Zacznij od aktualnego oprogramowania, ograniczenia uprawnień, unikalnych haseł i niezależnej kopii. Wtyczka bezpieczeństwa nie zastępuje tych podstaw ani sprawdzenia stanu aplikacji.
Oddziel odpowiedzialność za serwer od odpowiedzialności za stronę
Operator utrzymuje środowisko w zakresie swojej oferty, a właściciel odpowiada za dobór i aktualizację motywów, wtyczek oraz kont aplikacji. Zapora serwera nie usunie wszystkich podatności dodatku. Z drugiej strony sprawna aplikacja nadal potrzebuje dobrze utrzymanej infrastruktury.
Spisz wszystkie elementy strony wraz z wersjami i miejscem pochodzenia. Usuń dodatki, których nie używasz, po sprawdzeniu zależności. Nie przechowuj w publicznym katalogu starych kopii typu wordpress-old: mogą udostępniać dodatkową, nieaktualizowaną instalację.
Aktualizuj z możliwością wycofania zmiany
Przed większą aktualizacją wykonaj backup i test odtworzenia. Na kopii sprawdź zgodność motywu i kluczowych rozszerzeń. Po aktualizacji przetestuj formularze i, jeśli dotyczy, zakup. Plan testów powinien obejmować to, co daje stronie wartość biznesową.
Nie pobieraj „darmowych” paczek płatnych wtyczek z przypadkowych serwisów. Nieznane źródło to ryzyko ukrytego kodu i braku aktualizacji. Wybieraj oficjalne repozytoria lub dostawcę rozszerzenia. Utrzymuj również komputer, z którego logujesz się do panelu.
Dostęp tylko dla potrzebnych osób
Każdy użytkownik powinien mieć własne konto oraz najmniejszą potrzebną rolę. Osoba publikująca wpisy nie musi być administratorem. Usuń dostęp byłych wykonawców i sprawdź, czy konta administratorów są rozpoznane. Nie dziel jednego loginu pomiędzy cały zespół.
Włącz 2FA przez rozwiązanie zgodne ze stroną i zapisz kody odzyskiwania w bezpiecznym miejscu. Sprawdź procedurę powrotu do konta, zanim wylogujesz wszystkie sesje. Tak samo zabezpiecz panel hostingu, pocztę i konto rejestratora domeny.
Pliki i konfiguracja
Nie ustawiaj 777 jako uniwersalnej naprawy. Dopuszczaj zapis tam, gdzie aplikacja rzeczywiście go potrzebuje, zgodnie z konfiguracją operatora. Dane połączenia z bazą i klucze nie mogą trafiać do repozytorium ani publicznego archiwum. Możesz rozważyć wyłączenie edytora plików w panelu, lecz wdrożenie dostosuj do sposobu utrzymania strony.
Przejrzyj stare archiwa ZIP, logi i pliki diagnostyczne. Sprawdź, czy nie są dostępne po HTTP. Zabezpieczenie logowania nie pomaga, jeśli backup z hasłami leży obok strony i da się go pobrać.
Monitoring i reakcja
Ustal, kto odbiera komunikaty o aktualizacjach i awarii. Obserwuj nowe konta, nieoczekiwane zmiany plików i błędy. Nie każdy nietypowy wpis w access logu oznacza włamanie; Internet jest pełen automatycznych skanów. Przy podejrzeniu kompromitacji przejdź do planu reakcji, zamiast ograniczać się do instalacji kolejnego skanera.
Przed wyborem hostingu WordPress Castpol zapytaj o zakres ochrony i odtwarzania kopii. Uzgodnij go ze swoim planem utrzymania aplikacji. Bezpieczeństwo wymaga kilku uzupełniających się działań, a nie jednej obietnicy w opisie pakietu.
Źródła i dokumentacja
Dokumentacja do dalszej weryfikacji ustawień i wymagań swojej wersji.