WordPress sigurnost počinje ažuriranjem, ne dodatkom za zaštitu

Zaštitu WordPress stranice započnite provjerom ažuriranja jezgre, tema i dodataka te pripremom sigurnosne kopije prije promjena. Zatim ograničite pristup administratorskim računima. WordPressov vodič za učvršćivanje upozorava da se starije inačice jezgre ne održavaju sigurnosnim zakrpama i da je cilj sigurnosti smanjiti rizik, a ne potpuno ga ukloniti.

Sigurnosni dodatak može filtrirati promet ili pomoći u nadzoru, ali ne može umjesto vas ažurirati zanemarenu instalaciju, osigurati obnovljivu kopiju i odlučiti tko smije mijenjati stranicu. Za te poslove utvrdite što preuzima hosting, a što vlasnik ili osoba koja održava WordPress. Kad ažuriranje zapne, ta podjela određuje tko može ukloniti uzrok.

Prvih 30 minuta: ažuriranja i kopija prije promjena

U administraciji otvorite prikaz ažuriranja i provjerite jezgru, aktivnu temu i dodatke. Ako održavanje obavlja hosting ili vanjski suradnik, provjerite tko instalira nadogradnje prije nego što sami pokrenete postupak. Za ručnu instalaciju jezgre koristite izdanje s WordPress.org; dodatke i teme nabavljajte iz pouzdanih izvora.

Prije nadogradnje provjerite obuhvaća li kopija datoteke i bazu podataka. WordPressove upute za sigurnosne kopije objašnjavaju da preuzimanje direktorija stranice obično ne uključuje bazu te preporučuju njezinu kopiju prije nadogradnje. Datoteke uključuju teme, dodatke i preneseni sadržaj; baza čuva objave, komentare i druge podatke koje stranica koristi.

Utvrdite gdje je kopija pohranjena i možete li joj pristupiti bez prijave u WordPress. Ako kopije izrađuje hosting, pitajte obuhvaćaju li cijelu stranicu, koliko se čuvaju i tko pokreće obnovu. Nakon ažuriranja otvorite javnu stranicu i funkcije važne za poslovanje, poput obrasca ili košarice ako ih koristite. Uspješno završena instalacija sama po sebi ne pokazuje radi li i ostatak stranice očekivano.

Prvi dan: pristup administratorima

Pregledajte korisničke račune i ostavite administratorsku ulogu samo osobama koje moraju održavati instalaciju. Osobi koja objavljuje sadržaj dodijelite ulogu primjerenu tom poslu; ne treba joj automatski mogućnost instaliranja dodataka ili mijenjanja postavki. Uklonite pristup bivšim zaposlenicima i suradnicima, a za preostale račune koristite zasebne, snažne lozinke.

Za administratorske prijave uključite dodatnu potvrdu identiteta. WordPressove upute za prijavu u dva koraka opisuju prijavu koja uz lozinku traži potvrdu s telefona ili drugog uređaja. Prije uključivanja provjerite kako se pristup vraća ako taj uređaj više nije dostupan. Time izbjegavate da izgubljen pristup računu odgodi hitno održavanje.

Za osobe koje zajedno rade na stranici otvorite zasebne račune umjesto dijeljenja jedne administratorske lozinke. Tako se pristup pojedincu može ukinuti bez promjene prijave svim ostalima. Pregled računa ponovite pri svakoj promjeni agencije, zaposlenika ili vanjskog suradnika: prava dodijeljena za završen posao inače mogu ostati aktivna.

Prvi dan: prava datoteka i granica odgovornosti hostinga

Prava datoteka trebaju dopustiti rad stranice i njezino ažuriranje, uz ograničen pristup pisanju. WordPressove upute o pravima datoteka navode da dozvole ovise o vrsti instalacije i posebno izdvajaju konfiguracijsku datoteku wp-config.php. Zato brojčane vrijednosti pronađene u općim uputama nemojte naslijepo primijeniti na vlastiti hosting.

Od hostinga ili administratora poslužitelja zatražite provjeru vlasništva nad datotekama, prava pisanja u direktorije koje WordPress koristi i zaštite datoteke wp-config.php. Preširoka prava povećavaju moguću štetu ako netko stekne nedopušten pristup; prestroga mogu spriječiti ažuriranje ili prijenos sadržaja. Potrebna su prava koja omogućuju predviđen rad bez suvišnog pristupa drugim korisnicima poslužitelja.

Utvrdite i tko održava PHP te poslužiteljski softver. Na upravljanom hostingu vlasnik stranice možda nema pristup tim postavkama, ali i dalje može prijaviti pogrešku i tražiti njezino rješavanje. Dogovorite tko postupa kada automatsko ažuriranje ne uspije i tko može vratiti sigurnosnu kopiju; obje radnje često ovise o pristupu koji nije dostupan iz WordPress administracije.

Site Health otkriva zapreke održavanju

U administraciji otvorite Alati → Site Health i pregledajte karticu statusa. WordPressove upute za Site Health navode upozorenja za neuspjela pozadinska ažuriranja, nedostupnost WordPress.org i prikazivanje poruka o pogreškama posjetiteljima. Svako upućuje na drukčiji posao, pa zabilježite točnu poruku prije izmjene postavki.

Ako pozadinska ažuriranja ne rade, provjerite je li uzrok u postavkama, pravima datoteka ili ograničenju hostinga. Ako stranica ne može dosegnuti WordPress.org, zatražite provjeru odlaznih veza: ta je komunikacija potrebna za provjeru i instaliranje novih izdanja. Javno prikazane poruke za otklanjanje pogrešaka mogu otkriti osjetljive podatke, pa ih treba ukloniti iz prikaza posjetiteljima.

Kartica s informacijama prikazuje podatke o WordPressu, dodacima i poslužiteljskom okružju, uključujući mogućnost pisanja u potrebne direktorije. Ona služi dijagnostici i sama ne mijenja postavke. Podršci pošaljite konkretno upozorenje i podatak o funkciji koja ne radi; tako može provjeriti uzrok bez nasumičnog mijenjanja dozvola.

Redovito održavanje prema promjenama na stranici

Odredite ritam provjere novih izdanja, uspješnosti kopija, korisničkih računa i upozorenja u Site Healthu. Učestalost kopiranja prilagodite količini podataka koju biste mogli izgubiti: stranica s novim narudžbama zahtijeva drukčiji raspored od rijetko mijenjane informativne stranice. Povremeno provjerite i može li se kopija obnoviti, jer sama prisutnost datoteke kopije ne jamči povrat stranice.

Uklonite dodatke i teme koje više ne koristite. Za one koji ostaju provjeravajte dostupna ažuriranja i moguće poteškoće s kompatibilnošću prije većih promjena. Ako nadogradnju morate odgoditi, zabilježite razlog, odgovornu osobu i termin ponovne provjere. Sigurnosni dodatak tada može imati određenu dopunsku ulogu, ali i njega treba održavati kao dio iste instalacije.

Pročitajte i:

• Ponuda za rad na daljinu traži uplatu? Posao je gotovo sigurno prijevara
• Netsec dobio više od 10 mil. $ — sigurnost prodaje po zaposleniku
• Lokalni AI s Ollamom: privatnost počinje zatvorenim portom, ne instalacijom