WordPress Security: Nejdražší chybou je přesvědčení, že se nemůže nic stát

Máte web na WordPressu? Možná bychom ho měli vidět. I když nechceme malovat čerta na zeď, víme, jak to v praxi chodí. Firmy zprovozní stránky, občas nainstalují aktualizaci a mají pocit, že víc není třeba dělat. Jenže je.

Aby to bylo jednou provždy dostatečně vysvětleno, vyzpovídala jsem Zdeňka Zacha, našeho specialistu na WordPress, který zná všechna zákoutí tohohle systému. A stejně tak zná ty nejčastější chyby uživatelů i problémy, které nejsou vidět, ale dokážou nadělat pořádnou paseku. Pojďme se na to podívat zblízka a prakticky!

Co řešíme (téměř) dnes a denně

Zdendo, jaký problém vídáš nejčastěji?

Nejčastějším problémem jsou zastaralé pluginy, neaktualizovaný WordPress nebo šablony. Jsou weby, které roky nikdo nespravuje, a majitel má pocit, že když všechno funguje, není potřeba na nic sahat. Pak jsou tu evergreeny, jako slabá hesla, příliš mnoho administrátorských účtů nebo pluginy, které už jejich vývojář dávno nepodporuje.

Zrádné je, že ty nejnebezpečnější problémy často nejsou vůbec vidět. Web může na první pohled fungovat normálně, ale už obsahuje škodlivý kód nebo má zranitelný plugin. Klient si obvykle ničeho nevšimne, dokud web nezačne přesměrovávat návštěvníky jinam nebo rozesílat spam, případně dokud ho Google nezačne označovat jako nebezpečný.

Jsou nějaké typy webů nejohroženější?

Napadený může být prakticky jakýkoli WordPress. Největší riziko je ale u e-shopů, protože obsahují objednávky, zákaznické účty a často i víc pluginů. Firemní weby bývají pro změnu dlouhé roky bez údržby. Ve výsledku ale útočníci nerozlišují velikost firmy, spíš hledají zranitelný web.

Když za tebou přijde klient, tušíš hned, kde bude chyba?

Jistě to samozřejmě nevím, ale je pár typických chyb, od kterých se dá při řešení odrazit. Jde hlavně o to, že klienti často odkládají aktualizace, aby se web „nerozbil“. Nebo používají jedno heslo na více službách. Pak taky instalují různé pluginy jen proto, že jsou zdarma, ale už neřeší jejich kvalitu nebo podporu. A za třešničku na dortu se dá považovat ponechání administrátorských účtů bývalým zaměstnancům firmy.

V úvodu jsi zmínil slabá hesla. Ještě pořád si na ně lidi nedávají pozor?

Ještě pořád a není to nic výjimečného. Ani dvoufázové ověřování není tak rozšířené, jak by mělo být. Přitom se jím dá zabránit spoustě útoků.

Jakou roli hraje z hlediska bezpečnosti kvalitní hosting?

Webhosting má na bezpečnost velký vliv. Kvalitní poskytovatel řeší pravidelné aktualizace serveru, zálohování i základní ochranu proti útokům. Když je hosting špatně nastavený nebo zastaralý, může být problém i na webu, který je jinak dobře postavený.

Kdy je čas řešit bezpečnost webu?

Ideální je to už při vývoji, jinak se může stát, že klient spustí web a teprve potom se projeví bezpečnostní chyby. Po spuštění už je to jen otázka času a kvality péče o web, jak na tom s bezpečností bude. Důležité je vědět, že průběžná správa je vždycky lepší a ekonomicky výhodnější než řešení krizových situací.

Konkrétní průšvihy z praxe, které by vás měly varovat

Jaký nejzávažnější bezpečnostní incident jsi u klienta řešil?

Firemní WordPress web, který nikdo pravidelně nespravoval celé roky. Klientovi začaly klesat poptávky a nám se ozval ve chvíli, kdy mu zákazníci hlásili, že se po otevření webu dostávají na úplně jiné stránky – podvodné, samozřejmě. Nakonec mu přišlo upozornění z Google Search Console, že má na stránkách škodlivý obsah. Do té doby vůbec netušil, že má problém.

A není divu. Na první pohled ten web totiž vypadal normálně. Přesměrování se objevovalo jen u části návštěvníků a většinou jen při příchodu z vyhledávače nebo z mobilu. Do zdrojového kódu se ale někomu povedlo vložit škodlivý JavaScript, který běžný uživatel vůbec nemohl vidět. Na počátku všeho nebylo nic jiného než neaktualizovaný plugin.

To asi mělo nějaké následky.

Jasně, klient přicházel o návštěvníky, poptávky i o důvěru zákazníků. Naštěstí aspoň nedošlo k úniku zákaznických dat. Kdyby se problém neřešil delší dobu, web by mohl být úplně vyřazený z výsledků vyhledávání nebo zablokovaný bezpečnostními službami. A to vážně nikdo nechce.

I tak to ale byl průšvih. Klesla návštěvnost, protože jakmile někdo vidí upozornění, že web není bezpečný, odchází. S nižší návštěvností jde samozřejmě ruku v ruce nižší počet poptávek. Finanční dopady můžou být nepříjemně velké.

A hlavně: nejde jen o technický problém. Napadený web často zasáhne fungování celé firmy, která může být v řádu hodin úplně bez zakázek. Na konci toho může být třeba nedostatek financí na výplaty zaměstnanců, zkreslená analytická data (takže se nepřijde na to, že problém je technického rázu) a reklamní kampaně propagující něco, k čemu se potenciální zákazník vůbec nedostane.

Jak dlouho může být web takhle napadený?

Klidně týdny. Útočníci se dneska nesnaží web zničit. Chtějí ho co nejdéle využívat ke spamování, přesměrování nebo jiným nekalostem. I mě samotného pořád překvapuje, jak dlouho může být problém neviditelný.

Jak potom probíhala diagnostika a co bylo při řešení problému nejsložitější?

Nejdřív jsme web přepnuli do bezpečného režimu a vytvořili kompletní zálohu. Potom jsme zkontrolovali logy serveru, porovnali soubory WordPressu s originální verzí, prošli databázi a ověřili všechny pluginy i šablony.

Nejtěžší bylo najít všechna zadní vrátka, která si útočník nechal otevřená. Nemůže to skončit jen odstraněním viditelného problému. Stačí, aby na webu zůstal jediný škodlivý soubor, a celý útok se může po čase opakovat.

Jaké konkrétní kroky je potřeba při nápravě udělat a kolik to zabere času?

Takové čištění zabere i hodiny a potom se musí ještě zkontrolovat všechny funkce webu a vykomunikovat s Googlem odstranění jeho bezpečnostního upozornění.

Aby se situace neopakovala, nastavili jsme pravidelné aktualizace pod kontrolou správce, pravidelné zálohování, monitoring změn na webu, silnější zabezpečení přihlášení a odstranili jsme všechny už nepodporované pluginy.

Jaký je finanční dopad takové nepříjemnosti?

Dochází ke ztrátě objednávek, protože jakmile na webu něco nefunguje – ať už je to poptávkový formulář, nebo rezervační systém – člověk ve vteřině odchází ke konkurenci. Situaci zhorší i to, že vyhledávače napadený web pravděpodobně odsunou níž ve výsledcích vyhledávání. Trvá to pak i měsíce, než se dokáže vyšplhat zpátky.

Dopady jsou tedy různé, ale vždycky se víc vyplatí investovat do pravidelné správy než do krizového řešení. Správa totiž stojí jen zlomek.

Máme případ, kdy jsme problém odhalili ještě dřív než klient?

Máme. Při pravidelné kontrole jsme objevili plugin, u kterého byla zveřejněna kritická bezpečnostní chyba. Ještě ten den jsme ho aktualizovali a ověřili funkčnost webu. Klient se o incidentu dozvěděl, až když bylo nebezpečí zažehnáno.

• Mohlo by vás zajímat! Výhody WordPressu a řešení běžných chyb: Zkušenosti z praxe

Prevence a zase ta prevence

Co by měl splňovat bezpečně spravovaný WordPress web?

Bezpečný web je hlavně pravidelně aktualizovaný. Měl by mít taky kvalitní hosting, pravidelné zálohy, ověřené pluginy, správně nastavená oprávnění uživatelů a průběžnou kontrolu bezpečnostních rizik. Důležité je sledovat, jestli všechny funkce webu po každé změně fungují správně.

Co automatické aktualizace? Jsou tak skvělým řešením, jak to vypadá?

Automatická aktualizace sice zní jednoduše, ale může způsobit víc škody než užitku. Nová verze pluginu nemusí být kompatibilní se šablonou nebo jinými doplňky. Když ji provedeme bez kontroly, může přestat fungovat objednávkový formulář, košík nebo jiná důležitá část webu a klient si toho často všimne až ve chvíli, kdy přichází o zákazníky. A to je pozdě.

Před každou větší aktualizací proto vytváříme kompletní zálohu webu. Sledujeme také informace od vývojářů pluginů, kompatibilitu s aktuální verzí WordPressu a po aktualizaci kontrolujeme nejdůležitější funkce webu. Když se objeví problém, dá se rychle vrátit k předchozí, zálohované verzi.

Konečně dochází na oblíbené téma – zálohy…

To je taky úplný základ! Ani sebelepší zabezpečení nikdy nezaručí, že se nic nestane. Může dojít k lidské chybě, selhání serveru nebo nečekanému konfliktu po aktualizaci. S kvalitní zálohou vyřešíme problém během krátké doby. Bez ní může obnova webu trvat dny, dokonce i týdny.

Co se frekvence zálohování týče, záleží na tom, jak často se web mění. U běžných firemních prezentací většinou stačí pravidelná týdenní záloha. U e-shopů nebo webů, kde přibývají objednávky každý den, je lepší zálohovat denně. Čím cennější jsou data na webu, tím spíš by se na zálohy mělo dbát. A taky je potřeba každou zálohu ověřit, jestli je opravdu použitelná.

Co by měla zahrnovat pravidelná bezpečnostní kontrola webu?

Laik by si mohl myslet, že se stačí podívat, jestli web funguje. Přitom je toho podstatně víc:

Jedině tak se dá problém odhalit dřív, než začne ovlivňovat návštěvníky.

Jsou nějaké na první pohled podezřelé aktivity, u kterých je potřeba opravdu zbystřit?

Podezřelé bývá například vytváření nových administrátorských účtů, změny systémových souborů, neobvyklé přihlašování, opakované pokusy o prolomení hesla nebo náhlý nárůst chyb na webu. Stejně důležité je sledovat, jestli se na webu neobjevují nové stránky nebo soubory, které tam nikdo nevytvořil.

Co ještě by se dalo doporučit jako preventivní opatření?

Tak třeba přiřazovat uživateli jen taková oprávnění, která opravdu potřebuje. Administrátorský účet by nikdo neměl mít zbytečně a je taky nutné ho dobře zabezpečit – nepoužívat výchozí uživatelská jména, volit silná hesla a dávat si práci s dvoufázovým ověřováním.

Když má klient pocit, že je něco v nepořádku, co by měl udělat?

V první řadě nepanikařit. Nejlepší je okamžitě kontaktovat správce webu, nic svévolně nemazat a nepokoušet se problém řešit metodou pokus–omyl. Každý nepromyšlený zásah může hledání příčiny ztížit a rozsah škody zvýšit.

Řešením je Mini Security Update správa

Těch činností, které by měl člověk dělat, když má web, je spousta. A to jsme jen u bezpečnosti. Dá se to stíhat?

Je to hodně náročné. A taky je lepší nechat to na odbornících, kteří opravdu vědí, co dělají. Proto v Aiře nabízíme Mini Security Update správu, která snižuje klientovu nejistotu ohledně webu. Nemusí totiž sledovat nové verze pluginů, řešit kompatibilitu ani přemýšlet, jestli je vhodná chvíle na aktualizaci. O web se pravidelně staráme a případné problémy odhalíme dřív, než se to začne podepisovat na klientově podnikání.

Služba je vhodná pro všechny, kdo používají WordPress a nechtějí řešit technickou správu sami. Nejčastěji ji využívají menší firmy, živnostníci, firemní prezentace nebo menší e-shopy.

Co všechno může klient od Mini Security Update správy čekat?

Mini Security Update správa zahrnuje pravidelné aktualizace, bezpečnostní kontrolu, zálohování a ověření funkčnosti webu. Kromě toho se snažíme problémy řešit co nejrychleji a o všem podstatném pak klienta průběžně informujeme.

Ten si může být jistý, že se o jeho web staráme tak, aby byl bezpečný, spolehlivý a on se mohl věnovat svému podnikání místo zdlouhavého řešení technických problémů.

Jaký je rozdíl mezi Mini Security Update správou a komplexní správou webu?

Mini Security Update správa řeší hlavně bezpečnost a technický stav webu. Komplexní správa zahrnuje i úpravy obsahu, vývoj nových funkcí, optimalizaci výkonu, UX, SEO, analytiku, marketingové nástroje nebo průběžný rozvoj celého projektu. A rozdíl je samozřejmě i ve finanční zátěži pro klienta.

Už se stalo, že jsme díky Mini Security Update správě předešli většímu problému?

Ano, při jedné pravidelné kontrole jsme zachytili kritickou zranitelnost u pluginu, který klient běžně používal. Ještě předtím, než došlo k jeho zneužití, jsme plugin aktualizovali a ověřili funkčnost celého webu. Požár jsme tak uhasili dřív, než stihl napáchat škody.

• Mohlo by vás zajímat! Správa webových stránek: 6 nejčastějších chyb

Proč bezpečnost webu na WordPressu řešit s námi

Z rozhovoru s odborníkem jste si nejspíš už udělali obrázek o tom, jak důležité je dbát na bezpečnost webu, i o tom, že to může být časově náročné a je potřeba o problematice něco vědět. Proč s tím oslovit nás?