Nimeni nu stă noaptea să îți atace personal website-ul de prezentare. Realitatea e mai banală și mai neplăcută: roboți automați scanează permanent internetul, caută versiuni vechi de software și exploatează ce găsesc. Website-ul tău nu e ales, e nimerit.
Vestea bună e că apărarea împotriva atacurilor automate e simplă și ieftină. Iată ce contează, în ordinea impactului real.
1. Actualizările: 80% din risc, într-un singur punct
Marea majoritate a website-urilor compromise rulau o versiune pentru care exista deja o corecție publicată. Atacatorii nu descoperă vulnerabilități noi pentru website-ul tău; folosesc vulnerabilități cunoscute pe website-uri neactualizate.
Activează actualizările automate pentru nucleu și pentru pluginurile de securitate. Pe restul, verifică-le manual o dată pe săptămână, după ce ai făcut un backup.
2. Șterge ce nu folosești
Acesta e sfatul pe care aproape toată lumea îl ignoră. O temă dezactivată sau un plugin inactiv nu rulează, dar fișierele lor există pe server și pot fi accesate direct de un atacator. Dezactivarea nu e protecție; ștergerea este.
Fă un inventar o dată pe trimestru. Dacă nu ai folosit ceva în ultimele șase luni, șterge-l. Îl poți reinstala oricând.
3. Parole și autentificare în doi pași
O parolă lungă, unică, generată de un manager de parole. Nu o variantă a numelui firmei cu un „123″ la final. Și autentificare în doi pași pentru toate conturile de administrator — e cea mai bună protecție raportat la efort.
Nu uita de conturile conexe: panoul de găzduire, FTP, baza de date, contul de la registrar. Un atacator care intră în panou nu mai are nevoie să spargă website-ul.
4. Limitează încercările de autentificare
Un plugin care blochează IP-ul după cinci încercări eșuate oprește atacurile prin forță brută înainte să conteze. Adaugă și o întârziere între încercări.
5. Drepturi minime pentru fiecare
Nu toată lumea are nevoie de rol de administrator. Un redactor are nevoie de rol de editor. Un colaborator temporar primește acces temporar, iar contul se șterge la final, nu „cândva”.
6. Backup care se poate restaura
Securitatea perfectă nu există; capacitatea de a reveni rapid, da. Copii automate, păstrate în afara serverului, cu o restaurare testată cel puțin o dată. Un backup netestat e o presupunere, nu un plan.
7. HTTPS peste tot
Certificatul SSL e inclus și gratuit. Forțează redirecționarea către HTTPS și verifică să nu mai ai resurse încărcate pe http, altfel browserele afișează avertismente.
Ce nu ajută atât cât se crede
Ascunderea versiunii, mutarea paginii de autentificare, redenumirea prefixului bazei de date — toate încurcă scanerele simple, dar nu opresc un atac care a găsit o vulnerabilitate reală. Sunt straturi suplimentare, nu fundație. Fă întâi primele șapte lucruri.
Semne că ceva e în neregulă
- Apar utilizatori administratori pe care nu i-ai creat.
- Website-ul redirecționează vizitatorii spre alte pagini, uneori doar de pe telefon.
- Google afișează avertisment în rezultatele căutării.
- Fișiere modificate recent în locuri în care nu ai umblat.
- Trafic brusc de ieșire sau reclamații că de pe domeniul tău pleacă spam.
Dacă s-a întâmplat deja
Izolează website-ul, schimbă toate parolele, restaurează dintr-un backup anterior infectării, apoi închide poarta de intrare — altfel vei fi infectat din nou în câteva zile. Dacă nu ai backup curat, înlocuiește fișierele de bază cu unele descărcate oficial și verifică fișierele modificate recent.
Concluzie
Actualizări, curățenie, parole bune și backup testat. Patru obiceiuri care, ținute constant, te scot din categoria țintelor ușoare — și acolo se rezolvă aproape tot.
Dacă website-ul tău a fost deja compromis, îl putem curăța și securiza prin serviciul de curățare malware și securizare.