← blog · karbantartás · · 2 min
Biztonságos WordPress: frissítés tesztkörnyezetben, mentés, hibafigyelés
A legtöbb feltörés nem kifinomult támadás, hanem egy elmaradt frissítés következménye. Így frissítek úgy, hogy közben semmi ne romoljon el.
Sági Dániel
Két rossz stratégia létezik: semmit nem frissíteni, mert „működik”, vagy mindent egy gombnyomással élesben frissíteni, és reménykedni. Az első biztonsági kockázat, a második üzemi kockázat. A jó megoldás a kettő között van.
1. Először mentés
Minden frissítés előtt friss, teljes mentés készül: adatbázis és fájlok. A mentést nem ugyanazon a szerveren tárolom, mint az oldalt, és időnként kipróbálom, hogy vissza is lehet-e állítani. Az a mentés, amelyet még senki nem állított vissza, csak remény.
2. Tesztkörnyezet
A frissítéseket először az oldal egy másolatán futtatom. Átnézem a fontos oldalakat és az űrlapokat, és csak akkor élesítem a frissítést, ha minden rendben van.
3. Hibafigyelés
Az általam karbantartott oldalakon a Sentry figyeli a PHP- és JavaScript-hibákat. Ha egy frissítés után egy látogatónál hiba jelentkezik, azonnal értesítést kapok a részletekkel együtt, így nem kell megvárnom, hogy valaki szóljon. Igyekszem 1 munkanapon belül reagálni és javítani.
4. Elérhetőség-figyelés és havi vizsgálat
Egy külső szolgáltatás rendszeresen ellenőrzi, hogy az oldal elérhető-e, és ha leáll, értesít. Havonta biztonsági vizsgálatot is futtatok (Wordfence), amely ismert sérülékenységeket és gyanús fájlokat keres.
5. Kevesebb támadási felület
A valódi védelem négy dologból áll: naprakész WordPress, bővítmények és PHP-verzió; kevés, jól karbantartott bővítmény; erős jelszavak és kétlépcsős azonosítás az adminhoz; rendszeres, ellenőrzött mentés.
Emellett kikapcsolom a felesleges funkciókat (például az XML-RPC-t), az admin nem a megszokott címen érhető el, az adatbázistáblák pedig egyedi előtagot kapnak. Ez utóbbi kettő nem csodafegyver: a tömeges, automatizált próbálkozásokat szűri ki, egy célzott támadót nem állít meg. Ezért nem helyettesíti a frissítést, csak kiegészíti.
A saját kódomban minden adatot biztonságosan, szűrve írok ki az oldalra, így egy űrlapba vagy mezőbe beírt kártékony kód nem fut le a látogatók böngészőjében.
Ez a folyamat már a karbantartás alapcsomagjában benne van (30.000 Ft / hó-tól), akár én készítettem az oldaladat, akár más.