Аудит безопасности и проверка состояния сайта на WordPress

Большинство сайтов на WordPress со временем обрастают плагинами, разработчики меняются, и никто уже не знает наверняка, у кого какой доступ и работает ли резервная копия. Проверка состояния даёт цельную картину сразу, пока проблема не превратилась в сбой, взлом или потерянные заказы.

Результат — письменный отчёт. Каждая находка описана понятным языком, оценена по степени важности (критично, важно, рекомендуется) и связана с конкретным исправлением. Вы сами решаете, что делаем мы, что делает Ваш нынешний разработчик, а что откладываете.

Что входит в работу

• Пользователи и права. Проверяем администраторов, забытые учётные записи, доступы бывших сотрудников и подрядчиков, а также легко угадываемые имена пользователей.
• Права на файлы и конфигурация. Смотрим права на папки и файлы, защиту wp-config.php, доступные извне лог- и бэкап-файлы, возможность редактировать файлы из админки.
• Плагины и темы. Находим устаревшие, заброшенные плагины и плагины с известными уязвимостями, неиспользуемые темы, «взломанные» (nulled) и подозрительные расширения.
• Защита входа. Оцениваем, насколько wp-login.php и XML-RPC защищены от автоматического подбора паролей и используется ли двухфакторная аутентификация.
• Резервные копии и тест восстановления. Проверяем, делаются ли копии, где хранятся и насколько свежие, и реально восстанавливаем одну из них в тестовой среде. Копия, которую ни разу не восстанавливали, — лишь предположение.
• PHP, база данных и сервер. Сверяем версии PHP, MySQL/MariaDB и веб-сервера с поддерживаемыми, смотрим лимиты памяти и времени.
• Журналы ошибок и конфликты. Читаем журналы ошибок PHP и сервера, ищем конфликты плагинов и темы, медленные и сбойные запросы.
• Мониторинг и SSL. Проверяем срок и настройку сертификата, редиректы и то, узнает ли кто-нибудь о недоступности сайта.
• Доставляемость почты. Смотрим записи SPF, DKIM и DMARC и то, доходят ли письма сайта (заказы, формы, сброс пароля) до почтового ящика.

Типичные находки

Как правило, обнаруживается одно и то же: учётная запись администратора человека, который давно не работает в компании; плагин, который годами не обновлялся и имеет публично известную уязвимость; резервная копия, лежащая на том же сервере, что и сам сайт; версия PHP, снятая с официальной поддержки; письма из форм, попадающие в спам из-за отсутствия записи DMARC. Всё это можно исправить, но только если кто-то об этом знает.

Что нам понадобится от Вас

• Доступ администратора WordPress, лучше отдельной учётной записью, которую Вы потом удалите.
• Доступ к хостингу или серверу (FTP/SFTP, SSH или панель хостинга) и право просмотра DNS домена.
• Сведения о прошлых работах: кто ведёт сайт, есть ли тестовая копия, есть ли особые требования, например интернет-магазин или платежи.

Что не входит в работу

• Исправление найденных проблем. Это отдельная работа, оценку которой мы даём по отчёту. Об обновлениях и смене версии PHP см. обновление WordPress и плагинов и обновление версии PHP.
• Очистка уже взломанного сайта. Это отдельная услуга: удаление вирусов с сайта WordPress.
• Юридические консультации и формальный аудит соответствия. Отчёт — технический обзор, а не юридическое заключение.
• Тестирование на проникновение во внешние системы.

Кому это подходит

Подходит сайтам, которые давно никто системно не проверял: унаследованным сайтам, перед сменой разработчика или хостинга, магазинам, где простой стоит денег, и сайтам, которые уже сталкивались со сбоями. Если Вы хотите, чтобы кто-то регулярно следил за сайтом и исправлял проблемы, аудит — естественный шаг к ежемесячной поддержке сайта. Если у Вас уже есть конкретная ошибка PHP, начните с исправления ошибок PHP.