In English

Sprawdzenie bezpieczeństwa WordPressa

Prowadzisz stronę na WordPressie i chcesz sprawdzić jej bezpieczeństwo. Masz do tego dwa darmowe narzędzia. Skan na tej stronie sprawdza witrynę z zewnątrz w około 90 sekund, bez konta i bez hasła. Nasza darmowa wtyczka Ensomedia Security sprawdza pliki, konta i ustawienia wewnątrz WordPressa.

Chcesz sprawdzić, czy sklep albo link jest bezpieczny, zanim coś kupisz lub klikniesz? Ten test do tego nie służy. Jest dla osób, które prowadzą stronę. Przy obcej stronie sprawdź w raporcie Bezpiecznego przeglądania Google, czy Google jej nie oznaczył.

Co skan z zewnątrz sprawdza na WordPressie

Boty odwiedzają każdą stronę, na którą trafią, i szukają nieaktualnej wtyczki, zapomnianej kopii zapasowej albo formularza, który przepuszcza wszystko. Skan patrzy na to samo co one.

• Wersje WordPressa, wtyczek i motywów. Te, które zdradza kod strony, porównane z publicznymi listami znanych luk.
• Certyfikat i HTTPS. Czy certyfikat jest ważny, kiedy wygasa i czy strony ładują się przez bezpieczne połączenie.
• Zabezpieczenia w przeglądarce. Nagłówki bezpieczeństwa i ustawienia ciasteczek.

To szybki test, darmowy i bez konta. Z darmowym kontem, po potwierdzeniu, że strona jest Twoja, pełny test robi ponad 20 testów. Sprawdza WordPressa dokładniej, a do tego formularze, złośliwy kod i spamowe linki w treści stron, kopie zapasowe i pliki konfiguracyjne do pobrania przez każdego, ustawienia poczty (SPF, DKIM i DMARC), otwarte porty i stare subdomeny. Stronę możesz potwierdzić między innymi naszą wtyczką.

Wtyczka, która nic nie dokłada do kodu strony, nie zdradza swojej wersji, więc skan z zewnątrz jej nie oceni. Tu przydaje się wtyczka działająca od środka.

Co sprawdza darmowa wtyczka

Ensomedia Security jest w oficjalnym katalogu WordPress.org. Jest darmowa, nie wymaga konta i nie ma limitów testów, skanów według harmonogramu ani powiadomień e-mail. Jej 25 testów obejmuje:

• Złośliwy kod i tylne furtki w plikach, za które WordPress.org nie ręczy: web shelle, zaciemniony kod, PHP ukryty w obrazkach, skrypty rozsyłające spam, ukrytych administratorów, wstrzyknięty JavaScript i złośliwe przekierowania.
• Pliki WordPressa, wtyczek i motywów porównane z kopiami, które WordPress.org opublikował dla Twojej wersji, oraz pliki PHP, których w tych wydaniach nie ma.
• Zmiany w plikach od pierwszego skanu i pliki PHP w katalogu uploads.
• Znane luki we wtyczkach, motywach i samym WordPressie, także płatnych, z wersją, która je naprawia. Tę funkcję włączasz sam.
• Zamknięte, porzucone i nieużywane wtyczki i motywy, czekające aktualizacje i wersję PHP.
• Wstrzykniętą treść: skrypty, ukryte ramki i spamowe linki we wpisach, widżetach i opcjach strony.
• Konta i ustawienia: administratorów, rejestrację użytkowników, wyświetlanie błędów, edytor plików i XML-RPC.

Wtyczka ogranicza też nieudane logowania i dodaje logowanie dwuetapowe z aplikacją uwierzytelniającą albo kluczem dostępu. Skan według harmonogramu rusza raz dziennie. Sama niczego nie zmienia: pliki, użytkownicy i ustawienia zmieniają się tylko wtedy, gdy naciśniesz przycisk albo włączysz przełącznik. Wymaga WordPressa 6.2 i PHP 7.4 lub nowszych.

Żeby ją zainstalować, w panelu przejdź do Wtyczki, Dodaj nową i wyszukaj „Ensomedia Security”. Szczegóły są na stronie wtyczki.

Czego nie robi ani skan, ani wtyczka

• Nie czyszczą zhakowanej strony. Wtyczka potrafi przywrócić oryginał zmienionego pliku WordPressa, wtyczki albo motywu z WordPress.org. Pozostałe poprawki tłumaczy, a wprowadza je programista albo hosting.
• Nie robią kopii zapasowych. Trzymaj kopie poza serwerem i sprawdź, czy da się z nich odtworzyć stronę.
• Nie zastępują testu penetracyjnego. Specjalista, który przez kilka dni sprawdza, jak działa Twój sklep, znajdzie rzeczy, których nie wykryje żaden automat.

Czy mój WordPress jest zhakowany? Objawy

• W zakładce Użytkownicy, po przefiltrowaniu roli Administrator, widzisz konto, którego nie znasz. Albo liczba przy „Administrator” nie zgadza się z liczbą osób na liście: złośliwy kod czasem ukrywa takie konto.
• Pojawiła się wtyczka, której nikt nie instalował.
• Klienci zgłaszają przekierowania na oszustwa, których nie widzisz na swoim komputerze. Często działają tylko na telefonach i tylko dla osób z wyników Google.
• Po wpisaniu w Google site:twojadomena.pl widzisz spamowe podstrony, których nikt nie tworzył.
• Google albo Chrome ostrzega przed Twoją stroną, albo hosting pisze o złośliwych plikach.

Co zrobić w pierwszej godzinie, opisuję w artykule Objawy zhakowanej strony. Strony na innych systemach dotyczy tekst Czy moja strona jest bezpieczna?

Co zrobić po teście

1. Zaktualizuj WordPressa, motyw i wszystkie wtyczki. Nieaktualna wtyczka to najczęstsza droga do środka strony na WordPressie.
2. Usuń wtyczki, których nie używasz. Pliki wyłączonej wtyczki zostają na serwerze i często da się do nich dostać.
3. Przejrzyj listę administratorów. Usuń konta osób, które już z Tobą nie pracują, a pozostałym włącz logowanie dwuetapowe.
4. Zapytaj, gdzie leżą kopie zapasowe. Kopię w katalogu strony może pobrać każdy, kto zgadnie jej nazwę.
5. Przekaż raport dalej. Pełny raport zawiera zlecenie dla programisty z tym, co poprawić w tym tygodniu, w tym miesiącu i później.

Wróć do darmowego testu