צ׳קליסט אבטחת WordPress — 18 בדיקות שאפשר לעבור עליהן בשעה

רוב המדריכים לאבטחת WordPress מערבבים דברים קריטיים עם דברים חסרי משמעות, וזה מה שגורם לאנשים לוותר. הרשימה כאן מסודרת לפי מי צריך לעשות מה, וכמה זה באמת שווה.

קבוצה א׳ — דקה לכל אחת

1. אין משתמש בשם admin. אם יש, צרו מנהל חדש בשם אחר, העבירו אליו את התוכן ומחקו את הישן.
2. כל משתמשי המנהל מוכרים לכם בשם. משתמש מנהל שלא הכרתם הוא אירוע, לא תקלה.
3. אימות דו-שלבי פעיל לכל מנהל.
4. גרסת PHP היא 8.1 ומעלה. גרסאות ישנות מזה כבר לא מקבלות תיקוני אבטחה.
5. אין תוספים או תבניות מושבתים שיושבים על השרת בלי שימוש — מחקו אותם.
6. עריכת קבצים מתוך לוח הבקרה מנוטרלת (DISALLOW_FILE_EDIT), כדי שפריצה לחשבון מנהל לא תהפוך מיד להרצת קוד.

define('DISALLOW_FILE_EDIT', true);

קבוצה ב׳ — הרגלים, לא לחיצות

1. עדכונים מותקנים תוך ימים מרגע שיצאו, לא כשמישהו נזכר.
2. לפני כל עדכון יש גיבוי, ואחריו יש בדיקה שהאתר ולוח הבקרה עדיין עולים.
3. סיסמה ייחודית לכל שירות, במנהל סיסמאות.
4. לכל אדם יש משתמש משלו בדרגה המינימלית הנדרשת — כותב הוא לא מנהל.
5. משתמשים של ספקים ומפתחים לשעבר נמחקים כשהעבודה נגמרת.
6. תוספים מותקנים רק ממאגר רשמי או מהספק עצמו — לא מגרסאות «פרימיום חינם», שהן הדרך הקלה ביותר להדביק אתר מרצון.

קבוצה ג׳ — תלוי בספק האחסון

את הסעיפים האלה אי אפשר לפתור בתוסף. אם הספק לא נותן אותם, אין מה לעשות מלבד להחליף ספק.

1. בידוד: כל אתר רץ תחת משתמש מערכת נפרד, כך שפריצה לאתר אחד לא מגיעה לשכנים.
2. תעודת SSL תקפה עם שרשרת אמון מלאה, שמתחדשת אוטומטית.
3. גיבוי יומי שנשמר מחוץ לשרת, ולא רק על אותה מכונה.
4. אימות שחזור — מישהו בודק בפועל שאפשר להקים את הגיבוי, ולא רק שהקובץ נוצר.
5. ניטור זמינות עם התראה, כדי שלא תגלו נפילה מלקוח.
6. הגבלת קצב לניסיונות התחברות ברמת השרת.

מה לא צריך לעשות

כמה המלצות פופולריות שווה לדלג עליהן, כי הן עולות בנוחות ומחזירות כמעט אפס:

איך לוודא שזה נשאר ככה

צ׳קליסט הוא תצלום רגע. מה ששומר על אתר לאורך זמן הוא בדיקה חוזרת אוטומטית: סריקה יומית שמשווה את קבצי הליבה למקור, בודקת גרסאות, תעודה, כותרות והרשאות — ומייצרת ציון שאפשר לעקוב אחריו לאורך זמן. זה בדיוק מה שמסך האבטחה במערכת שלנו מציג, ובלי שתצטרכו להריץ שום דבר ידנית.