WordPress является самым популярным в мире “движком” для генерации готовых веб-сайтов. На его основе создано и успешно функционирует более 31% всех сайтов в Интернете, что означает сотни миллионов веб-ресурсов по всему миру. Такая популярность WordPress позволяет хакерам легко находить менее безопасные сайты и использовать их в своих корыстных целях.
У хакеров есть разные мотивы для взлома веб-сайта. Некоторые из них – новички, которые просто учатся использовать менее безопасные сайты. По большей части за взломом преследуются следующие цели:
- распространение вредоносного ПО;
- использование сайта для атаки на другие сайты;
- рассылка спама в Интернете;
- добывание криптовалют.
С учетом вышесказанного, давайте рассмотрим некоторые из главных причин взлома сайтов WordPress и способы их предотвращения.
Также читайте статью: антивирус для сайта WordPress.
1. Небезопасный хостинг
Общеизвестно, что все веб-сайты размещаются на веб-сервере хостинга. Но некоторые хостинговые компании не обеспечивают надлежащую защиту своей хостинговой платформы. Это делает все веб-сайты, размещенные на их серверах, уязвимыми для попыток взлома.
Этого можно легко избежать, выбрав лучший хостинг-провайдер WordPress для вашего сайта (например, Beget). Это гарантирует, что ваш сайт размещен на безопасной платформе. Правильно защищенные серверы могут блокировать многие из наиболее распространенных атак на сайты WordPress.
Еще одна болезнь низкокачественных хостингов – частое выпадение ошибки 504. С этим тоже нужно что-то делать.
2. Использование простых паролей
Пароли – это ключи к вашему сайту WordPress. Вы должны убедиться, что используете уникальный пароль для каждой учетной записи, поскольку они могут предоставить хакеру полный контроль над вашим сайтом.
Наиболее уязвимыми являются:
- учетная запись администратора WordPress;
- учетная запись панели управления хостингом;
- FTP-аккаунты;
- база данных MySQL;
- учетные записи электронной почты.
Все эти учетные записи защищены паролями. Использование слабых паролей облегчает хакерам их взлом.
Вы можете легко избежать этого, используя уникальные и надежные пароли для каждой учетной записи. О том, как создать надежный пароль, мы писали в одной из прошлых статей.
Читайте также: Error establishing a database connection – перевод ошибки, почему возникает и как победить.
3. Незащищенный доступ к админ-разделу
Область администрирования WordPress предоставляет пользователю доступ для выполнения различных действий сайте. Это также наиболее часто атакованная область сайта WordPress.
Оставляя ее незащищенной, хакеры могут попробовать разные подходы к взлому вашего сайта. Вы можете затруднить их работу, добавив уровни аутентификации в свой каталог администратора WordPress.
Сначала вы должны защитить паролем свою административную область WordPress. Это добавляет дополнительный уровень безопасности, и каждый, кто пытается получить к ней доступ, должен будет ввести дополнительный пароль.
Кроме того, следует обеспечить надежные пароли для всех пользователей вашего сайта. Вы также можете добавить двухфакторную аутентификацию, чтобы еще более затруднит проникновение хакеров в область администрирования WordPress.
4. Неверные права доступа файлов
Права доступа для файлов – это набор специальных правил, используемых вашим веб-сервером. Они помогают веб-серверу контролировать доступ к файлам на вашем сайте. Неправильные права доступа могут дать хакеру доступ для записи и изменения этих файлов.
Для всех ваших файлов WordPress права доступа должны иметь значение 644, а для папок – 755.
5. Отказ от обновлений ядра WordPress
Некоторые WordPress-пользователи боятся обновлять свои сайты WordPress, опасаясь, что это нарушит их работу.
Следует отметить, что каждая новая версия WordPress исправляет ошибки и уязвимости безопасности. Если вы не обновляете WordPress, вы намеренно оставляете свой сайт уязвимым.
Если вы опасаетесь, что обновление “сломает” ваш сайт, то можете создать полную резервную копию WordPress перед запуском обновления. Таким образом, если что-то пойдет не так, вы можете легко вернуться к предыдущей версии.
Обновление php – также важная задача, которую периодически нужно проводить. Как минимум, нужно перейти на php 7 4 с более ранних. Узнайте, что в ней нового.
6. Отказ от обновлений плагинов и тем
Обновление до свежих версий плагинов и тем, как и ядра WordPress, тоже является очень важным. Устаревшие их версии также могут сделать ваш сайт уязвимым для хакеров.
“Дыры” в безопасности и ошибки часто обнаруживаются в плагинах и темах WordPress. Обычно их авторы быстро исправляют их. Однако, если пользователь не обновляет свою тему или плагин, то они ничего не могут с этим поделать.
Убедитесь, что ваша тема WordPress и плагины обновлены.
7. Использование простого FTP вместо SFTP/SSH
Учетные записи FTP используются для загрузки файлов на ваш веб-сервер с помощью FTP-клиента (например, FileZilla). Большинство хостинг-провайдеров поддерживают FTP-соединение с использованием разных протоколов. Вы можете подключиться, используя простой FTP, SFTP или SSH.
Когда вы подключаетесь к своему сайту с помощью простого FTP, ваш пароль отправляется на сервер незашифрованным. Его можно легко украсть. Вместо использования FTP вы всегда должны использовать SFTP или SSH.
Вам не нужно будет менять свой FTP-клиент. Большинство FTP-клиентов могут подключаться к вашему сайту по SFTP, а также SSH. Вам просто нужно изменить протокол на SFTP/SSH при подключении к серверу вашего сайта.
8. Использование admin в качестве логина администратора
Использование admin в качестве логина администратора WordPress не рекомендуется. Следует немедленно изменить его на другое имя пользователя. Это было подробно описано в нашем материале.
9. Использование “зануленных” тем и плагинов
Как было детально рассмотрено в нашей статье, Nulled-продукты являются пиратскими копиями платных тем и плагинов, распространяемых незаконно в Интернете. Они не только могут поставить под угрозу безопасность вашего веб-сайта, но также стать причиной кражи конфиденциальной информации.
Вы всегда должны загружать плагины и темы WordPress из надежных источников, таких как веб-сайт разработчиков плагинов/тем или официальных репозиториев WordPress.
Если вы не можете позволить себе или не хотите покупать премиум-плагин или тему, то для этих продуктов всегда есть бесплатные альтернативы. Они могут быть не такими хорошими, как их платные версии, но все же будут выполнять свою работу и, самое главное, сохранят ваш сайт в безопасности.
10. Отсутствие защиты файла wp-config.php
Wp-config.php – основной файл конфигурации WordPress, в котором хранятся секретные ключи безопасности, данные для подключения к базе данных и прочая важная информация. Если эти данные попадут в руки хакеров, то они смогут получить полный контроль над вашим сайтом. Как защитить wp-config.php, было рассмотрено в следующем материале.
11. Используется стандартный префикс таблиц базы данных
Многие эксперты рекомендуют изменить установленный по умолчанию префикс таблиц WordPress. Эксперты рекомендуют использовать более сложный префикс, что усложнит для хакеров “угадывание” имен вашей базы данных.
Подробная инструкция изменения префиксов таблиц описана в другой нашей статье.
Нажмите, пожалуйста, на одну из кнопок, чтобы узнать понравилась статья или нет.
