אוטומטי מחוץ לשרת – כדי שגם במקרה הגרוע יש לאן לחזור. ראו המדריך לגיבוי אתר.
9. SSL פעיל בכל האתר – כולל ממשק הניהול. ראו תעודת SSL.
10. אחסון עם הגנה – חומת אש ברמת השרת, סריקת נוזקות ובידוד בין אתרים.

סימנים שהאתר נפרץ

• הפניות מוזרות לאתרים אחרים, בעיקר מהטלפון.
• משתמשי ניהול חדשים שלא יצרתם.
• אזהרה מגוגל בתוצאות החיפוש או בדפדפן.
• האתר איטי פתאום, או שחברת האחסון מדווחת על שימוש חריג במשאבים.

מה עושים אם נפרצתם

1. משנים את כל הסיסמאות – ניהול, אחסון, מסד נתונים ו-FTP.
2. פונים לחברת האחסון – לחלק מהחברות יש עזרה בניקוי.
3. משחזרים מגיבוי נקי מלפני הפריצה.
4. מעדכנים הכל ומוחקים תוספים חשודים.
5. מבקשים מגוגל בדיקה חוזרת דרך Search Console, אם הוצגה אזהרה.

בשורה התחתונה

אבטחה היא שגרה, לא פעולה חד-פעמית. רבע שעה בחודש של עדכונים ובדיקה מונעת את רוב הבעיות. ואם אתם בוחרים אחסון חדש, רשימת הבדיקה לוורדפרס כוללת גם את שאלות האבטחה.