אבטחת אתר וורדפרס מבוססת על חמישה דברים פשוטים שרוב העסקים פשוט לא עושים באופן קבוע. אין כאן קסם טכנולוגי, יש שגרה. אלה הצעדים שמונעים את הרוב המוחלט של הפריצות שאני נתקל בהן:
- עדכון שוטף של הליבה, התבנית והתוספים
- סיסמאות חזקות ואימות דו שלבי לכל משתמש ניהול
- מחיקת תוספים ותבניות שאינם בשימוש
- גיבוי אוטומטי יומי שנשמר מחוץ לשרת
- ספק אחסון שמספק חומת אש ובידוד בין אתרים
שמי סער ברעם, מומחה שיווק דיגיטלי עם מעל 15 שנות ניסיון בשטח. ייסדתי את חברת שיווק דיגיטלי שמלווה עסקים להשגת תוצאות אמיתיות – יותר לקוחות, יותר מכירות, ויותר צמיחה. לאורך השנים בניתי וניהלתי עשרות אתרי וורדפרס, וראיתי מקרוב מה קורה לעסק שהאתר שלו נפרץ בדיוק בשבוע העמוס של השנה.
למה אתרי וורדפרס של עסקים קטנים נפרצים
הטעות הראשונה היא להניח שאף אחד לא מתעניין באתר קטן. רוב הפריצות אינן ממוקדות באתר מסוים, אלא נעשות על ידי סקריפטים אוטומטיים שסורקים את הרשת ומחפשים גרסאות ישנות עם חולשה ידועה. האתר שלכם לא נבחר, הוא פשוט נמצא.
מה שהתוקף רוצה בדרך כלל הוא לא המידע שלכם. הוא רוצה שרת שישלח ספאם, יארח דפי הונאה או יפנה גולשים לאתר אחר. זו הסיבה שפריצה מתגלה לעיתים קרובות רק כשגוגל מסמן את האתר כמסוכן והתנועה האורגנית קורסת.
הנזק העסקי כמעט תמיד גדול מהנזק הטכני. אתר שסומן כפרוץ מאבד מיקומים בגוגל, ולוקח שבועות עד שהאמון משוחזר. עסק שנשען על קידום אורגני מרגיש את זה חודשים אחר כך.
עדכונים: הסיבה מספר אחת לפריצות
כשמתגלה חולשת אבטחה בתוסף פופולרי, הפרטים שלה מתפרסמים בציבור באותו יום שבו יוצא התיקון. מהרגע הזה כל אתר שלא עודכן הופך למטרה קלה וידועה. חלון הזמן בין פרסום התיקון לבין גל הסריקות האוטומטיות הוא לרוב ימים בודדים.
לכן אני ממליץ להפעיל עדכונים אוטומטיים לתיקוני אבטחה של הליבה, ולבדוק ידנית עדכוני תוספים אחת לשבוע. עדכון ידני של תוסף מרכזי כדאי לעשות אחרי גיבוי, כדי שאפשר יהיה לחזור אחורה אם משהו נשבר. זה לוקח עשר דקות בשבוע ומונע את רוב הבעיות.
עסקים שאין להם מי שיעשה את זה צריכים לקנות חבילת תחזוקה, לא לקוות לטוב. תחזוקה היא הוצאה קבועה וצפויה, שחזור מפריצה הוא הוצאה בלתי צפויה וגדולה בהרבה.
לפני כמה שנים בניתי אתר וורדפרס עבור ים חקירות, וכחלק מהעבודה הקמנו בלוג עם מעל 250 פוסטים ישנים וחדשים. אתר בהיקף כזה הוא בדיוק המקרה שבו הזנחה של עדכונים יכולה למחוק שנים של עבודת תוכן. הבלוג צמח לנוכחות שהובילה לשיתוף פעולה עם Ynet ובהמשך Mako, ובמקביל הרצנו קמפיין פייסבוק שהגיע ל-0.07 שקל לקליק. נכס בסדר גודל כזה מחייב שגרת גיבוי ועדכון מסודרת.
סיסמאות, הרשאות וגישה לניהול
שם המשתמש admin וסיסמה שחוזרת על עצמה בשירותים אחרים הם שילוב שמסביר חלק ניכר מהפריצות. כל משתמש ניהול צריך סיסמה ייחודית וארוכה, ורצוי מנוהלת במנהל סיסמאות. אימות דו שלבי מוסיף שכבה שמנטרלת כמעט לגמרי ניסיונות ניחוש.
נקודה שנשכחת: הרשאות. לא כל מי שנוגע באתר צריך הרשאת מנהל מערכת. כותב תוכן צריך הרשאת עורך, מעצב חיצוני צריך גישה זמנית שנסגרת בסיום הפרויקט.
כשספק מסיים עבודה, מוחקים את המשתמש שלו. אני רואה אתרים עם שישה משתמשי ניהול פעילים שאיש כבר לא זוכר למי הם שייכים. כל אחד מהם הוא דלת פתוחה.
תוספים, תבניות וספק האחסון
כל תוסף הוא קוד של צד שלישי שרץ באתר שלכם עם הרשאות מלאות. ככל שיש יותר תוספים, כך גדל שטח התקיפה. הכלל שלי פשוט: אם תוסף לא נחוץ, הוא נמחק ולא רק מושבת.
איך בוחרים תוסף בבטחה
בדקו מתי התוסף עודכן לאחרונה, כמה התקנות פעילות יש לו ואיך המפתח מגיב בפורום התמיכה. תוסף שלא עודכן שנה הוא סיכון, גם אם הוא עובד. תבניות מפוצחות שהורדו מאתרים לא רשמיים הן דרך מוכרת להכניס קוד זדוני לאתר מרצון.
ספק האחסון הוא שכבת ההגנה הראשונה. אחסון שיתופי זול שבו עשרות אתרים חולקים אותו שרת בלי בידוד מאפשר לאתר פרוץ אחד להדביק את השכנים. חבילת אחסון עם חומת אש, סריקת קבצים וגיבוי יומי עולה מעט יותר וחוסכת הרבה.
גיבויים ומה עושים כשהאתר כבר נפרץ
גיבוי שנשמר על אותו שרת שבו יושב האתר אינו גיבוי. הוא צריך להישמר בענן חיצוני, ברמת תדירות שמתאימה לקצב השינויים באתר. חנות מקוונת צריכה גיבוי יומי לפחות, אתר תדמית שמתעדכן פעם בחודש יכול להסתפק בשבועי.
אם האתר כבר נפרץ, הצעד הראשון הוא להוריד אותו זמנית ולשנות את כל הסיסמאות, כולל אלה של האחסון והמסד. אחר כך משחזרים מגיבוי נקי שקדם לפריצה, מעדכנים הכל ורק אז מעלים חזרה. חשוב גם לבקש מגוגל בדיקה חוזרת דרך Search Console כדי להסיר את סימון האזהרה.
הטעות הנפוצה היא לנקות את הקבצים הזדוניים ולהמשיך כרגיל. אם לא סגרתם את הפרצה שדרכה נכנסו, האתר ייפרץ שוב תוך ימים.
שגרת אבטחה שאפשר באמת לעמוד בה
אחת לשבוע: בדיקת עדכונים, מבט מהיר על רשימת המשתמשים ווידוא שהגיבוי האחרון רץ בהצלחה. אחת לחודש: מחיקת תוספים שלא בשימוש ובדיקה שאין קבצים חדשים ומוזרים בתיקיות. אחת לרבעון: החלפת סיסמאות ניהול ובדיקה שהאתר לא מסומן בגוגל.
השגרה הזו לוקחת פחות משעה בחודש והיא מגנה על נכס שבנייתו עלתה לכם עשרות אלפי שקלים. בניית נכסים דיגיטליים היא לא רק ההשקה, היא גם השמירה עליהם לאורך זמן.
אם אין לכם זמן לזה, זו בדיוק הסיבה שקיימות חבילות תחזוקה. עדיף לשלם כמה מאות שקלים בחודש מאשר לגלות בבוקר שהאתר שהביא לכם לידים כבר שנתיים מציג דף בשפה זרה.
כלי אבטחה שכדאי להתקין ומה הם באמת עושים
תוסף אבטחה טוב עושה שלושה דברים: חוסם ניסיונות התחברות חוזרים, סורק את הקבצים ומתריע על שינויים לא מוכרים. הוא לא מחליף עדכונים ולא מחליף גיבוי, הוא רק מקטין את הסיכוי שסריקה אוטומטית תצליח. עסקים שמתקינים תוסף אבטחה ומפסיקים לעדכן נמצאים במצב גרוע יותר, כי נוצרת תחושת ביטחון שאין לה כיסוי.
שווה גם להגביל את הגישה לעמוד ההתחברות לפי כתובת IP, אם כל מי שמנהל את האתר עובד ממשרד קבוע. פעולה פשוטה נוספת היא להסתיר את גרסת וורדפרס מהקוד הגלוי, כדי לא לספק לסורקים אוטומטיים מידע חינם. אלה לא צעדים דרמטיים, אבל הם מורידים משמעותית את כמות הניסיונות שמגיעים לאתר.
לבסוף, הפעילו התראות במייל על כל התחברות של משתמש ניהול חדש. זו הדרך המהירה ביותר לגלות בעיה בזמן אמת ולא שבועיים אחרי, כשהנזק כבר עשה את שלו.
מקורות: WordPress.org Security Documentation | Google Search Central Hacked Sites Help | Sucuri Website Threat Research Report | Wordfence Threat Intelligence Report
רוצה לדעת יותר? מוזמן ליצור קשר ישירות: 077-8040280