Darmowa wtyczka bezpieczeństwa do WordPressa: co ma sprawdzać, a czego nie powinna robić?

W katalogu WordPress.org znajdziesz wiele wtyczek ze słowem „security” w nazwie i prawie każda ma darmową wersję. Opisy brzmią podobnie, a kodu i tak nie przeczytasz. Jak wybrać?

Poniżej pięć kryteriów, które ocenisz sam: z opisu w katalogu, z ekranu ustawień i z pierwszego skanu. Do tego lista rzeczy, których darmowa wtyczka robić nie powinna, z odwołaniem do zasad samego katalogu WordPress.org.

Co wtyczka może, a czego nie może

Wtyczka bezpieczeństwa działa od środka strony. Widzi pliki na serwerze, bazę danych, konta użytkowników i ustawienia. Tego skan z zewnątrz nie zobaczy, więc dobra wtyczka uzupełnia go o rzeczy, do których potrzeba dostępu.

Wtyczka jest jednak częścią WordPressa. Jeśli ktoś przejmie stronę z uprawnieniami administratora, może ją wyłączyć albo zmienić jej ustawienia. Dlatego żadna wtyczka nie daje pełnej ochrony i żadna uczciwa tego nie obiecuje. Traktuj ją jako jedną warstwę, obok aktualizacji, kopii zapasowych i sprawdzania strony z zewnątrz.

1. Sprawdza i pokazuje, zmienia dopiero na Twoje polecenie

Najwięcej wartości dają sprawdzenia, które tylko czytają:

• porównanie plików WordPressa, wtyczek i motywów z oficjalnymi sumami kontrolnymi z WordPress.org dla Twojej wersji, co wyłapuje podmienione pliki,
• szukanie plików PHP w katalogu na zdjęcia, gdzie nie mają prawa się znaleźć,
• lista kont z uprawnieniami administratora,
• pliki, które serwer oddaje każdemu: kopie wp-config.php, zrzuty bazy, archiwa z kopią strony,
• ustawienia, które ułatwiają włamanie: włączony tryb debugowania, edytor plików w panelu, otwarta rejestracja kont.

Zmiany, takie jak wyłączenie XML-RPC albo przeniesienie pliku do kwarantanny, powinny dziać się dopiero po kliknięciu przycisku. Automatyczne „naprawy” potrafią położyć sklep: wtyczka usuwa plik, który uznała za podejrzany, a to był element motywu.

Jak to sprawdzić: w opisie wtyczki szukaj zdania, że niczego nie zmienia bez Twojej zgody. Po pierwszym skanie zobacz, czy wyniki tylko się wyświetliły, czy coś już zostało zmienione.

2. Nie spowalnia strony

Pełny skan plików to sporo pracy dla serwera. Dobra wtyczka dzieli go na małe kroki w tle, pomija pliki, które się nie zmieniły, i nie robi nic ciężkiego przy każdym wejściu klienta na stronę.

Jak to sprawdzić: zmierz czas ładowania strony w PageSpeed Insights przed instalacją i dzień po niej. Zajrzyj też do panelu hostingu, gdzie zwykle widać zużycie procesora. Jeśli po instalacji wyraźnie wzrosło, a hosting zaczyna wysyłać ostrzeżenia, coś jest nie tak.

3. Mówi prostym językiem i nie krzyczy bez powodu

Każdy problem powinien mieć trzy rzeczy: co znaczy, jak jest poważny i co zrobić. Komunikat „Suspicious base64 string in file” bez wyjaśnienia nic Ci nie daje.

Osobna sprawa to powiadomienia. Wtyczka, która wysyła maila o każdej drobnostce, po tygodniu trafia do folderu, którego nikt nie czyta. Lepiej, gdy pisze tylko o problemach nowych albo poważniejszych niż wcześniej, a wyniki niepewne oznacza jako niepewne zamiast ogłaszać alarm.

4. Pilnuje aktualizacji

Nieaktualne wtyczki to najczęstsza droga do środka strony na WordPressie. Opisałem to szerzej w artykule o nieaktualnych wtyczkach.

Dobra wtyczka bezpieczeństwa pokazuje, która wtyczka lub motyw ma znaną lukę i w jakiej wersji ją naprawiono. Ostrzega też przed wtyczkami zamkniętymi w katalogu WordPress.org albo porzuconymi przez autora i przypomina, że wyłączona wtyczka nadal leży na serwerze. Z taką listą wiesz, co zaktualizować dziś, a co usunąć.

5. Daje drogę do widoku z zewnątrz

Od środka nie widać wszystkiego, co widzi odwiedzający. Ustawienia serwera, rekordy poczty w DNS, certyfikat oglądany z internetu, zapomniane subdomeny: to sprawdza się z zewnątrz. Dobra wtyczka albo sama odpytuje własną stronę przez internet, na przykład o pliki, które nie powinny być dostępne, albo pozwala połączyć się ze skanem z zewnątrz.

Czym różnią się te dwa widoki, opisałem w artykule o skanerze bezpieczeństwa strony online.

Czego darmowa wtyczka nie powinna robić

Katalog WordPress.org ma szczegółowe zasady dla wtyczek. Kilka z nich przekłada się wprost na to, czego możesz oczekiwać:

• Nie wysyła danych o Tobie bez zgody. Zasada 7 zabrania śledzenia użytkowników bez ich zgody. Jeśli wtyczka łączy się z zewnętrzną usługą, opis w katalogu powinien wymieniać, z jaką i po co.
• Nie odbiera funkcji po okresie próbnym. Zasada 5 zabrania w katalogu wersji próbnych, które po kilku dniach przestają działać.
• Nie zajmuje kokpitu reklamami wersji płatnej. Zasada 11 mówi, że wtyczka nie powinna przejmować panelu administracyjnego. Jedna informacja o płatnej wersji to norma, banery na każdym ekranie już nie.
• Nie obiecuje pełnej ochrony. Obietnica pełnego bezpieczeństwa to sygnał, żeby czytać opis uważniej.

Jedna z opcji

Taką wtyczkę zrobiłem też ja: Ensomedia Security w katalogu WordPress.org, powiązaną z ShieldWave. Oceń ją według tych samych pięciu punktów co każdą inną. Fakty z jej opisu:

• wykonuje 23 sprawdzenia, a wszystkie sprawdzenia, skany według harmonogramu i powiadomienia mailowe są darmowe, bez konta i bez limitów,
• porównuje pliki z sumami kontrolnymi WordPress.org i pilnuje zmian w plikach, których WordPress.org nie zweryfikuje,
• skanuje w tle, małymi krokami, i nie analizuje ponownie plików, które się nie zmieniły,
• pliki, konta i ustawienia zmienia tylko wtedy, gdy klikniesz przycisk albo włączysz przełącznik,
• nie jest pełną zaporą aplikacyjną i nie czyści plików za Ciebie: zmianę, którą opisuje, robisz Ty, programista albo hosting,
• opcjonalnie łączy się z panelem shieldwave.io, gdzie strona pojawia się obok skanu z zewnątrz.

Instrukcję ekran po ekranie znajdziesz w osobnym artykule o tej wtyczce.

Co zrobić po instalacji dowolnej wtyczki

1. Uruchom pierwszy skan i przeczytaj najpierw problemy o najwyższej wadze.
2. Zaktualizuj albo usuń wtyczki i motywy ze znanymi lukami.
3. Przejrzyj listę administratorów i usuń konta osób, które już z Tobą nie pracują.
4. Ustaw skan według harmonogramu, raz w tygodniu wystarczy.
5. Sprawdź stronę z zewnątrz, żeby zobaczyć to, czego wtyczka nie widzi.

Sprawdź swoją stronę z zewnątrz. Wpisz adres na shieldwave.io. Test trwa około 90 sekund i nie wymaga hasła ani wtyczki.