Kiedy odbierasz klucze do nowego mieszkania, sprawdzasz, czy zamki w drzwiach działają, prawda? Dokładnie tak samo powinno być z twoją nową stroną internetową. Wielu klientów skupia się na tym, co widać: kolorach, ładnym logo, czytelnym menu. To naturalne. Jednak moja rola jako developera polega na tym, by zadbać również o to, czego nie widać na pierwszy rzut oka – o cyfrowe „zamki i alarmy”.
WordPress to najpopularniejszy system CMS na świecie. Ta popularność to jego największa zaleta, ale i… wyzwanie. Hakerzy i boty (automatyczne programy skanujące sieć) uwielbiają WordPressa nie dlatego, że jest słaby, ale dlatego, że jest powszechny. Jeśli znajdą dziurę w jednej niezabezpieczonej stronie, próbują wejść tymi samymi drzwiami do tysięcy innych.
Dlatego w mojej pracy trzymam się żelaznej zasady: nie oddaję klientowi strony, która jest „goła” pod kątem zabezpieczeń. Nawet najpiękniejsza witryna nie przyniesie ci zysku, jeśli po tygodniu zostanie przejęta przez wirusa wyświetlającego reklamy podejrzanych suplementów.
Oto 5 konkretnych kroków, które wykonuję na twojej stronie, zanim wyślę ci maila z hasłem: „Gotowe, zapraszam do logowania!”.
1. Instalacja certyfikatu SSL i wymuszenie HTTPS
To absolutna podstawa, ale wciąż widuję w sieci nowe strony, które jej nie mają. Widzisz tę małą kłódkę przy adresie mojej strony w przeglądarce? To właśnie efekt działania certyfikatu SSL.
Certyfikat szyfruje dane przesyłane między przeglądarką klienta a serwerem. Dlaczego to takie ważne?
- Bezpieczeństwo danych: Jeśli masz formularz kontaktowy, nikt nie powinien móc podsłuchać, co klient do ciebie pisze.
- Wiarygodność: Przeglądarki (np. Chrome) oznaczają strony bez SSL jako „Niezabezpieczone”. To odstrasza klientów.
- SEO: Google oficjalnie promuje strony z certyfikatem SSL wyżej w wynikach wyszukiwania.
Zanim oddam ci stronę, nie tylko instaluję certyfikat, ale też konfiguruję go tak, aby każda próba wejścia na stronę (nawet przez stary adres http://) automatycznie kierowała na bezpieczną wersję https://.
2. Eliminacja konta „admin” i wdrożenie 2FA (Two-Factor Authentication)
Wiesz, jaki jest najczęstszy login, który boty wpisują podczas prób włamania? Oczywiście: admin. Jeśli zostawimy domyślnego użytkownika o tej nazwie, haker ma już połowę roboty za sobą – zna login, musi tylko zgadnąć hasło. Dlatego na stronach moich klientów nigdy nie stosuję domyślnych nazw użytkowników.
Ale idę o krok dalej. Nawet najtrudniejsze hasło może wyciec. Dlatego standardem w moich wdrożeniach jest uwierzytelnianie dwuskładnikowe (2FA).
Działa to tak samo, jak w bankowości internetowej. Aby zalogować się do panelu administratora, nie wystarczy podać hasła. Trzeba jeszcze wpisać jednorazowy kod, który generuje aplikacja na twoim telefonie (np. Google Authenticator) lub przychodzi na twój e-mail. Dzięki temu, nawet jeśli ktoś pozna twoje hasło, nie dostanie się do środka, bo nie ma fizycznego dostępu do twojego telefonu. To proste rozwiązanie, które eliminuje 99% automatycznych ataków.
3. Wyłączenie możliwości edycji plików z poziomu kokpitu
To techniczny, ale bardzo ważny szczegół. Domyślnie WordPress pozwala administratorowi edytować kod motywu i wtyczek bezpośrednio z panelu administracyjnego.
Wygodne? Może. Niebezpieczne? Bardzo. Jeśli haker w jakikolwiek sposób zdobędzie dostęp do twojego panelu (nawet na chwilę), mając włączoną tę opcję, może wstrzyknąć złośliwy kod w pliki twojej strony w kilka sekund.
Dlatego bezpieczeństwo WordPressa wymaga, aby tę opcję wyłączyć. Ja robię to na poziomie konfiguracji WordPressa. Jeśli będziesz potrzebować zmian w kodzie, zgłosisz się do mnie (w ramach opieki technicznej lub godzin programistycznych), a ja wprowadzę je w bezpieczny sposób. Ty śpisz spokojnie, a „furtka” dla wirusów jest zabetonowana.
4. Konfiguracja nagłówków bezpieczeństwa (Security Headers)
To element, o którym mało kto mówi, a który robi ogromną różnicę. Nagłówki bezpieczeństwa to specjalne instrukcje, które serwer twojej strony wysyła do przeglądarki użytkownika. Mówią one przeglądarce, co wolno, a czego absolutnie nie wolno robić na twojej stronie.
Wdrażam między innymi takie nagłówki jak:
- HSTS (Strict-Transport-Security): Zmusza przeglądarkę do korzystania wyłącznie z bezpiecznego połączenia.
- X-Content-Type-Options: Blokuje ładowanie plików o nieprawidłowym typie (co często wykorzystują hakerzy do przemycania wirusów).
- X-Frame-Options: Zapobiega osadzaniu twojej strony w „ramkach” na innych witrynach (chroni to przed tzw. clickjackingiem, czyli kradzieżą kliknięć).
Chcesz zobaczyć, jak to działa w praktyce? Wejdź na stronę securityheaders.com, wpisz adres mojej strony i sprawdź wynik. Moim celem jest, aby strony moich klientów również otrzymywały tam najwyższe noty bezpieczeństwa (ocenę A lub A+).
5. Czysta instalacja i sprawdzone wtyczki
To zasada, której trzymam się bezwzględnie. Nie korzystam z „gotowców” niewiadomego pochodzenia.
- Zero piractwa: Nigdy nie instaluję płatnych wtyczek pobranych z nielegalnych źródeł (tzw. nulled). To najczęstsza przyczyna zawirusowania stron! Jeśli jakaś funkcja wymaga płatnej licencji, informuję cię o tym.
- Minimalizm: Instaluję tylko te wtyczki, które są niezbędne. Każda dodatkowa, nieużywana wtyczka to potencjalna luka w zabezpieczeniach i niepotrzebne obciążenie strony.
Zanim przekażę ci stronę, robię wielkie „sprzątanie” – usuwam nieaktywne motywy, zbędne pliki i testowe wpisy. Dostajesz produkt czysty, lekki i gotowy do działania.
Bezpieczeństwo to proces, nie jednorazowa akcja
Te 5 kroków to solidny fundament. Dzięki nim twoja strona na starcie jest bezpieczna jak twierdza. Musisz jednak pamiętać, że w internecie nic nie jest dane raz na zawsze. Wtyczki wychodzą w nowych wersjach, pojawiają się nowe zagrożenia, a WordPress ewoluuje.
Strona, która jest bezpieczna dzisiaj, za pół roku bez aktualizacji może stać się łatwym celem.
Dlatego, jeśli nie czujesz się na siłach, by samodzielnie pilnować aktualizacji, robić kopie zapasowe i monitorować stan witryny, zachęcam cię do skorzystania z mojej usługi opieki technicznej i usuwania wirusów. Wtedy to ja trzymam rękę na pulsie, a ty zajmujesz się tym, co potrafisz najlepiej – prowadzeniem swojego biznesu.
Chcesz mieć pewność, że twoja strona jest bezpieczna? Jeśli planujesz nową stronę internetową lub sklep, skontaktuj się ze mną. Porozmawiajmy o wdrożeniu, które będzie nie tylko ładne, ale przede wszystkim odporne na zagrożenia.
