WordPress güvenliği: eklentiler, güncellemeler ve en sık yapılan 7 hata
WordPress sitelerin çoğu çekirdekten değil, eklenti ve temalardan ele geçiriliyor. En sık yapılan yedi hata ve her biri için yapılacak tek şey.
WordPress, dünyadaki sitelerin büyük bir kısmında çalıştığı için saldırganların da en çok taradığı sistemdir. Ama WordPress'in çekirdeği düzenli güncellenen, güvenlik ekibi olan bir yazılım; ele geçirilen sitelerin büyük çoğunluğunda kapı eklentiler, temalar ve yönetim alışkanlıklarıdır. Aşağıdaki yedi hata, gördüğümüz vakaların çoğunu açıklıyor.
1. Güncellemeleri ertelemek
Bir eklentide açık duyurulduğunda otomatik tarayıcılar birkaç saat içinde internetteki tüm siteleri yoklamaya başlar. Küçük (güvenlik) güncellemeleri otomatik açın; büyük sürüm güncellemelerini önce yedek alıp yapın.
2. Gereğinden fazla eklenti
Her eklenti başka bir geliştiricinin kodu demek. Kırk eklentili sitede kırk ayrı risk var. Aynı işi yapan iki eklentiyi, kullanılmayanları ve "bir ara lazım olur" diye kurulanları silin.
3. Korsan tema ve eklenti
Ücretli bir temanın "ücretsiz" sürümü çoğu zaman içine arka kapı eklenmiş olarak dolaşır. Bu, kapıyı kendi elinizle açmak demek.
4. Terk edilmiş eklentiler
Bir yıldır güncellenmeyen, geliştiricisi ortadan kaybolmuş eklentiye açık bulunursa düzeltme gelmez. Eklenti sayfasındaki "son güncelleme" tarihine bakın; alternatifine geçin.
5. "admin" kullanıcısı ve zayıf şifre
Giriş sayfasına yapılan kaba kuvvet denemeleri sürekli. Tahmin edilebilir kullanıcı adı, tekrar kullanılan şifre ve iki adımlı doğrulamanın olmaması bu denemelere kapıyı açar.
6. Herkese yönetici yetkisi
İçerik giren kişinin yönetici olması gerekmez; "editör" ya da "yazar" yeter. Yönetici sayısı ne kadar azsa, ele geçirilen bir hesabın zararı o kadar küçük.
7. Yedeği aynı sunucuda tutmak
Yedekleme eklentisi yedeği sunucunun içine, herkesin indirebileceği bir klasöre yazıyorsa bu hem işe yaramaz hem de veritabanınızı dışarıya açar. Yedekler sunucudan ayrı bir yerde durmalı.
WordPress güvensiz değil; bakımsız WordPress güvensiz.
Güncel olarak istismar edilen WordPress eklenti açıklarını Haberler sayfamızda Wordfence kaynağından takip edebilirsiniz. Bakımı bizim üstlenmemizi isterseniz web güvenliği sayfasına bakabilirsiniz.