Aby skutecznie zabezpieczyć WordPress przed włamaniem, warto stosować kilka niezależnych warstw ochrony: regularne aktualizacje, silne logowanie, ograniczenie liczby wtyczek, kopie zapasowe, wtyczkę bezpieczeństwa, nagłówki bezpieczeństwa oraz zabezpieczenia działające przed samym WordPressem, takie jak Cloudflare, WAF hostingu czy ModSecurity. Nie istnieje jedna wtyczka lub ustawienie, które zapewnia pełne bezpieczeństwo.
Ważne jest również, aby nie traktować każdego zablokowanego żądania jako próby włamania. Część nietypowego ruchu pochodzi od zwykłych botów, skanerów i automatycznych usług. Dobrze skonfigurowane zabezpieczenia powinny ograniczać realne ryzyko, ale jednocześnie nie blokować klientów, robotów wyszukiwarek ani prawidłowych funkcji strony.
Dlaczego WordPress wymaga kilku warstw zabezpieczeń?
WordPress składa się z wielu elementów. Oprócz samego systemu CMS są to motyw, wtyczki, serwer, PHP, baza danych, konta administratorów oraz często zewnętrzne usługi.
Atakujący nie musi więc „zhakować WordPressa” jako takiego. Może wykorzystać podatność w nieaktualnej wtyczce, przejęte hasło administratora albo błąd konfiguracji serwera.
Dlatego dobre zabezpieczenie WordPressa przypomina system kilku drzwi. Jeżeli jedna warstwa zawiedzie, kolejne nadal mogą utrudnić przejęcie witryny.
Szczególnej ochrony wymagają podstrony i mechanizmy przyjmujące dane lub wykonujące bardziej złożone operacje, między innymi:
/wp-login.phpi panel/wp-admin/,- formularze kontaktowe i rejestracyjne,
- wyszukiwarka,
- konto klienta w WooCommerce,
- koszyk i finalizacja zamówienia,
- endpointy używane przez wtyczki i integracje.
Nie oznacza to, że każda z tych podstron jest niebezpieczna. Po prostu są częstszym miejscem interakcji użytkownika z aplikacją.
Zacznij od aktualizacji WordPressa, motywu i wtyczek
Jednym z najważniejszych elementów ochrony jest utrzymywanie oprogramowania w aktualnym stanie.
Dotyczy to WordPressa, aktywnego motywu i wszystkich używanych wtyczek. Warto również usuwać rozszerzenia, które nie są już potrzebne. Sam fakt, że wtyczka jest wyłączona, nie oznacza, że warto bezterminowo przechowywać jej pliki na serwerze.
Aktualizacje należy jednak wdrażać rozsądnie. Na większej stronie lub sklepie dobrze jest najpierw przetestować je na stagingu, a przed zmianami wykonać kopię zapasową.
Nie chodzi więc o wybór pomiędzy bezpieczeństwem a stabilnością. Dobry proces powinien uwzględniać jedno i drugie.
Zabezpiecz konta administratorów i stronę logowania
Silne zabezpieczenia serwera niewiele pomogą, jeśli administrator korzysta ze słabego lub powtarzanego hasła.
Każda osoba posiadająca konto powinna używać unikalnego hasła, najlepiej przechowywanego w menedżerze haseł. Warto również wdrożyć uwierzytelnianie dwuskładnikowe dla kont o wysokich uprawnieniach.
Ogranicz liczbę administratorów do osób, które rzeczywiście potrzebują takich uprawnień. Redaktor publikujący artykuły nie zawsze musi mieć możliwość instalowania wtyczek czy zmieniania konfiguracji serwisu.
Dobrą praktyką jest także ograniczanie automatycznych prób logowania. Nie chodzi jednak o blokowanie użytkownika po jednym błędnie wpisanym haśle. Zbyt agresywne reguły mogą utrudnić korzystanie z witryny prawdziwym administratorom.
AIOS – wtyczka zabezpieczająca WordPress
Jednym z narzędzi, które można wykorzystać do zwiększenia bezpieczeństwa, jest All-In-One Security, znane również jako AIOS.
Wtyczka oferuje zestaw funkcji związanych z ochroną WordPressa, dzięki czemu część zabezpieczeń można skonfigurować z poziomu panelu administracyjnego.
AIOS może być przydatne między innymi do wzmacniania ochrony logowania, monitorowania wybranych zdarzeń i wdrażania dodatkowych reguł bezpieczeństwa.
Nie należy jednak aktywować wszystkich dostępnych opcji tylko dlatego, że brzmią bezpiecznie.
Jak rozsądnie skonfigurować AIOS?
Najlepiej wprowadzać zabezpieczenia etapami. Włącz jedną grupę funkcji, przetestuj stronę i dopiero później przejdź dalej.
Jest to szczególnie ważne w WooCommerce oraz serwisach posiadających niestandardowe logowanie, API, formularze i integracje.
Po każdej większej zmianie sprawdź przynajmniej:
- logowanie administratora,
- formularze,
- wyszukiwarkę,
- rejestrację użytkowników,
- koszyk i checkout,
- integracje z zewnętrznymi systemami.
Jeżeli po włączeniu reguły jakaś podstrona przestaje działać, niekoniecznie oznacza to błąd WordPressa lub atak. Zabezpieczenie mogło po prostu zablokować prawidłowe żądanie.
Nagłówki bezpieczeństwa – dodatkowa ochrona przeglądarki
Nagłówki HTTP związane z bezpieczeństwem pozwalają przekazać przeglądarce określone zasady dotyczące obsługi witryny.
W zależności od konfiguracji strony warto rozważyć między innymi nagłówki związane z wymuszaniem HTTPS, polityką bezpieczeństwa treści, kontrolą osadzania strony w innych witrynach oraz ograniczeniem dostępu do wybranych funkcji przeglądarki.
Szczególnie interesujący jest Content-Security-Policy, czyli CSP. Pozwala określić, z jakich źródeł witryna może ładować określone rodzaje zasobów.
Nie należy jednak kopiować gotowej, bardzo restrykcyjnej polityki CSP z przypadkowego poradnika. WordPress może korzystać ze skryptów analitycznych, płatności, map, czatów, filmów i wielu innych zewnętrznych zasobów. Źle przygotowana polityka może je zablokować.
Najpierw trzeba ustalić, z czego rzeczywiście korzysta witryna, a następnie dopasować reguły.
Cloudflare jako warstwa przed WordPressem
Cloudflare może działać pomiędzy użytkownikiem a serwerem, na którym znajduje się WordPress. Dzięki temu część ruchu można analizować i filtrować, zanim dotrze do hostingu.
To ważna różnica w stosunku do zabezpieczenia działającego wyłącznie jako wtyczka WordPressa. Jeśli niepożądane żądanie zostanie zatrzymane wcześniej, WordPress nie musi go obsługiwać.
W zależności od używanej usługi i konfiguracji Cloudflare można wykorzystać między innymi do ochrony ruchu, ograniczania wybranych typów żądań i stosowania reguł bezpieczeństwa.
Trzeba jednak uważać z ręcznymi blokadami. Zbyt szeroka reguła może odciąć prawidłowych użytkowników lub zakłócić działanie integracji.
Cloudflare nie zastępuje też aktualizacji WordPressa. Jeśli witryna posiada podatną wtyczkę, problem nadal powinien zostać usunięty u źródła.
WAF – czym jest Web Application Firewall?
WAF, czyli Web Application Firewall, analizuje ruch kierowany do aplikacji internetowej i może blokować żądania spełniające określone kryteria.
W przypadku WordPressa firewall aplikacyjny może stanowić dodatkową warstwę ochrony przed częścią automatycznych ataków i podejrzanych żądań.
WAF może działać w różnych miejscach. Może być oferowany przez zewnętrzną usługę taką jak Cloudflare, przez dostawcę hostingu albo w innej warstwie infrastruktury.
Warto sprawdzić, czy hosting już zapewnia taki mechanizm. Czasami użytkownik instaluje kolejne narzędzia, nie wiedząc, że część ochrony jest aktywna na poziomie serwera.
WAF hostingu – dlaczego warto go sprawdzić?
Zaletą firewalla oferowanego przez hosting jest możliwość filtrowania ruchu poza samym WordPressem.
Jeżeli hosting udostępnia panel zabezpieczeń, sprawdź, jakie mechanizmy są aktywne oraz czy istnieje możliwość podejrzenia blokowanych zdarzeń.
Jest to przydatne również podczas diagnozowania problemów.
Załóżmy, że po zmianie konfiguracji przestaje działać formularz lub zapis określonego ustawienia w panelu. Nie musi to oznaczać błędu formularza. Żądanie mogło zostać zablokowane przez regułę bezpieczeństwa na serwerze.
Zamiast od razu wyłączać cały WAF, warto znaleźć konkretną regułę odpowiedzialną za blokadę i ocenić, czy można bezpiecznie dostosować konfigurację.
ModSecurity a bezpieczeństwo WordPressa
ModSecurity to rozwiązanie pozwalające stosować reguły WAF na serwerze WWW. W praktyce użytkownicy hostingu mogą spotkać się z nim jako z jednym z mechanizmów ochrony udostępnianych przez dostawcę.
ModSecurity analizuje żądania i na podstawie aktywnych reguł może blokować te uznane za niepożądane.
Dla właściciela WordPressa ważne jest jednak zrozumienie zjawiska false positive, czyli fałszywego alarmu.
Prawidłowe żądanie może czasami przypominać wzorzec, przed którym reguła ma chronić. Efektem może być na przykład brak możliwości zapisania konkretnej treści, wysłania formularza lub wykonania operacji w panelu.
W takiej sytuacji rozwiązaniem nie powinno być stałe wyłączenie ModSecurity dla całej domeny. Lepiej zidentyfikować problematyczną regułę i skonsultować jej konfigurację z administratorem hostingu.
Kopie zapasowe też są elementem bezpieczeństwa
Backup nie zatrzyma włamania, ale może zdecydować o tym, jak szybko odzyskasz stronę po incydencie.
Kopia powinna obejmować zarówno pliki, jak i bazę danych. Ważne jest również miejsce jej przechowywania. Jeśli jedyna kopia znajduje się na tym samym koncie hostingowym co strona, poważny incydent może objąć oba elementy.
Dobrze jest przechowywać przynajmniej część kopii niezależnie od głównego serwera i okresowo sprawdzać, czy backup rzeczywiście można odtworzyć.
W sklepie internetowym częstotliwość tworzenia kopii powinna uwzględniać tempo powstawania nowych danych, takich jak zamówienia i konta klientów.
Ogranicz powierzchnię ataku WordPressa
Im więcej niepotrzebnych elementów działa w witrynie, tym trudniej ją utrzymywać.
Usuń nieużywane wtyczki i motywy, zrezygnuj z niepotrzebnych kont oraz ogranicz uprawnienia użytkowników do niezbędnego minimum. Instaluj rozszerzenia ze źródeł, którym ufasz.
Nie dodawaj również fragmentów PHP znalezionych w internecie, jeśli nie rozumiesz ich działania. Krótki kod wklejony do functions.php ma dostęp do środowiska WordPressa i może powodować zarówno problemy bezpieczeństwa, jak i zwykłe awarie.
Monitoruj stronę zamiast czekać na włamanie
Bezpieczeństwo WordPressa nie kończy się po jednorazowej konfiguracji.
Warto monitorować dostępność strony, aktualizacje, konta administratorów, nietypowe zmiany i zdarzenia rejestrowane przez używane zabezpieczenia.
Nie reaguj jednak panicznie na każdy zapis w logu. Publicznie dostępne witryny są regularnie odwiedzane przez różnego rodzaju automaty. Fakt, że firewall zablokował podejrzane żądanie, nie oznacza automatycznie, że ktoś uzyskał dostęp do serwisu.
Znacznie ważniejsze są nieautoryzowane zmiany, nowe konta, modyfikacje plików i inne dowody świadczące o skutecznym naruszeniu zabezpieczeń.
Jak połączyć AIOS, Cloudflare, WAF i ModSecurity?
Najlepiej myśleć o nich jako o różnych warstwach, a nie konkurencyjnych rozwiązaniach.
Cloudflare może filtrować część ruchu przed dotarciem do serwera. WAF hostingu i ModSecurity mogą analizować żądania na poziomie infrastruktury. AIOS może zapewniać mechanizmy ochronne bezpośrednio związane z WordPressem. Nagłówki bezpieczeństwa pomagają z kolei określić zasady działania po stronie przeglądarki.
Do tego dochodzą aktualizacje, silne logowanie, backupy i monitoring.
Nie oznacza to, że trzeba aktywować maksymalną liczbę reguł we wszystkich warstwach. Nakładanie bardzo agresywnych zabezpieczeń może prowadzić do problemów z logowaniem, API, formularzami, płatnościami i innymi funkcjami.
Najlepsza konfiguracja to taka, która jest wielowarstwowa, ale kontrolowana i regularnie testowana. Dzięki temu zabezpieczenie WordPressa przed włamaniem nie opiera się na jednym mechanizmie. Nawet jeśli jedna warstwa okaże się niewystarczająca, kolejne nadal mogą ograniczyć ryzyko i ułatwić wykrycie problemu.