Τα πιο συχνά κενά ασφαλείας που συναντάμε σε WordPress sites

Τα 7 πιο συχνά κενά ασφαλείας που συναντάμε…

Όταν αναλαμβάνουμε να φτιάξουμε ή να διορθώσουμε μια ιστοσελίδα, ένα από τα πρώτα πράγματα που κοιτάμε να αξιολογήσουμε (και να διορθώσουμε) είναι η ασφάλεια. Και δυστυχώς τις περισσότερες φορές συναντάμε ακριβώς τα ίδια λάθη και παραλήψεις να επαναλαμβάνονται. Στην πλειοψηφία των περιπτώσεων το site έχει στηθεί βιαστικά ή από κάποιον που απλά ήθελε να το παραδώσει και να τελειώνει… Το θέμα είναι ότι αυτές οι “παραλήψεις” και τα λάθη κατά την ανάπτυξη, όσο μικρά και αν φαίνονται, κάποια στιγμή θα δημιουργήσουν πρόβλημα. Ας δούμε λοιπόν ποια είναι τα πιο συχνά θέματα που συναντάμε στην καθημερινότητα μας.

Το πρώτο -και ίσως το πιο κλασικό- είναι ο κωδικός admin. Θα εκπλαγείτε από το πόσες φορές βρίσκουμε ακόμα sites που έχουν username “admin” και έναν κωδικό του τύπου 123456 ή το όνομα της επιχείρησης… Αυτό είναι σαν να αφήνεις μια πόρτα ανοιχτή, με το κλειδί απάνω και να φεύγεις. Εμείς φροντίζουμε ώστε να αλλάξει το username, βάζουμε έναν δυνατό κωδικό και όπου γίνεται ενεργοποιούμε και two factor authentication (2FA), που προσθέτει ένα δεύτερο επίπεδο προστασίας.

Το δεύτερο που βλέπουμε συχνά είναι τα πρόσθετα και τα θέματα που δεν ενημερώνονται ποτέ…Κάποιος έφτιαξε το site πριν ένα, δύο, τρία χρόνια, και από τότε κανείς δεν έκανε update! Τα παλιά πρόσθετα όμως είναι μία από τις σημαντικότερες “πόρτες” εισόδου για κακόβουλους χρήστες. Οι εταιρίες που τα φτιάχνουν βγάζουν ενημερώσεις ακριβώς για να κλείνουν τρύπες και κενά ασφαλείας, οπότε όταν δεν ενημερώνεις πρακτικά μένεις εκτεθειμένος. Γι’ αυτό και στα sites που διαχειριζόμαστε κάνουμε τακτικό/σχολαστικό έλεγχο και όλες τις προβλεπόμενες ενημερώσεις (αφού έχουμε προβεί σε ελέγχους συμβατότητας πρώτα).

Τρίτον, τα πρόσθετα που δεν χρειάζονται και μένουν ανενεργά μεν, εγκατεστημένα δε. Κάποιοι νομίζουν ότι αν απλά απενεργοποιήσουν ένα plugin, είναι μια ok… Δεν είναι όμως έτσι ακριβώς τα πράγματα. Ακόμα και απενεργοποιημένο, ο κώδικας του παραμένει μέσα στο site και μπορεί να αποτελέσει εν δυνάμει κίνδυνο. Εμείς ό,τι δεν χρησιμοποιείται προφανώς το σβήνουμε τελείως, γιατί ούτως ή άλλως, όσο πιο “καθαρό” είναι το site, τόσο λιγότερα σημεία έχει κάποιος να χτυπήσει…

Το τέταρτο σημείο έχει να κάνει με τα backup, ή μάλλον με την έλλειψη τους. Εδώ είναι που πραγματικά μας λούζει κρύος ιδρώτας μερικές φορές όταν για παράδειγμα βρίσκουμε επιχειρήσεις που έχουν ένα ολόκληρο eshop, με προϊόντα, παραγγελίες, πελάτες και δεν υπάρχει ούτε ένα αντίγραφο ασφαλείας πουθενά! Αν κάτι πάει στραβά σε τέτοιες περιπτώσεις πολύ απλά χάνονται όλα! Έτσι λοιπόν, ένα σωστό σύστημα backup που τρέχει αυτόματα και αποθηκεύει τα αντίγραφα είναι από τα πρώτα πράγματα που στήνουμε-πριν καν ξεκινήσουμε ένα έργο.

Το πέμπτο αφορά το SSL και τη σύνδεση που δεν είναι ασφαλής. Στις μέρες μας δεν υπάρχει καμία δικαιολογία ένα site να μην τρέχει σε https… Εκτός από το θέμα ασφαλείας παίζει ρόλο και στο SEO αλλά και στην εμπιστοσύνη του επισκέπτη, γιατί κανείς δεν θέλει να δει το “μη ασφαλές” δίπλα στη διεύθυνση. Είναι κάτι απλό που διορθώνεται, σχετικά εύκολα, κι όμως το βρίσκουμε ακόμα παραμελημένο σε αρκετά sites.

Έκτο, η έλλειψη προστασίας απέναντι σε επιθέσεις τύπου brute force. Προστασία δηλαδή από προγράμματα που δοκιμάζουν χιλιάδες συνδυασμούς κωδικών μέχρι να βρουν τον σωστό. Αν δεν υπάρχει κάποιος περιορισμός στις προσπάθειες σύνδεσης, το site είναι ευάλωτο. Εμείς βάζουμε όρια στις αποτυχημένες προσπάθειες και -όπου χρειάζεται- ένα firewall που μπλοκάρει ύποπτη κίνηση πριν καν φτάσει στο site.

Και το έβδομο, που ίσως είναι και το πιο υποτιμημένο, είναι η φιλοξενία. Έχουμε γράψει και παλιότερα για το πως η φθηνή φιλοξενία τελικά κοστίζει πιο ακριβά, και η ασφάλεια είναι ένας μεγάλος λόγος. Σε οικονομικούς, υπερφορτωμένους servers όπου στοιβάζονται εκατοντάδες sites μαζί, αν μολυνθεί το ένα μπορεί να επηρεαστούν και τα υπόλοιπα… Μια καλή φιλοξενία με σωστές ρυθμίσεις ασφαλείας κάνει τεράστια διαφορά και είναι επένδυση που, συχνά υποτιμάται, αλλά πραγματικά αξίζει.

Το συμπέρασμα από όλα τα παραπάνω είναι ξεκάθαρο. Η ασφάλεια ενός site δεν είναι κάτι που το “στήνεις” μια φορά και το ξεχνάς… Είναι μια διαδικασία που θέλει συνέπεια και τακτική παρακολούθηση.