Що робити, є ваш WordPress-сайт зламали хакери

Що ви відчуваєте, коли раптом вам приходити листа про те, що ваш сайт зламали і тепер вимагають якусь суму грошей, щоб повернути все на свої місця? Набагато гірше, якщо ви про це не знаєте, а відкривши сайт ранком, бачите, що якась сирійська кібер-армія замість головної сторінки вивісила свої політичні гасла чи дивні банери на вашому сайті.

Щоб уникнути подібних неприємностей та додаткових витрат, раджу вам прочитати цю статтю. У пості буде кілька груп порад для користувачів з різним рівнем підготовки та різними навичками для адміністрування власних сайтів на движку Wordpress.

Дивіться також:

• 10 популярних плагінів для безпеки WordPress
• Як «поламати» встановлений WordPress і відремонтувати його назад
• Як знайти та видалити шкідливий код зі зламаного WordPress сайту
• Загрози безпеки WordPress, на які варто звернути увагу
• Як знайти зламані хакерами файли WordPress та захистити сайт від атаки

Загальні вразливості

Для середньостатистичного користувача WordPress є ряд загальних уразливостей, які насправді не пов'язані з роботою самого двигуна WordPress.

Проблеми можуть бути:

1. у вашій локальній мережі або у вашому комп'ютері
2. у роботі вашого хостинг-провайдера

Робота особистого ПК чи локальної мережі: у цьому випадку потрібно очистити локальний ноутбук, ПК або мережу від помилок, вірусів та інших проблем. Встановлюйте регулярно свіжі антивіруси, видаляйте шкідливе програмне забезпечення і правильно налаштуйте ваш роутер. Якщо ви не зовсім впевнені в тому, що вам вистачить навичок для боротьби з вірусами та шкідливим програмним забезпеченням у вашій локальній мережі, не поскупитеся на хороший мережевий брандмауер.

Робота хостинг-провайдера: перевірте, чи правильно працює ваш провайдер хостингових послуг. Злом може стосуватися не тільки вашого, але й багатьох інших сайтів, розміщених на серверах вашого провайдера. Якщо так сталося, робота всіх сайтів може бути порушена. Можливо, варто видалити якийсь плагін або вимкнути певні параметри на сервері. У крайньому випадку оперативно змініть хостинг-провайдера.

У крайньому (і неприємному) випадку вам доведеться встановлювати заново сайт. Ось для чого треба регулярно робити резервні копії та зберігати файли бази даних сайту та ключових його налаштувань. У разі неприємностей сайт із резервної копії можна буде розгорнути на новому хостингу.

Уразливості у безпеці WordPress

є безліч способів атакувати WordPress, але наступні 4 пункти є найбільш типовими способами для злому сайтів:

1. Слабкі пароль та логін
2. Уразливості у темах оформлення та плагінах
3. Застаріле ядро ​​та версія WordPress
4. Робота хакера виключно за WordPress-сайтами

Слабкі пароль та логін: ви напевно помітили, що вбудований механізм захисту сайтів підказує вам, коли вибраний вами логін та пароль недостатньо сильні, щоб захистити ваш сайт. В ідеалі ваш пароль повинен містити цифри, літери та різний регістр для літер, щоб максимально захистити ваш веб-ресурс від злому. Якщо ви не можете запам'ятати занадто складний пароль, краще запишіть його будь-де. Запам'ятайте просту істину: чим коротший і простіший пароль, тим швидше він зламується простим перебором.

Вразливості тем та плагінів: навіть у популярних платних плагінів бувають вразливі Саме тому просто почитайте відгуки про плагіни, які збираєтеся використовувати, перш ніж будь-що встановлювати. Уникайте плагінів та тих, які не розміщені в офіційній бібліотеці WordPress.org. Орієнтуйтесь на рейтинги та відгуки інших користувачів, щоб не встановити собі шкідливе або фальшиве програмне забезпечення.

Застаріла версія WordPress: якщо регулярно та вчасно не оновлювати сайти, то можна зіткнутися з численними проблемами. З виходом нового релізу WordPress найкраще негайно оновити всі свої сайти з однієї простої причини: з виходом нової версії публікується список знайдених та виправлених помилок у попередніх версіях, що стає зброєю в руках хакерів для злому старих версій WordPress.

Умілі WordPress-хакери: пам'ятайте, що такі хакери завжди можуть знайти вразливість, а тому регулярно все оновлюйте та дотримуйтесь рекомендацій, які прочитайте нижче.

Що робити, якщо сайт таки зламали

У випадку, якщо сайт зламаний, зробіть таке:

1. Залишайтеся спокійні: злом уже стався, тож треба тепер взяти себе в руки та знайти шлях для вирішення проблеми.
2. Для початку перевірте локальний ПК або ноутбук на предмет вірусів або шкідливих даних, оновіть всі програми та антивірусну базу.
3. Увійдіть до свого облікового запису на хостингу і перевірте, що там відбувається. Якщо вас зламали, напевно в панелі адміністратора на хостингу буде повідомлення про спробу несанкціонованого доступу до вашого облікового запису.
4. Змініть усі паролі для FTP/SFTP/MySQL та для всіх користувачів, які мають доступ до вашого сайту.
5. Відтворюйте сайт із резервної копії. Для резервного копіювання та відновлення можна використовувати BackWPup.
6. Закрийте будь-які вразливості, які можуть стати в нагоді хакерам, і захистіть файл WP-config.php.
7. Оновіть все.
8. Подумайте про те, що варто перейти на преміум-хостинг класом вище або скористайтесь Sucuri або ManageWP, якщо все одно використовуватимете shared-хостинг і далі.
9. У майбутньому дотримуйтесь усіх рекомендацій цієї статті.

Кращі поради щодо безпеки WordPress

На майбутнє постарайтеся уникати можливих атак хакерів і спроб злому. Це не так вже й складно, просто не забувайте такі правила:

1. Регулярно оновлюйте ядро ​​движка, всі теми та плагіни на сайті.
2. Постійно робіть резервні копії всього на сайті - від ядра до плагінів, тим і всього контенту. Є маса плагінів для цих цілей: VaultPress, BackupBuddy, BackWPup, BlogVault.
3. Ніколи не користуйтесь паролем та логіном, які встановлюються на сайті за умовчанням.
4. Вибирайте пароль, який важко підібрати або вгадати, використовуйте літери та цифри, різні символи. Випадковий розкид символів захистить вас краще ніж пароль, який легко підібрати.
5. Захист файл wp-config.php.
6. Приховайте своє ім'я користувача.
7. Сховайте на сайті поточну версію WordPress.
8. Обмежте кількість спроб авторизації користувача.
9. Вимкніть редагування файлів з панелі керування, додавши рядок у файлі wp-config.php: define('DISALLOW_FILE_EDIT', true);
10. Встановіть Монітор файлів WordPress для отримання повідомлень від вашого сайту щоразу, коли відбувається редагування файлів на вашому сайті.
11. Завжди використовуйте SFTP для з'єднання через FTP-клієнт.
12. Використовуйте платні плагіни для захисту сайту.
13. Також не забудьте про самостійні підручні засоби захисту, для знайомства з якими прочитайте цей посібник з WordPress.

І ще пару порад

Наймані професіоналів для роботи з налаштування та оформлення вашого сайту. Не довіряйте випадковим розробникам. Не використовуйте сумнівний хостинг чи безкоштовні рішення, про які нічого не знаєте. Найміть людину, яка відповідатиме за безпеку вашого сайту.

Платні сервіси значною мірою знижують ризик того, що сайт буде зламаний, домен — викрадений, а вашому проекту буде завдано шкоди.

Джерело: elegantthemes.com

Олексій Шевченко

редактор wpcafe

Вивчає сайтобудування з 2008 року. Практикуючий вебмайстер, що спеціалізується на створенні сайтів WordPress. Задати питання Олексію можна на https://profiles.wordpress.org/wpthemeus/