Većina vlasnika malih sajtova misli da njihov sajt nikome nije zanimljiv. Problem je što napadači sajtove ne biraju ručno. Automatizovani programi (botovi) svakog dana skeniraju milione sajtova i traže poznate propuste: zastareo dodatak, slabu lozinku, zaboravljen administratorski nalog. Sajt frizerskog salona i sajt velike kompanije za njih izgledaju isto.
Hakovan sajt se zatim koristi za slanje spam mejlova, preusmeravanje posetilaca na sumnjive stranice ili objavljivanje skrivenih reklama. Posledice snosi vlasnik: pad na Google-u, upozorenja u pregledaču, blokiran nalog na hostingu i izgubljeni kupci.
Dobra vest je da se najveći deo rizika uklanja osnovnim merama za koje ne treba programersko znanje. Evo 10 koraka koje možete proći za pola sata. Većina se odnosi na WordPress, koji pokreće više od 40% svih sajtova na internetu.
10 koraka za zaštitu sajta
1. Redovno ažurirajte WordPress, dodatke i temu
Zastareli dodaci su najčešći ulaz za napadače. Kada se u nekom dodatku otkrije propust, proizvođač objavi ispravku, ali istovremeno i napadači saznaju gde je rupa. Svaki sajt koji ne ažurira ostaje otvoren. Uključite automatska ažuriranja za dodatke kojima verujete, a pre većih ažuriranja napravite bekap.
2. Koristite jake i jedinstvene lozinke
Lozinka za administraciju sajta treba da ima najmanje 12 do 16 znakova i ne sme biti ista kao lozinka za mejl ili društvene mreže. Najlakše je koristiti menadžer lozinki (npr. Bitwarden ili 1Password), koji pravi i pamti lozinke umesto vas. Izbegavajte i korisničko ime „admin“, jer ga botovi prvo pokušavaju.
3. Uključite dvostepenu prijavu
Dvostepena prijava traži, pored lozinke, i kod iz aplikacije na telefonu (Google Authenticator, Microsoft Authenticator i slične). Čak i ako neko sazna vašu lozinku, bez telefona ne može da uđe. Za WordPress je dovoljan besplatan dodatak, poput Wordfence Login Security ili Two-Factor. Uključite je obavezno za sve administratore.
4. Obrišite dodatke i teme koje ne koristite
Isključen dodatak i dalje postoji na serveru i napadač i dalje može da ga iskoristi ako ima propust. Zato isključene dodatke obrišite. Od tema zadržite samo aktivnu i jednu podrazumevanu WordPress temu kao rezervu.
5. Proverite ko sve ima administratorski pristup
U WordPress-u otvorite Korisnici i filtrirajte ulogu Administrator. Često se tu nađu bivši saradnici, agencija s kojom više ne radite ili programer od pre nekoliko godina. Svakome dajte najmanju ulogu koja mu je potrebna (Urednik, Autor), a nepotrebne naloge obrišite. Kada saradnja prestane, promenite i lozinke za hosting i FTP.
6. Imajte bekap koji zaista radi
Mnogi hostinzi prave automatski bekap, ali proverite tri stvari: koliko dana unazad se čuva, da li uključuje i bazu podataka i gde se čuva. Dobro pravilo je da bar jedna kopija postoji van servera na kome je sajt. I najvažnije: probajte jednom povraćaj. Bekap koji nikada nije testiran ne može se smatrati pouzdanim.
7. Proverite da sajt radi preko HTTPS-a
Katanac pored adrese znači da je veza između posetioca i sajta šifrovana, pa lozinke i podaci iz formi ne putuju kao običan tekst. Većina hostinga nudi besplatan SSL sertifikat (Let’s Encrypt). Proverite i da li se adresa sa http:// automatski preusmerava na https://. Google Chrome sajtove bez HTTPS-a označava kao „nije bezbedno“.
8. Nikada ne instalirajte piratske („nulled“) teme i dodatke
Besplatne kopije plaćenih tema i dodataka, koje se nalaze na raznim sajtovima za preuzimanje, vrlo često sadrže ubačen zlonamerni kod, takozvana skrivena vrata (backdoor). Ušteda od nekoliko desetina evra lako se pretvori u trošak čišćenja sajta i izgubljene pozicije na Google-u. Dodatke preuzimajte samo sa wordpress.org ili sa zvaničnog sajta proizvođača.
9. Isključite funkcije koje vam ne trebaju
WordPress ima nekoliko starijih funkcija koje većini sajtova ne trebaju, a napadači ih rado koriste. Primer je xmlrpc.php, stari način daljinskog pristupa sajtu, koji se danas uglavnom zloupotrebljava za pogađanje lozinki. Ako ne koristite Jetpack ili objavljivanje iz desktop aplikacija, zamolite hosting ili programera da ga isključi. Isto važi za uređivanje fajlova iz administracije i za komentare, ako ih ne koristite.
10. Redovno proveravajte sajt ili uključite nadzor
Jednom mesečno odvojite pet minuta: u Google upišite site:vasadomen.rs i pogledajte ima li stranica koje niste napravili, u Google Search Console proverite odeljak Bezbednosni problemi i pregledajte listu korisnika. Ako nemate vremena za ručnu proveru, automatski nadzor će vas obavestiti čim se na sajtu pojavi sumnjiva promena.
Kako da prepoznate da je već kasno
Ponekad se napad desi pre nego što stignete da se zaštitite. Najčešći znaci su:
- posetioci sa Google-a završavaju na drugom sajtu, često samo na mobilnom telefonu;
- u rezultatima pretrage pojavljuju se stranice na stranom jeziku ili sa reklamama koje niste objavili;
- u listi korisnika postoji administrator koga niste napravili;
- hosting vas obaveštava da sajt troši previše resursa ili šalje spam.
Ovo su samo najočigledniji signali. Detaljan spisak od 18 znakova da je sajt hakovan, sa uputstvom kako da sumnju proverite za 15 minuta, možete pročitati na blogu Hakovansajt.com.
Šta da uradite ako sumnjate da je sajt hakovan
- Ne brišite nasumično fajlove i ne vraćajte odmah stari bekap. Možda je i on zaražen, a usput se gube tragovi kako je napadač ušao.
- Promenite sve lozinke (WordPress, hosting, FTP, baza podataka), i to sa drugog, pouzdanog uređaja.
- Obavestite hosting, jer on često ima podatke koje vi ne vidite.
- Proverite sajt. Ako niste sigurni šta se dešava, proveru sajta možete pokrenuti na Hakovansajt.com.
Čišćenje prepustite stručnjaku ako nemate iskustva. Nepotpuno očišćen sajt obično se ponovo zarazi za nekoliko dana, jer napadači za sobom ostavljaju skrivena vrata.
Česta pitanja
Da li me hosting štiti od hakovanja?
Samo delimično. Hosting štiti server, ali ne i vaš WordPress, dodatke i lozinke. Za njih je odgovoran vlasnik sajta ili osoba koja ga održava.
Koliko često treba raditi bekap?
Za sajt koji se retko menja dovoljan je nedeljni bekap. Za online prodavnicu ili portal potreban je dnevni. Čuvajte kopije bar 14 do 30 dana unazad, jer se zaraza često otkrije tek posle nekoliko nedelja.
Da li besplatni sigurnosni dodaci pomažu?
Pomažu. Dodaci poput Wordfence ili Solid Security dodaju zaštitni zid, ograničavaju broj pokušaja prijave i skeniraju fajlove. Ipak, ne zamenjuju redovna ažuriranja i jake lozinke. Jedan dobro podešen sigurnosni dodatak bolji je od tri koja se međusobno ometaju.
