WordPressi veebilehe tervisekontroll ja turvaaudit

Enamik WordPressi lehti kasvab aastatega: pluginaid lisandub, arendajaid vahetub, keegi ei tea enam, kes millisele kasutajale ligi pääseb ja kas varukoopia üldse töötab. Tervisekontroll annab sellest pildist ülevaate ühe korraga, enne kui probleem muutub rikkeks, häkkimiseks või kaotatud tellimusteks.

Tulemuseks on kirjalik raport, kus iga leid on kirjeldatud lihtsas keeles, märgitud tõsidusega (kriitiline, oluline, soovituslik) ja seotud konkreetse parandusega. Sa otsustad ise, mida paneme paika meie, mida sinu praegune arendaja ja mida jätad hetkel tegemata.

Mida töö sisaldab

• Kasutajad ja õigused. Vaatame üle administraatorid, unustatud kontod, endiste töötajate ja arendajate ligipääsud ning kasutajanimed, mida on lihtne ära arvata.
• Failiõigused ja konfiguratsioon. Kontrollime kausta- ja failiõigusi, wp-config.php kaitset, avalikult nähtavaid logi- ja varufaile ning failide muutmise lubamist adminpaneelist.
• Pluginad ja teemad. Leiame vananenud, hüljatud ja teadaoleva haavatavusega pluginad, kasutamata teemad ning nullitud („nulled“) või kahtlase päritoluga koodi.
• Sisselogimise kaitse. Hindame, kui hästi on wp-login.php ja XML-RPC kaitstud automaatsete paroolipakkumiste vastu ning kas kahefaktoriline autentimine on kasutusel.
• Varukoopiad ja taastamise test. Kontrollime, kas varukoopia tehakse, kus see asub ja kui vana see on, ning proovime selle testkeskkonnas päriselt taastada. Varukoopia, mida pole kunagi taastatud, on oletus.
• PHP, andmebaas ja server. Võrdleme PHP, MySQL/MariaDB ja veebiserveri versioone toetatud versioonidega ning vaatame mälu- ja ajalimiite.
• Vigade logid ja konfliktid. Loeme läbi PHP ja serveri vealogid, otsime plugina- ja teemakonflikte ning aeglasi või vigaseid päringuid.
• Monitooring ja SSL. Kontrollime sertifikaadi kehtivust ja seadistust, ümbersuunamisi ning seda, kas keegi saab teada, kui leht maha kukub.
• E-posti kohaletoimetamine. Vaatame SPF-, DKIM- ja DMARC-kirjeid ning seda, kas lehe saadetud kirjad (tellimused, vormid, paroolitaastus) jõuavad päriselt postkasti.

Tüüpilised leiud

Enamasti selguvad samad asjad: administraatoriõigustega konto inimeselt, kes firmas enam ei tööta; plugin, mida pole aastaid uuendatud ja mille haavatavus on avalikult teada; varukoopia, mis salvestub samale serverile, kus leht ise asub; PHP versioon, mis on jäänud ametlikust toest välja; ning vormikirjad, mis satuvad rämpsposti, sest DMARC-kirjet pole. Need on kõik parandatavad, kuid ainult siis, kui keegi neist teab.

Mida me sinult vajame

• Administraatori ligipääs WordPressi, soovitavalt eraldi kontoga, mille hiljem kustutad.
• Hosti või serveri ligipääs (FTP/SFTP, SSH või hostingu paneel) ning domeeni DNS-i vaatamisõigus.
• Info varem tehtud töödest: kes lehte haldab, kas on testkeskkond ja kas on erinõudeid (näiteks e-pood või maksed).

Mis jääb tööst välja

• Leitud probleemide parandamine. See on soovi korral eraldi töö, mille hinnangu anname raporti põhjal. Uuenduste ja PHP versiooni vahetuse kohta vaata WordPressi uuendamist ja PHP versiooni uuendamist.
• Juba toimunud häkkimise puhastus. Selleks on eraldi töö: WordPressi viirustest puhastamine.
• Juriidiline nõustamine ja ametlik vastavusaudit. Raport on tehniline ülevaade, mitte õiguslik hinnang.
• Sissetungimistest ehk penetratsioonitest väliste süsteemide vastu.

Kellele see sobib

Sobib lehtedele, mida keegi pole pikemat aega süstemaatiliselt üle vaadanud: päritud lehed, uue arendaja või hosti vahetuse eel, e-poed, kus katkestus maksab raha, ja lehed, mis on juba korra vigadega hätta jäänud. Kui soovid, et keegi seda kõike regulaarselt jälgiks ja parandaks, siis audit on loomulik samm kodulehe hoolduse kuutellimuse poole. Kui sul on juba konkreetne PHP tõrge, alusta pigem lehest PHP vigade parandamine.