Miksi WordPressin tietoturva on tärkeää?
WordPress on maailman suosituin sisällönhallintajärjestelmä (CMS), mikä tekee siitä myös houkuttelevan kohteen hakkereille. Arviolta yli 40 % kaikista verkkosivustoista käyttää WordPressiä, mikä tarkoittaa, että mahdollinen hyökkäyspinta on valtava. Tietoturvan laiminlyönti voi johtaa tietomurtoihin, palvelunestohyökkäyksiin tai jopa koko sivuston haltuunottoon.
Ylläpitäjän vastuulla on huolehtia siitä, että sivusto pysyy turvassa hyökkäyksiltä. Tämä artikkeli tarjoaa kattavan katsauksen keinoista, joilla voit parantaa WordPress-sivustosi turvallisuutta ja suojautua hakkereilta.
Päivitä WordPress, teemat ja lisäosat säännöllisesti
Yksi yleisimmistä syistä siihen, että WordPress-sivusto hakkeroidaan, on vanhentunut ohjelmisto. Kehittäjät korjaavat säännöllisesti tietoturva-aukkoja, ja näiden päivitysten asentamatta jättäminen altistaa sivuston hyökkäyksille.
Varmista, että:
-
WordPressin ydin on aina ajan tasalla
-
Käytetyt teemat ja lisäosat ovat päivitetty
-
Poistat kaikki tarpeettomat tai käyttämättömät lisäosat ja teemat
Voit tarkistaa päivitykset helposti WordPressin hallintapaneelin kohdasta ”Päivitykset”. Halutessasi voit ottaa käyttöön myös automaattiset päivitykset, mutta ne on hyvä testata ensin esimerkiksi kehitysympäristössä.
Käytä vahvoja salasanoja ja kaksivaiheista tunnistautumista
Yksi yksinkertaisimmista mutta tehokkaimmista suojautumiskeinoista on käyttää vahvoja salasanoja ja ottaa käyttöön kaksivaiheinen tunnistautuminen (2FA). Moni hyökkäys perustuu niin sanottuun ”brute force” -menetelmään, jossa yritetään arvata salasanoja automaattisesti.
Hyvä salasana:
-
Sisältää vähintään 12 merkkiä
-
Käyttää isoja ja pieniä kirjaimia, numeroita sekä erikoismerkkejä
-
On yksilöllinen eikä käytössä muualla
Voit ottaa kaksivaiheisen tunnistautumisen käyttöön lisäosien, kuten Wordfence tai WP 2FA, avulla.
Rajoita kirjautumisyrityksiä ja piilota kirjautumissivu
Oletusarvoinen kirjautumissivu (/wp-login.php) on kaikille tiedossa, ja sitä vastaan tehdään jatkuvasti automaattisia hyökkäyksiä. Voit vähentää riskiä seuraavilla toimenpiteillä:
-
Käytä lisäosaa, kuten Limit Login Attempts Reloaded, joka estää IP-osoitteet useiden epäonnistuneiden kirjautumisyritysten jälkeen
-
Vaihda kirjautumissivun osoite esimerkiksi lisäosalla WPS Hide Login
-
Käytä palomuuria, joka estää epäilyttävät IP-osoitteet automaattisesti
Nämä toimenpiteet eivät yksinään estä hyökkäyksiä, mutta ne hidastavat ja vaikeuttavat niitä merkittävästi.
Suojaa wp-config.php ja muut tärkeät tiedostot
WordPressin asetustiedosto wp-config.php sisältää kriittisiä tietoja, kuten tietokantayhteyksiä ja salausavaimia. Sen suojaaminen on ensiarvoisen tärkeää.
Voit suojata sen esimerkiksi lisäämällä seuraavan koodin .htaccess-tiedostoon:
Vastaavasti voit estää hakemistojen selaamisen ja suojata .htaccess-tiedoston itse, jolloin hyökkääjä ei saa näkyviin hakemistorakennetta.
Varmuuskopioi säännöllisesti
Varmuuskopiot eivät estä hyökkäyksiä, mutta ne mahdollistavat nopean palautuksen vahingon sattuessa. Varmista, että varmuuskopiot:
-
Otetaan automaattisesti
-
Säilytetään turvallisessa paikassa (ei samassa palvelimessa kuin sivusto)
-
Sisältävät tietokannan, mediatiedostot ja WordPress-tiedostot
Hyviä varmuuskopiointilisäosia ovat mm. UpdraftPlus ja BackupBuddy.
Asenna palomuuri ja haittaohjelmaskanneri
Sivuston suojaaminen vaatii aktiivista valvontaa. Palomuurit ja haittaohjelmaskannerit estävät epäilyttävän liikenteen ja tarkistavat tiedostoja mahdollisten muutosten varalta.
Suositeltuja työkaluja:
-
Wordfence Security – yhdistää palomuurin, skannerin ja kirjautumisen suojauksen
-
Sucuri Security – tarjoaa laajemman suojauksen myös palvelintasolla
-
iThemes Security – sisältää useita eri suojatoimintoja yhdessä paketissa
Palomuurien avulla voidaan estää esimerkiksi tunnetut haitalliset IP-osoitteet, automaattiset botit ja SQL-injektiot.
Rajoita käyttäjien oikeuksia
Kaikilla WordPressin käyttäjillä ei tarvitse olla samoja oikeuksia. Administrator-roolin käyttö vain tarpeen mukaan vähentää vahinkojen mahdollisuutta. Esimerkiksi sisällöntuottajille kannattaa antaa vain ”Editor” tai ”Author” -oikeudet.
Tarkista käyttäjäoikeudet säännöllisesti ja poista tarpeettomat käyttäjätilit.
Käytä SSL-salausta
SSL-varmenne (HTTPS) suojaa sivuston ja käyttäjän välistä liikennettä. Nykyään lähes kaikki webhotellit tarjoavat ilmaisen SSL-sertifikaatin (esim. Let’s Encrypt), ja se voidaan ottaa käyttöön helposti.
Sivuston osoitteen pitäisi aina alkaa https://, ja voit pakottaa tämän esimerkiksi lisäosalla Really Simple SSL tai määrittämällä sen manuaalisesti wp-config.php– ja .htaccess-tiedostoissa.
Seuraa sivuston lokitietoja
Lokitiedot auttavat havaitsemaan poikkeavuuksia. Jos joku yrittää kirjautua sisään kymmeniä kertoja tai muokkaa tiedostoja ilman lupaa, lokit kertovat siitä.
Hyviä lokityökaluja ovat:
-
WP Activity Log
-
Simple History
-
Sucuri Audit Logs
Näiden avulla voit palauttaa tapahtumaketjun esimerkiksi hyökkäyksen jälkeen.
Yhteenveto
WordPressin suojaaminen ei ole vaikeaa, mutta se vaatii jatkuvaa huomiota ja päivityksiä. Yhdistämällä tekniset suojakeinot, käyttäjien koulutuksen ja säännöllisen ylläpidon voit rakentaa turvallisen ja luotettavan verkkosivuston, joka kestää myös kehittyneet hyökkäykset.