10 sätt att säkerställa säkerheten för din WordPress-webbplats

Webbplatshack blir allt vanligare och du kan inte anta att din webbplats är immun. Lyckligtvis finns det saker du kan göra för att få en säkrare WordPress-webbplats.

Dessa proaktiva åtgärder kommer att göra det svårare för hackare att skada din webbplats och störa dess verksamhet.

Här är 10 steg att ta:

1. Undersök innan du installerar plugins

En studie från Imperva tittade på tillståndet för webbapplikationssårbarheter under 2018. Den visade att det fanns en 30 % ökning av WordPress-sårbarheter under 2018 jämfört med 2017, och att det totala antalet var 542. Dessutom avslöjade det att 98 % av dessa säkerhetsproblem var relaterade till plugins.

WordPress har inga minimisäkerhetsstandarder för sina plugins och tillåter alla utvecklare att skapa och publicera dem.

Med det i åtanke är en av de enklaste och viktigaste sakerna du kan göra innan du installerar ett WordPress-plugin att läsa recensioner om det. Installera bara de från utvecklare som fått positiv feedback och som har en lång historia på WordPress.

Om en utvecklare eller ett företag bara har ett WordPress-plugin tillgängligt och släppte det förra månaden, kan dessa saker vara röda flaggor eftersom de gör det svårt att verifiera en utvecklares tillförlitlighet.

Användarrecensioner kan hjälpa till att ge sammanhang åt de stjärnbetyg som ett plugin får. Antalet aktiva installationer kan också ge dig värdefull vägledning. Om ett plugin har ett stort antal aktiva installationer, är det en indikator på att människor i WordPress-communityt tycker att det är tillförlitligt.

Det är också en bra idé att kolla tekniska nyhetskällor för att avgöra om det finns några varningar mot att installera ett plugin som verkar vara ett bra val. Många cybersäkerhetsbloggar publicerar resultat av riskabla WordPress-plugins.

2. Arbeta med ett WordPress-värdföretag som är känt för säkerhet

En snabb Google-sökning ger dig dussintals val för WordPress-värdrecensioner.

Om säkerhet är ett huvudproblem, prioritera att göra affärer med de företag som nämner säkerhet som en av sina fördelar. De bästa alternativen är inriktade på säkerhet på både server- och applikationsnivå.

Till exempel kan du hitta vissa värdleverantörer som har serverbrandväggar för att skydda mot utnyttjande. Andra uppdaterar automatiskt dina plugins till de senaste versionerna för att förhindra att du omedvetet använder en som har ett säkerhetsbrist.

Att arbeta med ett webbhotell som prisar säkerhet skyddar din webbplatsdata, plus all information från webbplatsbesökare som du samlar in, till exempel e-postadresser till din e-postlista.

Det betyder att du kan tänka på ditt webbhotell som en enhet som hjälper din webbplats att vara en långsiktig investering. Om du blir hackad en eller flera gånger kommer folk sannolikt att förlora förtroendet och kan sluta besöka din webbplats.

Det finns egentligen ingen ursäkt för att inte installera ett SSL-certifikat på din webbplats nuförtiden, med många leverantörer av WordPress-värd med gratis SSL-certifikat tillgängliga.

Innan du väljer ett webbhotell, var inte rädd för att specifikt fråga vad dess representanter kommer att göra för att hjälpa dig att få en säker WordPress-webbplats. Vissa företag har också specifika delar av sina webbplatser som bryter ner de säkerhetsåtgärder de vidtar.

3. Ändra prefixet för WordPress-databastabellen

En SQL-injektionsattack är ett av de vanligaste sätten som en hackare kan få tillgång till din WordPress-databas. En cyberbrottsling gör det genom att infoga skadlig kod i SQL-satser och vanligtvis de som är kopplade till formulär.

När du installerar WordPress har databasen 12 tabeller som alla har prefixet “wp”. Hackare känner till det vanliga elementet och använder det för att hjälpa dem utföra SQL-attacker och andra problem som kan ta ner din webbplats. Databasen lagrar alla delar av din webbplats, inklusive dess teman. Om du inte ändrar databasprefixet blir det betydligt enklare för även nybörjare att utnyttja din webbplats.

Lyckligtvis, du kan ändra prefixet används av WordPress-databastabellen och gör det svårare för hackare att bryta sig in. Det är lättast att ändra WordPress-databastabellprefixet innan du installerar WordPress, men du kan göra det i efterhand också. Det nya tabellnamnet kan ha bokstäver, siffror och understreck. Behandla det som ett lösenord och kom på något svårt att gissa och som ingen annan än dig känner till.

4. Aktivera tvåfaktorsautentisering (2FA) för ditt WordPress-konto

Hackare riktar sig också ofta mot WordPress-webbplatser med brute force-attacker. De innebär att du använder trial and error och dedikerade verktyg för att ta reda på ditt lösenord på några sekunder, vilket ofta översvämmer det med trafik under processen. Du kan dock begränsa framstegen med en brute force attack av ställa in tvåfaktorsautentisering på ditt WordPress-konto.

2FA fungerar genom att be om något du vet (ett lösenord) och något du har (en kod skickad till din telefon). Sedan, även om hackare kommer på ditt lösenord, har de inte det andra nödvändiga elementet. Välkända sajter som Amazon och Microsoft har 2FA tillgängligt för användarna, och det är fördelaktigt att WordPress också gör det.

Även om 2FA kräver att gå igenom ett extra steg, kan du tycka att det är värt att ta den extra tiden eftersom det är en relativt snabb sak du kan göra för att hålla din WordPress-webbplats låst mot obehöriga åtkomstförsök.

WordPress låter dig också generera en uppsättning med 10 engångskoder att använda i stället för de typiska 2FA-koderna. Du kan använda en om din telefon blir borttappad eller blir stulen, till exempel. Det är bäst att skriva ut koderna och förvara dem på ett säkert ställe, till exempel en låst låda. Att få åtkomst med en av reservkoderna är lika enkelt som att ange den i fältet som ber dig om 2FA-koden.

5. Var försiktig med oönskade e-postmeddelanden från SEO-specialister eller webbplatssupportexperter

När din webbplats väl är live är det nästan oundvikligt att du börjar få e-postmeddelanden från personer som påstår sig ha den kunskap som behövs för att hjälpa din webbplats att rankas bättre i sökmotorerna eller uppnå andra mål du har. De kommer ofta att försöka tilltala dig genom att nämna saker som rimliga priser eller decennier av erfarenhet.

Inte alla dessa personer som skickar oönskade meddelanden till dig är naturligtvis bedragare som försöker få din information. Men en del av kommunikationen du får kan ha vissa varningssignaler som är typiska för bedrägerier i allmänhet.

Till exempel, ungefär som känslan av brådska som lotteribedragare använder för att få folks bankinformation, skickar illegitima SEO-företag ofta meddelanden som påstår att din webbplats är trasig, sårbar för attacker eller andra akuta problem.

Innan du låter dig ryckas med att försöka fixa dessa problem, ta reda på så mycket du kan om individen eller företaget som kontaktar dig från externa källor.

6. Använd en WordPress Audit Trail Plugin

Många människor som har framgångsrika WordPress-webbplatser inser att det är för tid- och arbetskrävande att hantera att lägga till innehåll eller redigera det utan hjälp. Så de anställer team av människor för att hjälpa dem att sköta dessa uppgifter och ger ofta full tillgång till varje person.

Ett plugin som skapar en revisionsspår kan öka dina ansträngningar för att ha en säker WordPress-webbplats eftersom det ger dig information om allt som personer med åtkomst till din webbplats gör när de arbetar med den.

Den kan till exempel berätta när en person loggar in och vilken IP-adress de använder för att göra det. Att begränsa åtkomsten till din inloggningssida med IP-adress kan också vara ett bra första försvar.

Vissa granskningsplugins ger också meddelanden om misslyckade inloggningsförsök. Det är normalt att se dem ibland, men om plugin-programmet säger att de sker i omgångar av dussintals eller hundratals åt gången, kan det vara ett tecken på ett försök till brute force-attack.

Ditt granskningsplugin kan också ge varningar om oskyldig aktivitet från dina användare som kan äventyra cybersäkerheten. Till exempel kanske någon av dina WordPress-bloggare som regelbundet bidrar med innehåll till sajten ändrar ett lösenord till något som är lättare att komma ihåg.

Närhelst ett granskningsplugin visar något misstänkt är det bästa sättet att gå till botten med vad som händer utan att göra förhastade anklagelser. Du kan också upptäcka några brister i de metoder som används av ditt team som kräver en gruppdiskussion som förklarar varför något de gör är en cybersäkerhetsrisk.

7. Installera aldrig ett Nulled WordPress-tema

Om du har en blygsam budget är det förmodligen frestande att bygga en WordPress-sajt som ser fantastisk ut utan att kräva för mycket ekonomiska resurser. Vissa WordPress-användare går till webbplatser som har nollställda WordPress-teman. De är hackade eller knäckta versioner av premiumteman som du kan få gratis. Till en början kan det få dig att tro att du har hamnat i en guldgruva om du snubblar över en webbplats med nollställda teman.

Men null-teman har ofta skadlig kod som kan skada din webbplats eller hålla reda på dina administratörsuppgifter när du skriver in informationen för att logga in. Kom ihåg det tidigare tipset om hur en säkerhetsfokuserad värdleverantör kan vara en klok långsiktig investering för din WordPress-webbplats eftersom den hjälper dig att hålla dig skyddad från attacker.

Råden att undvika nullte teman är liknande. De är vanligtvis tillgängliga gratis, vilket kan få dig att undra, “Vad är haken?” Det finns ingen garanti för att ett nollställt tema kommer att äventyra din webbplats, men det finns en anledning till att någon olagligt erbjuder ett premiumtema för inga pengar, och det kanske inte bara beror på att de är godhjärtade. Premium, lagligt erhållna teman stödjer din investering.

8. Inaktivera filredigering

WordPress tillhandahåller ett sätt att antingen redigera koden för ditt tema eller din plugin. Du kommer till temaredigeraren genom att gå till Utseende > Redigerare eller komma åt pluginredigeraren genom Plugins > Editor.

Om du stänger av båda dessa redigeringsfunktioner efter att du har publicerat din webbplats blir det svårare för hackare att komma in på baksidan av din webbplats och orsaka förödelse. Öppna först filen wp-config.php. Den finns i roten av din filkatalog och innehåller baskonfigurationsinformationen för din webbplats. Klistra sedan in följande kommando i den:

define(‘DISALLOW_FILE_EDIT’, sant);

9. Sök efter WordPress-uppdateringar ofta

WordPress har en standardinställning som gör att den automatiskt kan ladda ner mindre uppdateringar. Du måste dock ta initiativet för att ladda ner de större uppdateringarna, och det är något du bör göra för att upprätthålla en strikt WordPress-säkerhet.

Se om du har den senaste WordPress-versionen – och ladda ner en nyare om det behövs – från din Dashboard. Den har en WordPress-uppdateringssektion som talar om datumet för den senaste kontrollen efter en uppdatering och har en Kontrollera igen-knapp. Om du använder den knappen visas versionsnumret och om det är det senaste alternativet. Du kommer också att se ett alternativ för att ladda ner en uppdatering om det finns en tillgänglig.

10. Ta bort ditt WordPress-versionsnummer från rubriken och RSS

När hackare vet vilken WordPress-version du har kan de lättare planera hur de ska orkestrera de mest destruktiva attackerna mot dig och andra användare. Versionsnumret är vanligtvis en del av din webbplats källvy samt i det nedre hörnet av instrumentpanelen.

Men du kan hitta filen functions.php i din Dashboard och lägga till följande funktion till den:

function remove_wordpress_version() return ”; add_filter(‘the_generator’, ‘remove_wordpress_version’);

Om du gör det tar du bort versionsnumret från rubriken och RSS. Scrolla till slutet av functions.php-filen, klistra in koden och spara din ändring.

Börja göra din WordPress-webbplats säkrare från hackare

Dessa 10 tips visar att du inte behöver vara en cybersäkerhetsguru för att ha en säker WordPress-webbplats. Medan du arbetar dig igenom den här listan kommer du att göra handlingskraftiga åtgärder för att hålla cyberbrottslingar på avstånd.