WordPressi turvalisus: kuidas kaitsta oma kodulehte

Miks WordPressi turvalisus on oluline?

Kuna WordPress on maailma populaarseim sisuhaldussüsteem, otsivad automatiseeritud robotid ööpäevaringselt haavatavaid WordPressi lehti – ka väikseid. „Minu leht on liiga väike, et kedagi huvitada" on ohtlik eksiarvamus: enamik rünnakuid ei vali sihtmärki käsitsi, vaid skannib kõike. Häkitud leht võib kaotada Google'i positsioonid, levitada pahavara külastajatele ja rikkuda ettevõtte maine. Oluline teada: valdav osa sissemurdmisi ei toimu WordPressi enda tuuma kaudu, vaid aegunud pluginate ja nõrkade paroolide kaudu.

Levinumad ründeviisid

Tunne vaenlast: jõurünnak (brute force) – robot proovib sisselogimislehel tuhandeid paroole; aegunud pluginate turvaaugud – teadaolevad haavatavused, millele on avalikud ründeskriptid; pahavara süstimine – lehele lisatakse varjatud kood, mis suunab külastajad mujale või saadab rämpsposti; vormide kuritarvitamine – kaitsmata kontakt- ja kommentaarivormid. Iga järgnev samm sulgeb ühe või mitu neist ustest.

1. Hoia kõik uuendatuna

See on kõige olulisem samm üldse. Uuenda WordPressi tuuma, teemasid ja pluginaid niipea, kui uuendus ilmub – turvapaigad on avalikud, seega teavad ründajad täpselt, mida vanades versioonides rünnata. Kustuta pluginad ja teemad, mida sa ei kasuta: ka deaktiveeritud plugin on ründepind. Väiksematele lehtedele tasub sisse lülitada automaatsed uuendused; suurematel teha uuendusi kontrollitult, aga regulaarselt – vähemalt kord nädalas.

2. Tugevad paroolid ja kaheastmeline autentimine

Kasuta pikki, unikaalseid paroole (paroolihaldur teeb selle lihtsaks) ja lülita administraatoritele sisse kaheastmeline autentimine (2FA) – see peatab jõurünnakud praktiliselt täielikult. Ära kasuta kasutajanime „admin" ja piira sisselogimiskatsete arvu (nt Limit Login Attempts Reloaded plugin). Kontrolli ka, et igal kasutajal oleks oma konto – jagatud paroolid on turvarisk.

3. Tee regulaarselt varukoopiaid

Varukoopia on su kindlustuspoliis: kui midagi läheb valesti, taastad lehe minutitega. Varukoopia peab olema automaatne (käsitsi tegemine ununeb), asuma mujal kui samas serveris (nt pilves) ja seda peab olema testitud – varukoopia, mida ei saa taastada, ei ole varukoopia. Sobiv tööriist on nt UpdraftPlus; paljud majutajad pakuvad ka serveripoolseid varukoopiaid, aga ära looda ainult nende peale.

4. Paigalda turvaplugin

Korralik turvaplugin (nt Wordfence või Solid Security) lisab tulemüüri (WAF), skannib faile pahavara suhtes, blokeerib kahtlased IP-d ja teavitab sind muudatustest. Tasuta versioonist piisab enamikule väikelehtedele. Ära paigalda mitut turvapluginat korraga – need hakkavad omavahel konflikteeruma ja aeglustavad lehte.

5. HTTPS ja turvaline majutus

SSL-sertifikaat (HTTPS) on tänapäeval kohustuslik – see krüpteerib liikluse, on Google'i reastussignaal ja ilma selleta kuvab brauser hoiatust. Enamik majutajaid pakub tasuta Let's Encrypt sertifikaati. Vali majutaja, kes uuendab PHP versiooni, isoleerib kontod üksteisest ja pakub serveripoolset tulemüüri – odavaim jagatud majutus on sageli ka turvariski poolest kallim valik.

6. Piira kasutajaõigusi

Anna igale kasutajale vaid nii palju õigusi, kui tema töö nõuab: sisulooja ei vaja administraatori rolli. Vaata kasutajate nimekiri regulaarselt üle ja kustuta kontod, mida enam ei kasutata – endise töötaja või agentuuri unustatud admin-konto on klassikaline turvaauk.

7. Karasta seadistust

Paar lihtsat lisasammu vähendavad ründepinda veelgi: lülita välja failiredaktor WordPressi töölaualt (DISALLOW_FILE_EDIT), keela XML-RPC, kui sa seda ei kasuta, ja veendu, et wp-config.php pole avalikult loetav. Kui kasutad vahemälu- või turvapluginat, teeb enamiku neist seadistustest ära paari linnukesega.

Mida teha, kui leht on juba häkitud?

Tunnused: leht suunab võõrastele aadressidele, Google'i tulemustes on võõrkeelsed leheküljed, majutaja või brauser kuvab hoiatust, liiklus kukub järsult. Tegutse nii: 1) vaheta kohe kõik paroolid (WordPress, majutus, FTP, andmebaas); 2) taasta puhas varukoopia või lase leht professionaalselt puhastada; 3) uuenda kõik komponendid; 4) kontrolli Google Search Console'is turvaprobleemide raportit ja taotle ülevaatust. Häkitud leht kaotab kiiresti positsioone – kuidas nähtavus taastada, loe WordPressi SEO juhendist.

Turvalisus ja kiirus käivad käsikäes

Hooldatud leht on ühtaegu turvaline ja kiire: aegunud pluginad on nii turvaauk kui ka pidur. Kui oled turvalisuse korda teinud, vaata üle ka kiirus – juhend on artiklis WordPressi kiiruse optimeerimine. Kui ei taha uuenduste, varukoopiate ja turvaseire peale ise mõelda, teeme seda sinu eest igakuiselt – vaata kodulehe halduse teenust.