WordPress-sivuston tietoturva: näin suojaat sivustosi

Miksi WordPress-sivuston tietoturva on tärkeää?

Koska WordPress on maailman suosituin julkaisujärjestelmä, automaattiset botit etsivät haavoittuvia WordPress-sivustoja ympäri vuorokauden – myös pieniä. „Sivustoni on liian pieni kiinnostaakseen ketään" on vaarallinen harhaluulo: useimmat hyökkäykset eivät valitse kohdetta käsin, vaan skannaavat kaiken. Hakkeroitu sivusto voi menettää Google-sijoituksensa, levittää haittaohjelmia kävijöille ja vahingoittaa yrityksen mainetta. Tärkeä fakta: valtaosa murroista tapahtuu vanhentuneiden lisäosien ja heikkojen salasanojen kautta, ei WordPressin ytimen kautta.

Yleisimmät hyökkäystavat

Tunne vihollisesi: brute force -hyökkäys – botti kokeilee kirjautumissivulla tuhansia salasanoja; vanhentuneiden lisäosien haavoittuvuudet – tunnettuja aukkoja, joihin on julkisia hyökkäysskriptejä; haittakoodin syöttäminen – sivustolle lisätään piilotettua koodia, joka ohjaa kävijät muualle tai lähettää roskapostia; lomakkeiden väärinkäyttö – suojaamattomat yhteydenotto- ja kommenttilomakkeet. Jokainen seuraava keino sulkee yhden tai useamman näistä ovista.

1. Pidä kaikki päivitettynä

Tämä on tärkein yksittäinen keino. Päivitä WordPressin ydin, teemat ja lisäosat heti, kun päivitys ilmestyy – tietoturvakorjaukset ovat julkisia, joten hyökkääjät tietävät tarkalleen, mitä vanhoissa versioissa kannattaa hyödyntää. Poista lisäosat ja teemat, joita et käytä: myös deaktivoitu lisäosa on hyökkäyspintaa. Pienemmille sivustoille kannattaa kytkeä automaattiset päivitykset; isommille tehdä päivitykset hallitusti mutta säännöllisesti – vähintään kerran viikossa.

2. Vahvat salasanat ja kaksivaiheinen tunnistautuminen

Käytä pitkiä, uniikkeja salasanoja (salasanojen hallintaohjelma tekee tästä helppoa) ja ota ylläpitäjille käyttöön kaksivaiheinen tunnistautuminen (2FA) – se pysäyttää brute force -hyökkäykset käytännössä kokonaan. Älä käytä käyttäjätunnusta „admin" ja rajoita kirjautumisyritysten määrää (esim. Limit Login Attempts Reloaded). Varmista myös, että jokaisella käyttäjällä on oma tunnus – jaetut salasanat ovat tietoturvariski.

3. Ota säännölliset varmuuskopiot

Varmuuskopio on vakuutuksesi: jos jokin menee pieleen, palautat sivuston minuuteissa. Varmuuskopion pitää olla automaattinen (käsin tehtävä unohtuu), tallessa muualla kuin samalla palvelimella (esim. pilvessä) ja testattu – varmuuskopio, jota ei voi palauttaa, ei ole varmuuskopio. Hyvä työkalu on esim. UpdraftPlus; monet palveluntarjoajat tarjoavat myös palvelinpuolen varmuuskopiot, mutta älä luota pelkästään niihin.

4. Asenna tietoturvalisäosa

Kunnollinen tietoturvalisäosa (esim. Wordfence tai Solid Security) lisää palomuurin (WAF), skannaa tiedostot haittaohjelmien varalta, estää epäilyttävät IP-osoitteet ja ilmoittaa muutoksista. Ilmainen versio riittää useimmille pienille sivustoille. Älä asenna useaa tietoturvalisäosaa yhtä aikaa – ne aiheuttavat ristiriitoja ja hidastavat sivustoa.

5. HTTPS ja turvallinen hosting

SSL-varmenne (HTTPS) on nykyään pakollinen – se salaa liikenteen, on Googlen sijoitussignaali, ja ilman sitä selain näyttää varoituksen. Useimmat palveluntarjoajat tarjoavat ilmaisen Let's Encrypt -varmenteen. Valitse palveluntarjoaja, joka pitää PHP:n ajan tasalla, eristää asiakastilit toisistaan ja tarjoaa palvelintason palomuurin – halvin jaettu hosting on tietoturvan kannalta usein kallein valinta.

6. Rajoita käyttäjäoikeuksia

Anna jokaiselle käyttäjälle vain sen verran oikeuksia kuin työ vaatii: sisällöntuottaja ei tarvitse ylläpitäjän roolia. Käy käyttäjälista läpi säännöllisesti ja poista tunnukset, joita ei enää käytetä – entisen työntekijän tai toimiston unohtunut ylläpitäjätunnus on klassinen tietoturva-aukko.

7. Kovenna asetukset

Muutama yksinkertainen lisätoimi pienentää hyökkäyspintaa entisestään: poista tiedostoeditori käytöstä WordPressin hallintapaneelista (DISALLOW_FILE_EDIT), poista XML-RPC käytöstä, jos et käytä sitä, ja varmista, ettei wp-config.php ole julkisesti luettavissa. Jos käytät välimuisti- tai tietoturvalisäosaa, useimmat näistä asetuksista hoituvat parilla valintaruudulla.

Mitä tehdä, jos sivusto on jo hakkeroitu?

Merkit: sivusto ohjaa vieraisiin osoitteisiin, Google-tuloksissa näkyy vieraskielisiä sivuja, palveluntarjoaja tai selain näyttää varoituksen, liikenne romahtaa. Toimi näin: 1) vaihda heti kaikki salasanat (WordPress, hosting, FTP, tietokanta); 2) palauta puhdas varmuuskopio tai puhdistuta sivusto ammattilaisella; 3) päivitä kaikki komponentit; 4) tarkista Google Search Consolen tietoturvaraportti ja pyydä uudelleentarkistusta. Hakkeroitu sivusto menettää sijoituksia nopeasti – näkyvyyden palauttamisesta lue WordPress-hakukoneoptimoinnin opas.

Tietoturva ja nopeus kulkevat käsi kädessä

Hyvin ylläpidetty sivusto on samalla kertaa turvallinen ja nopea: vanhentuneet lisäosat ovat sekä tietoturva-aukko että jarru. Kun tietoturva on kunnossa, käy läpi myös nopeus – opas löytyy artikkelista WordPress-sivuston nopeuttaminen. Jos et halua itse miettiä päivityksiä, varmuuskopioita ja tietoturvavalvontaa, hoidamme sen puolestasi kuukausittain – tutustu verkkosivuston hallintapalveluun.