Cum să protejați site-ul web de hackeri și să îl asigurați cu ușurință

Site-ul tau este valoros: pentru tine si pentru vizitatorii site-ului tau. Și, de asemenea, pentru hackeri.

Pentru a construi o apărare bună împotriva atacurilor rău intenționate, aveți nevoie de un ghid fără prostii despre cum să protejați site-ul web de hackeri .

Acesta este ghidul de protecție împotriva hackerilor!

Cum suntem atât de încrezători? MalCare protejează peste 25000 de site-uri web, iar echipa noastră de asistență descoperă cel mai evaziv malware de pe site-uri în fiecare zi. Știm câteva lucruri despre cum să vă protejați site-ul de hackeri și alte atacuri rău intenționate.

TL;DR: Cea mai bună măsură de securitate este să instalați un plugin de securitate care rulează pe pilot automat. De asemenea, vă recomandăm să implementați toate măsurile de securitate pe care le-am descris în acest articol.

Înainte de a începe

A vedea o listă lungă de măsuri de securitate pentru a proteja site-ul web de hackeri poate fi oarecum descurajantă. Ne dăm seama că. Deci, pentru a ușura implementarea acestor măsuri de securitate, am organizat această listă de protecție împotriva hackerilor cu ușurință. Vă sugerăm să marcați acest articol și să reveniți la el pe măsură ce vă parcurgeți-l.

Există o combinație de pași de protecție pe această listă: lucruri pe care ar trebui să le faci, lucruri pe care nu ar trebui să le faci și câteva mituri distruse la fel de bine.

Scopul acestui articol este de a demistifica securitatea, eliminând dezordinea disponibilă în altă parte. Cu toate acestea, cea mai mare concluzie ar trebui să fie că protejarea site-ului dvs. de hackeri și viruși nu este o activitate unică; dar mai multe despre asta pe măsură ce progresăm.

6 pași de bază pentru a vă proteja imediat site-ul de hackeri

Măsurile de protecție din această secțiune sunt cele mai ușor de implementat și, sincer, vă vor configura destul de bine. La prima vedere, pot părea tehnici sau avansate, dar ia-l de la cineva care nu este inginer: ai înțeles asta!

1. Instalați un firewall bun

Hackerii nu pirata manual site-urile web. Un hacker bun va crea un bot care adulmecă site-urile vulnerabile și automatizează cea mai mare parte a procesului. Acum, boții sunt programați să efectueze acțiuni foarte specifice. Ei nu sunt sensibili.

În esență, un firewall este un cod care identifică cererile rău intenționate. Fiecare solicitare de informații adresată site-ului dvs. web trece mai întâi prin firewall. Dacă firewall-ul detectează că cererea este rău intenționată sau este făcută de la o adresă IP despre care se știe că este rău intenționată, cererea este blocată în loc să fie procesată.

Evitați modificarea configurației firewall-ului

Unele firewall-uri vă vor permite să configurați setările. Cu toate acestea, nu îl recomandăm decât dacă sunteți un profesionist de bună credință în securitatea site-urilor web. Regulile de firewall sunt create după o cercetare semnificativă de securitate și o mulțime de eliminare a programelor malware.

De exemplu, majoritatea pluginurilor de securitate WordPress au reguli care împiedică pe oricine fără acces de administrator să acceseze fișierul wp-config.php. Fișierul wp-config.php este un fișier principal WordPress care conține o mulțime de informații sensibile. Așadar, firewall-ul verifică fiecare solicitare adresată site-ului web pentru a vedea dacă acesta conține textul „wp-config.php”. Dacă această regulă este declanșată, cererea este respinsă de firewall.

În plus, deoarece hackerii încearcă să pirateze cât mai multe site-uri web atunci când este descoperită o vulnerabilitate, acest lucru scoate la iveală IP-urile hackerilor. Firewall-urile WordPress urmăresc și blochează IP-urile rău intenționate în mod preventiv, pe baza acestor atacuri.

Desigur, niciun firewall nu este 100% inaccesibil. Dar este mult mai bine să ai un firewall care blochează majoritatea software-ului rău intenționat decât să nu ai deloc firewall. Dar toate firewall-urile nu sunt la fel, iar unele sunt mult mai eficiente decât altele. Așadar, am făcut o listă cu cele mai bune firewall-uri WordPress din care să alegi.

2. Aveți o politică puternică de parole și utilizați un manager de parole

Suntem în securitatea WordPress de peste un deceniu. Ai fi surprins să știi câte site-uri web au fost sparte doar pentru că parola era slabă.

Parolele ușor de ghicit sunt folosite de sute de mii de site-uri web. 5% dintre site-urile piratate care au folosit MalCare pentru a elimina programele malware au folosit parole slabe.

Hackerii au o listă de astfel de parole numite tabele curcubeu și generează în mod constant tabele mai mari pentru a le folosi ca un fel de dicționar. Folosind aceste tabele, un hacker poate lansa un atac cunoscut sub numele de „atac de dicționar”.

Atacurile din dicționar sunt în mare parte o variantă a atacurilor cu forță brută. Dar aceasta nu este singura modalitate de a pirata o parolă. Prin urmare, sunt recomandate parole puternice.

Parolele puternice sunt o combinație de litere, cifre și simboluri. Combinațiile neobișnuite sunt greu de spart și algoritmii de forță brută pot dura ani pentru a decoda. De asemenea, cu cât o parolă este mai lungă, cu atât este mai dificil de spart.

Acest articol vă va ajuta să vă creați propria parolă epică.

De asemenea, puteți utiliza pluginuri pentru a impune parole puternice de la toți utilizatorii dvs. WordPress cu pluginul Password Policies Manager pentru WordPress. Acest plugin vă va ajuta să creați politici care obligă toți utilizatorii dvs. WordPress să creeze parole puternice atunci când își creează conturile.

3. Instalați SSL și utilizați HTTPS pe site-ul dvs. web

Certificatul Secure Sockets Layer (SSL), este un protocol de securitate care criptează toate comunicațiile către și de la un site web. Instalarea unuia va asigura că, chiar dacă un hacker interceptează date de pe site-ul dvs. web, nu va putea niciodată să înțeleagă despre ce este vorba.

Am creat un ghid întreg despre instalarea corectă a unui certificat SSL. Serios, hype-ul este justificat. Obțineți acum un certificat SSL pentru site-ul dvs. web. Ca bonus suplimentar, veți obține și beneficii SEO.

4. Examinați cu atenție utilizatorii admin

Majoritatea oamenilor presupun că hackerii vor instala doar programe malware pe site-ul lor și vor pleca. Nu este adevarat. Hackerii cu adevărat inteligenți vor crea un cont fantomă cu privilegii de administrator, astfel încât să poată valsa înapoi oricând doresc.

Examinarea și eliminarea periodică a utilizatorilor WordPress poate rezolva această problemă.

Da, poate fi o activitate consumatoare de timp dacă aveți o echipă mare care vă gestionează site-ul. Dar merita. Ștergerea utilizatorilor care nu mai contribuie la site-ul dvs. este primul loc de început. Apoi, faceți obligatoriu parolele puternice, astfel încât scriitorii și editorii dvs. să nu compromită accidental site-ul dvs.

Este posibil să urmați practici excelente de securitate pentru parolele dvs., dar dacă unul dintre administratorii dvs. este pradă unei escrocherii de tip phishing, de exemplu, atunci site-ul dvs. web va fi și el afectat.

Utilizați pe deplin rolurile de utilizator WordPress pentru a restricționa accesul pe cât posibil. De exemplu, dacă cineva scrie și încarcă doar articole, acordați-i acces „Autor”, nu „Administrator”. Citiți articolul nostru despre rolurile WordPress pentru a afla cum să faceți totul fără durere.

5. Utilizați un jurnal de activitate

Dacă vezi ceva neașteptat pe site-ul tău web, poate trage o alarmă în timp util în mai multe situații. Luați în considerare dacă un cont de administrator a fost creat fără știrea dvs.; sau un plugin dezactivat (unul de securitate, de exemplu) fără consens.

Acestea sunt toate exemple de acțiuni legitime ale administratorului site-ului web, dar pot fi, de asemenea, simptomatice ale accesului neautorizat. Jurnalele de activitate vă vor spune ce se întâmplă pe site-ul dvs. și apoi puteți evalua dacă aceste acțiuni sunt legitime sau nu.

Această practică ne-a salvat slănina de multe ori.

Majoritatea hackerilor sunt extrem de atenți pentru a nu fi prinși, deoarece pot controla site-ul dvs. numai atâta timp cât nu sunt prinși. Jurnalele de activitate ajută la semnalarea modificărilor, astfel încât să puteți elimina activitatea neautorizată din răsputeri.

MalCare vine la pachet cu un jurnal de activitate pe tabloul de bord și nu este necesară configurarea pentru a-l configura.

6. Faceți copii de rezervă regulate

Efectuarea de copii de siguranță este, probabil, una dintre cele mai subestimate tactici pe care le puteți aplica. Faceți întotdeauna copii de siguranță zilnice, astfel încât să vă puteți restaura rapid site-ul web în cazul unei eșecuri catastrofale.

Alegeți un plugin de backup bun, care este de încredere, deoarece backup-urile manuale sunt dificil de executat corect fără o expertiză considerabilă.

De fapt, înainte de a continua cu oricare dintre pașii din acest articol, faceți o copie de rezervă completă a site-ului dvs. și configurați imediat copii de siguranță zilnice. Aceasta este întotdeauna o practică bună atunci când faceți orice modificări site-ului dvs.

5 pași intermediari pentru a vă proteja site-ul la nivelul următor

Pașii de bază din articol sunt un început bun și nu ar trebui să dureze prea mult timp pentru a se configura. În această secțiune, în afară de autentificarea în doi factori și limitarea încercărilor de autentificare, pașii sunt măsuri de securitate în curs de desfășurare.

După cum am spus mai devreme în acest articol, este important să ne gândim la securitatea site-ului în mod corect. Nu este o configurare sau o activitate unică și trebuie considerată o parte obișnuită a administrării site-ului dvs.

1. Actualizați totul

Peste 90% din hack-uri au loc deoarece hackerii au identificat o vulnerabilitate într-o temă sau plugin și au exploatat-o ​​pe mai multe site-uri web.

Deci, ce este o vulnerabilitate? Temele și pluginurile sunt software. Ca orice alt software, acestea sunt bucăți de cod care vor avea invariabil erori. Unele erori sunt relativ inofensive și pot cauza doar o eroare minoră în timpul actualizării. Alții pot face codul vulnerabil la exploatare.

Când vulnerabilitățile sunt descoperite, mai ales de către cercetătorii de securitate, acestea sunt dezvăluite dezvoltatorului pluginului pentru corecții. Dezvoltatorii responsabili vor lansa o remediere, iar site-urile web cu pluginul instalat vor vedea că o versiune actualizată a pluginului este disponibilă în curând.

Odată ce remedierea este lansată, vulnerabilitatea este dezvăluită public. Dacă ați fost unul dintre site-urile care au actualizat pluginul sau tema cu soluția de securitate, este excelent. Dacă nu, site-ul tău va deveni ținta hackerilor amatori (numiți script kiddies) care doresc să facă bani rapid.

Prin urmare, este întotdeauna cel mai bine să mențineți totul actualizat în orice moment, de la WordPress la pluginuri. Știm că actualizările pot rupe uneori site-urile web în moduri neașteptate, așa că pentru a evita orice inconvenient, utilizați punerea în scenă pentru a actualiza în siguranță. Dar vă rog să actualizați totul.

Am creat un ghid pentru actualizarea site-urilor web WordPress în siguranță și cu întreruperi minime.

2. Alegeți teme și pluginuri bune

Dacă observați din secțiunea anterioară, ne-am referit la dezvoltatorii care lansează actualizări pentru a corecta vulnerabilități ca responsabili. Pe scurt, dezvoltatorii buni își întrețin în mod activ software-ul.

Aceasta nu este în niciun caz o stare de fapt universală. Trist dar adevărat.

Astfel, susținem cu tărie utilizarea unor plugin-uri și teme bune pentru site-ul dvs. web. De înțeles, „bun” este un termen relativ și oarecum vag. Așadar, enumerăm factorii pe care ar trebui să îi luați în considerare atunci când optați pentru un plugin pentru site-ul dvs.:

• Actualizări regulate: un plugin sau o temă care lansează constant actualizări și continuă să corecteze orice vulnerabilitate pe care o descoperă. Acest lucru vă va spune că dezvoltatorul este serios cu privire la riscurile de securitate ale produsului său.

• Instalări active: un plugin popular cu milioane de instalări va avea întotdeauna o țintă pe spate. Formularul de contact 7 este un exemplu foarte clar al acestei tendințe. Partea inversă este că pluginurile populare tind să fie, de asemenea, mai sigure, deoarece de obicei au o echipă mai mare și mai bună care lucrează pentru a îmbunătăți produsul. Deci alegeți cu înțelepciune, după ce ați făcut cercetări adecvate.

• Credibilitate: Evitați să instalați un plugin sau o temă dezvoltată de freelanceri despre care nimeni nu a auzit. Folosiți numai pluginuri și teme dezvoltate de dezvoltatori și mărci de renume. Dacă cumpărați de pe o piață, asigurați-vă că aveți încredere în dezvoltator și nu doar în piață.

• Versiuni plătite: de obicei, furnizorii de plugin-uri plătiți cheltuiesc mai mult timp și bani pentru găsirea și corecția vulnerabilităților. Dacă aveți un buget foarte mic, atunci un plugin gratuit va avea mai mult sens. Dar dacă ești îngrijorat de securitatea site-ului tău web, îți recomandăm cu căldură să folosești teme și pluginuri premium.

Ca o notă secundară, ați putea fi tentat să utilizați pluginuri și teme anulate. Nu o face. Riscul pur și simplu nu merită.

Software-ul anulat răspândește malware. De aceea primești un produs premium gratuit. Dar chiar dacă fișierul zip nu conține niciun cod evident rău intenționat, orice utilizator de plugin sau temă anulat știe că nu poate actualiza software-ul. Acest lucru face site-ul vulnerabil la un hack, așa cum am spus în secțiunea anterioară.

3. Implementați 2FA

Autentificarea cu doi factori (2FA) este o măsură de securitate care adaugă un alt dispozitiv sau token la care trebuie să ai acces pentru a te autentifica, pe lângă parola.

Există câteva protocoale care sunt utilizate pentru 2FA, cum ar fi TOTP (parolă unică bazată pe timp) sau HOTP (parolă unică bazată pe HMAC). Fiecare are avantajele și dezavantajele lor, dar în scopul securității conectării, nu trebuie să ne aprofundăm în aceste detalii.

Există mai multe aplicații plătite și gratuite care pot fi folosite pentru a adăuga 2FA la pagina dvs. de conectare și acceptă cele mai populare protocoale. Pentru mai mult ajutor, consultați acest articol pentru a vedea cum să configurați WordPress 2FA. Dacă aveți mulți colaboratori pe site-ul dvs., este cu siguranță o idee bună să implementați această funcție de securitate.

4. Selectați o gazdă web bună

Majoritatea oamenilor consideră gazdele web responsabile chiar și pentru securitatea site-ului web. Dar rareori este vina gazdei web dacă site-ul tău este spart. De fapt, în rarele cazuri în care o gazdă web este responsabilă pentru o încălcare a securității, ramificațiile sunt enorme. Mii de site-uri sunt afectate.

Pantoful este pe celălalt picior de cele mai multe ori, iar o gazdă web bună este esențială în protejarea site-ului dvs. de hackeri. Astfel, ar trebui să urmăriți cel mai sigur serviciu de găzduire. Iată o listă cu cei mai buni furnizori de găzduire WordPress pe care i-am compilat pentru a vă ajuta să selectați o gazdă web bună.

5. Limitați încercările de conectare

O modalitate ușoară de a bloca roboții și atacatorii cu forță brută este de a refuza intrarea la o adresă IP după 3 încercări eșuate. Paravanul de protecție MalCare vine integrat cu această caracteristică. Limitarea încercărilor de autentificare este o modalitate extrem de eficientă de a vă proteja site-ul web fără multe dezavantaje.

Puteți utiliza pluginul „Limit Loginizer” și atunci când instalați WordPress. Dar dacă greșiți propria parolă de 3 ori, atunci va trebui să cereți gazdei dvs. web să vă deblocheze adresa IP pentru a încerca din nou.

2 pași experți pentru a îmbunătăți cu adevărat protecția site-ului dvs

Chiar dacă ați reușit să finalizați pașii din secțiunile anterioare, sunteți destul de bine în ceea ce privește protejarea site-ului dvs. de hackeri. Următoarele măsuri sunt eficiente, cu toate acestea, necesită o oarecare măsură în jurul codului.

Dorim să reiterăm că majoritatea hack-urilor apar din cauza vulnerabilităților, așa că a-ți avea grijă de acestea vă va proteja destul de bine site-ul de hackeri și viruși. Dacă nu vă simțiți confortabil să încercați singuri următorii pași, îi puteți ignora sau îi puteți trimite dezvoltatorului pentru a le implementa. Oricum, site-ul tău este încă bine protejat de hackeri.

1. Blocați execuția PHP în folderul de încărcări

Există o întreagă clasă de vulnerabilități numite vulnerabilități Remote Code Execution care permit hackerilor să încarce cod PHP rău intenționat în folderul Încărcări. De obicei, folderul Încărcări nu este menit să conțină niciun cod executabil. Este menit să conțină fișierele dvs. media. Dar natura folderului Încărcări este că permite stocarea fișierelor și folderelor în el.

Odată ce codul este încărcat pe site-ul dvs. web, un hacker îl poate rula și obține control eficient asupra site-ului dvs. Cu toate acestea, dacă blocați execuția PHP în folderul Încărcări, atunci atacul nu poate avea loc niciodată.

Dacă utilizați MalCare, puteți bloca execuția PHP în folderul Încărcări cu un clic pe un buton, ca parte a măsurilor de consolidare WordPress.

2. Schimbați cheile de securitate WordPress

Dacă ați fost piratat recent, vă puteți schimba cheile de securitate WordPress. Acesta este un șir care este codificat împreună cu numele de utilizator și parola pentru a gestiona sesiunile conectate pentru utilizatori.

Puteți seta acest șir la orice, cu toate acestea, ca și în cazul parolelor, cel mai bine este să utilizați un șir alfanumeric generat aleatoriu. Citiți mai multe despre cheile de securitate și despre cum să le schimbați.

2 Sfaturi BONUS pentru protecția site-ului împotriva hackerilor

1. Fii la curent cu știrile de securitate

A rămâne informat, a pune întrebări și a consulta comunitatea sunt modalități excelente de a ține evidența celor mai recente hack-uri și schimbări în peisajul amenințărilor. De exemplu, dacă este descoperită o vulnerabilitate a pluginului, o puteți dezactiva din tabloul de bord până când actualizarea este disponibilă și instalată. Orice inconvenient cu care vă confruntați va păli în comparație cu pierderile suferite de un site web piratat.

2 . Efectuați periodic audituri de securitate

Mulți proprietari de site-uri web cred în mod eronat că site-urile lor sunt prea mici pentru a fi considerate demne de hacking. Acest lucru nu este nicăieri aproape de adevăr. Hack-urile au loc din mai multe motive și, dacă site-ul dvs. web nu este, de exemplu, profitabil în ceea ce privește datele utilizatorilor, acesta are totuși suficientă autoritate SEO pentru a fi folosit ca site de phishing.

Verificările regulate de securitate vor ajuta la descoperirea practicilor nesigure, precum și a potențialelor vulnerabilități ale site-ului dvs. Păstrând un ochi pe evenimentele site-ului dvs. - prin intermediul unui jurnal de activitate sau prin revizuirea utilizatorilor, de exemplu - vă veți economisi o grămadă de durere pe termen lung.

Lucruri care NU vă vor ajuta să vă protejați site-ul

Susținem să fim conștienți de securitate, dar nu paranoici. De asemenea, am văzut că există o mulțime de sfaturi proaste pentru proprietarii de site-uri în sălbăticie. Sfatul poate veni dintr-un loc bun, dar poate avea consecințe neintenționate, cum ar fi crearea unei experiențe de utilizator slabe sau blocarea dvs. de la propriul site!

Deci, vă rugăm să nu faceți următoarele.

1. Ascundeți pagina de autentificare wp

Multe plugin-uri de securitate încă cred că acest truc vechi funcționează.

Dacă hackerul nu poate găsi pagina de autentificare, nu poate efectua atacuri cu forță brută, nu? Nu, nu chiar. In schimb:

• Îți face site-ul foarte dificil de utilizat. Dacă uitați noua adresă URL de conectare, recuperarea contului poate fi dificilă.
• Dacă utilizați adresele URL implicite care vin cu pluginul de securitate, este ușor pentru hackeri să ghicească noua dvs. adresă URL.
• Chiar dacă hackerii nu găsesc pagina wp-login, ei tot pot să vă pirateze site-ul folosind vulnerabilitatea XML-RPC.

Această opțiune nu realizează nimic în cele din urmă și poate cauza destul de multe probleme.

2. Geo-blocare

Blocarea geografică înseamnă, în esență, blocarea traficului din țările în care produsul sau serviciul dvs. nu este disponibil sau relevant. Aceasta este de obicei văzută ca o măsură de securitate, dar este de fapt o modalitate de a reduce facturarea pentru resursele consumate de server.

Este foarte posibil să credeți că traficul din Gabon nu vă ajută afacerea. Dar blocarea întregului trafic din Gabon nu rezolvă nimic. Cu un VPN bun, oricine poate ocoli chiar și geo-blocarea Netflix.

De asemenea, riscați să vă blocați Googlebot și să vă blocați!

3. Protejarea cu parolă a directorului wp-admin

Dosarul wp-admin este unul dintre cele mai critice directoare din orice instalare WordPress. Deci, firește, fiecare hacker vrea să intre în asta. Profesioniștii în securitate au crezut inițial că protejarea cu parolă a directorului ar fi o idee bună, dar de atunci ne-am dat seama că nu este o practică bună.

Protejarea cu parolă a directorului tău wp-admin întrerupe funcționalitatea AJAX de pe site-ul tău WordPress și provoacă funcționarea defectuoasă a multor pluginuri. Dacă rulați un site web WooCommerce, codul AJAX rupt vă poate distruge funcționalitatea de căutare și alte elemente critice UX.

De ce ar trebui să vă protejați site-ul de hackeri?

Acest articol conține deja o mulțime de informații despre cum să vă protejați site-ul împotriva hackerilor și poate că am menționat deja acest lucru de câteva ori, dar merită repetat. Site-ul dvs. este valoros.

Când spunem că este valoroasă, nu vorbim doar despre tine și vizitatorii tăi. Poate aveți un mic magazin online sau un blog de hobby pe care un grup mic de oameni îl vizitează în mod regulat. Înțelegerea este că, chiar dacă câștigul monetar direct din piratarea site-ului dvs. nu este mare, beneficiile de a avea un site curat pentru a sparge mărfuri ilegale sau de pe piața gri face ca hackul să merite în continuare pentru hacker.

Deci, un site web mic nu este protecție împotriva intențiilor nefaste.

În al doilea rând, ne revine tuturor să protejăm datele și identitățile utilizatorilor noștri. Aceștia acordă o anumită încredere într-un site vizitându-l deloc și ar trebui să fim atenți și atenți la ei în timp ce luăm în considerare securitatea site-ului.

Concluzie

Puteți opri un hacker fiind vigilent și luând o abordare proactivă a securității. Este important să realizați că protejarea site-ului dvs. de hackeri și atacuri rău intenționate este un proces continuu. Există pași pe care îi puteți face o dată, dar mai ales trebuie să fiți conștienți de schimbările din peisajul amenințărilor.

În plus, nu există un articol unic și definitiv care să vă ajute să opriți toate atacurile posibile împotriva site-ului dvs. Orice articol sau site web sau expert care pretinde că face acest lucru nu este adevărat.

Așadar, deși nu putem promite cu adevărat că acest articol vă va menține site-ul în siguranță și securizat pentru totdeauna, v-am oferit câteva sfaturi generale de securitate care vor face site-ul dvs. destul de dificil de piratat. Folosind sfaturile din acest articol, veți putea remedia mai multe defecte în securitatea site-ului dvs.

Întrebări frecvente