Neviem, kto všetko má prístup na môj web a server
Prístup na server je ako kľúč od predajne. Za tie roky ho dostal programátor, ktorý už pre vás nerobí, firma na jednu úpravu a heslo ste možno niekomu poslali e-mailom. Nikto si už nepamätá komu. Pri predajni by ste dávno vymenili zámok. Pri webe sa na to často zabúda.
Kde všade sú „kľúče“ od webu
Web nemá jeden prístup, ale niekoľko. Každý z nich otvára iné dvere:
- Administrácia webu. Používatelia vo WordPresse, najmä tí s rolou administrátor.
- Účet u hostingu. Odtiaľ sa dá zmeniť takmer všetko, aj heslá k ostatným prístupom.
- FTP a SSH. Prístup priamo k súborom webu na serveri.
- Databáza. Sklad všetkých údajov webu vrátane objednávok a zákazníkov.
- Doména. Kto spravuje doménu, vie web aj e-maily presmerovať inam.
Ako v tom urobiť poriadok
Spíšte, kto má kam prístup. Prejdite všetky miesta zo zoznamu vyššie a pri každom účte si poznačte, komu patrí a či ho ten človek ešte potrebuje.
Staré prístupy zrušte. Účty ľudí, ktorí pre vás už nepracujú, zmažte alebo im zmeňte heslo. Pri mazaní používateľa vo WordPresse dajte pozor, aby ste jeho obsah priradili sebe, inak sa môže zmazať aj s ním.
Každý má vlastný prístup. Keď viac ľudí používa jedno spoločné heslo, nikdy neviete, kto čo urobil, a keď niekto skončí, musíte heslo meniť všetkým. S vlastnými účtami zrušíte len ten jeden.
Šifrované pripojenie namiesto obyčajného hesla. Pri SSH s kľúčom už nestačí uhádnuť heslo. Každý, kto na serveri pracuje, má vlastný kľúč, a keď s vami skončí, zruší sa len ten jeho.
Heslá neposielajte e-mailom. Staré e-maily s heslami ostávajú v schránkach roky. Ak ste tak heslo niekedy poslali, zmeňte ho.
Zapnite dvojfaktorové prihlásenie. Ukradnuté heslo potom samo nestačí.
Prečo na tom záleží
Zabudnutý prístup nemusí znamenať zlý úmysel. Stačí, že bývalý dodávateľ má slabé heslo alebo mu niekto ukradne počítač. Útočník potom nemusí hľadať žiadnu chybu vo webe, jednoducho sa prihlási. Ako taký útok vyzerá a čo robiť, keď sa stane, píšem v článku Napadli vám web? Čo urobiť v prvej hodine.
O prístupy, aktualizácie a zálohy sa môžem starať v rámci mesačnej správy. A ak máte podozrenie, že sa niekto dnu už dostal, pozrite si vyčistenie napadnutého webu.
Zdroje: WordPress: Zabezpečenie WordPressu.