A WordPress CMS (Content Management System) az egyik legelterjedtebb, legegyszerűbben kezelhető és személyre szabható weboldalmotor. Rengeteg ingyenes és prémium bővítmény és sablon található hozzá, amelyekkel akár kisvállalkozások és magánszemélyek is mélyebb webfejlesztési tudás nélkül, viszonylag rövid idő alatt és jelentősebb anyagi befektetés nélkül hozhatnak létre weboldalakat. Ez a rugalmasság azonban árnyoldallal is jár: a szabadon alakítható háttérrendszer számos biztonsági kockázatot rejt, ha nem kezeljük kellő szakértelemmel. A jó hír, hogy a leggyakoribb támadások többsége néhány tudatos, jól beállított óvintézkedéssel megelőzhető.

WordPress karbantartás és biztonság tippek

A WordPresst gyakran használják közép- és nagyvállalatok is. Tapasztalataink szerint azonban a biztonság és a karbantartás terén még nagyobb cégek és márkák weboldalain is gyakran találkozunk hiányosságokkal.

Legfontosabb WP biztonsági beállítások ellenőrzőlista

Az alábbi pontokban összeszedtük, melyek a legfontosabb szempontok és beállítások a biztonságos WordPress weboldal elkészítéséhez és weboldal karbantartásához.

  • Válassz megbízható tárhelyszolgáltatást
  • Kényszeríts HTTPS-t a teljes oldalon (érvényes SSL tanúsítvánnyal)
  • Állíts be naprakész PHP verziót (minimum PHP 8.3)
  • A rendszergazda fióknak nehezen feltörhető felhasználónév–jelszó kombinációt adj meg
  • Legyenek naprakészek a WordPress-, a sablon- (theme) és a bővítményverziók (plugin): rendszeresen frissítsd a weboldalon alkalmazott eszközöket
  • Telepíts megbízható bővítményeket extra biztonsági beállítások alkalmazásához (AIOS, WordFence)
  • Kapcsold be az e-mail értesítéseket fontos eseményekhez, pl. admin login
  • Állíts be kétfaktoros hitelesítést admin felhasználóknak, pl. WordFence segítségével
  • Űrlapok készítése során használj honeypot és CAPTCHA megoldásokat
  • Csak a szükséges jogosultságot add meg a felhasználóknak (ne legyen mindenki adminisztrátor)
  • Tiltsd le a felesleges belépési pontokat (pl. XML-RPC), ha nincs rájuk szükség
  • Készíts rendszeres biztonsági mentéseket

Alaptétel: Válassz megbízható tárhelyszolgáltatót

Az egyik legfontosabb szempont a biztonságos WordPress weboldal létrehozásánál a megfelelő tárhely választás. Hiába tökéletesek a weboldal beállításai és a megjelenése, ha olyan tárhelyen fut az oldal, amely rendszeres problémákkal küzd.

A Marketing21 által ajánlott belföldi tárhelyszolgáltatók pl. a DiMa és a Tárhely.eu, nemzetközi weboldalak esetén pedig pl. a Bluehost. A Cloudflare emellett CDN- és védelmi rétegként szinte bármelyik tárhely mellé hasznos kiegészítés. Ha nagyobb forgalmú, komoly online jelenléttel bíró vállalkozás weboldalát szeretnénk üzemeltetni, az általános tárhely helyett érdemes VPS szolgáltatást igényelni.

A VPS (Virtual Private Server) a megosztott (shared) tárhelyhez képest jelentősen nagyobb szabadságot és erőforrás-rugalmasságot kínál. Bár fizikailag továbbra is egy megosztott szerveren fut, a VPS elkülönített erőforrás-csomagot – dedikált CPU-magokat, RAM-ot, tárhelyet és hálózati sávszélességet – kap, amely kizárólag a te oldalad számára érhető el. Ennek köszönhetően mélyebben testre szabhatod a környezetet és a szerverkonfigurációt, a betöltési sebesség és a válaszidő pedig általában jobb, mint a megosztott tárhelyeken. Különösen nagy forgalom vagy összetettebb feldolgozást igénylő alkalmazások esetén.

A hátránya, hogy a VPS önálló üzemeltetést igényel: a rendszergazdai beállításokat, frissítéseket, biztonsági mentéseket, tűzfalat és egyéb védelmi intézkedéseket saját felelősségedre kell kezelned, vagy szakmai támogatást kell igénybe venned. Ezért a VPS-t akkor ajánljuk, ha van tapasztalatod a szerver adminisztrációban, vagy elérhető hozzá a szükséges szakértelem.

HTTPS és SSL tanúsítvány

Az SSL tanúsítvány titkosítja a böngésző és a szerver közti adatforgalmat, így a látogatók által beküldött adatok (pl. űrlapok, jelszavak, bankkártyaadatok) nem olvashatók le útközben. Ma már alapelvárás: a böngészők „nem biztonságos” figyelmeztetést jelenítenek meg a tanúsítvány nélküli oldalakon, és a Google is rangsorolási tényezőként veszi figyelembe a HTTPS használatát.

A legtöbb tárhely ma már ingyenes, automatikusan megújuló Let’s Encrypt tanúsítványt kínál, amit pár kattintással aktiválhatsz. A tanúsítvány megléte után fontos, hogy a teljes oldalt HTTPS-re kényszerítsd (a HTTP-s kérések átirányításával), különben párhuzamosan él a titkosított és a titkosítatlan változat. Erre a célra használhatsz tárhelyszintű átirányítást, a WordPressben pedig például a Really Simple Security (régebben Really Simple SSL) bővítményt, amely a kevert tartalom (mixed content) hibáit is rendezi.

Naprakész PHP verzió futtatása

A WordPress PHP alapokon működik: ez a programnyelv biztosítja a háttérrendszer (backend) működését. A PHP rendkívül elterjedt, rendszeresen frissülő nyelv. Éppen a népszerűsége miatt azonban támadók tömege keresi benne a biztonsági réseket és backdoor lehetőségeket, és az elavult verziókban találtak is már. Emiatt érdemes naprakész, a WordPress által is ajánlott PHP 8.3 vagy újabb verziót futtatni a tárhelyünkön.

Ugyanakkor érdemes odafigyelni arra is, hogy az egyes PHP verziók között nagy különbségek lehetnek: ha nagyon elavult verzión fut a weboldalunk (pl. PHP 5.6), egy frissítés következtében hibára futhatnak egyes funkciók, vagy akár az egész weboldal működésképtelenné válhat.

A PHP verzió módosítása előtt ezért mindenképp készíts biztonsági mentést a weboldalról!

Figyelj oda arra is, hogy bizonyos tárhelyfelületeken a PHP verzió módosításakor a hozzá tartozó kiegészítőket nem állítja be a rendszer automatikusan, hanem manuálisan kell hozzáadni őket. Az alábbi listával tudod ellenőrizni, mi az, ami mindenképp szükséges a WordPress működéséhez.

Alapvető működéshez szükséges PHP kiegészítők

  • curl – Külső API-k és frissítések letöltése (pl. bővítmények, témák)
  • dom – HTML/XML feldolgozás (pl. import/export funkciók)
  • exif – Képek metaadatainak olvasása (forgatás, feltöltéskor)
  • fileinfo – Fájltípus-ellenőrzés biztonsági okokból
  • hash – Biztonsági hash-ek és jelszókezelés
  • json – JSON adatkezelés (REST API, AJAX, Gutenberg)
  • mbstring – Multibyte karakterek kezelése (ékezetes betűk, UTF-8)
  • mysqli – MySQL adatbázis kapcsolat (WordPress alapja)
  • openssl – HTTPS kommunikáció, titkosítás
  • pcre – Reguláris kifejezések feldolgozása
  • xml – XML feldolgozás, RSS feedek kezelése
  • zip – ZIP fájlok kezelése (bővítmény/téma telepítés)

Erősen ajánlott kiegészítők

  • imagick vagy gd – Képfeldolgozás (méretezés, konvertálás)
  • intl – Nyelvi és dátumformátum-kezelés többnyelvű oldalaknál
  • iconv – Karakterkódolás átalakítás
  • soap – Bizonyos bővítmények API-kommunikációjához (pl. bankkártyás fizetések)
  • bcmath – Nagy számok pontos számítása (pl. pénzügyi bővítményeknél)

Megjegyzés: ha komplexebb buildert vagy bővítményt is alkalmazol a weboldalon (pl. Bricks Builder, Oxygen Builder, Elementor, Divi), érdemes ellenőrizned az adott eszköz dokumentációját is. Elképzelhető, hogy a megfelelő működéshez további PHP kiegészítőkre is szükség van.

Rendszergazda WordPress fiók biztonsági beállításai

A WordPress weboldal létrehozása első lépései között van a rendszergazda fiók felállítása. Itt pár alapvető dologra érdemes odafigyelni, amit extra eszköz nélkül beállíthatsz:

  • Figyelj arra, hogy mindenképp egyedi fióknevet adj meg (tehát ne az alapértelmezett „admin” felhasználónevet). Ez a leggyakoribb választás, ezért amikor botok próbálnak bejelentkezni a weboldalra, nagyon sokszor ezzel a felhasználónévvel adják le a bejelentkezési kérések tömegét.
  • Biztonságos admin e-mail címet adj meg: kizárólag olyat, amelyhez csak neked vagy megbízható személyeknek van hozzáférése. Ha elveszne például a bejelentkezési jelszavad, az admin e-mail cím segítségével tudod helyreállítani.
  • Adj meg nehezen feltörhető jelszót: legalább 12–16 karakter hosszút, kis- és nagybetűk, számok és speciális karakterek keverékével. Biztonságos jelszó generálásában segíthet a böngésződ beépített jelszókezelője (pl. Chrome esetében), vagy egy megbízható jelszókezelő, például a Bitwarden ingyenes jelszógeneráló eszköze.
  • Állíts be „Becenevet” a fiókodnak, és legyen az a megjelenítési név. Ha ezt elvégzed, a weboldal sem a forráskódban, sem a felületen (pl. a bejegyzések és oldalak szerzőjeként) nem a valódi felhasználónevedet jeleníti meg, hanem a beállított becenevet. Így az admin felhasználóneved publikusan nem jelenik meg, és nem lesz könnyen kitalálható.
  • Csak annyi jogosultságot adj, amennyi a munkához kell. Egy szerkesztőnek vagy ügyfélnek ritkán van szüksége teljes adminisztrátori hozzáférésre – a WordPress beépített szerepkörei (Szerkesztő, Szerző, Közreműködő) erre valók. Így ha egy fiók adatai ki is szivárognak, a támadó nem fér hozzá a teljes rendszerhez.
  • Akadályozd meg a felhasználónév kiszivárgását. A becenév beállítása mellett érdemes letiltani a felhasználó-felsorolást (user enumeration) is: a WordPressben a /?author=1 vagy a REST API hívásokon keresztül a botok ki tudják deríteni a valódi bejelentkezési neveket. Ezt a legtöbb biztonsági bővítmény (pl. AIOS, WordFence) vagy néhány soros egyedi kód letiltja.

Végezz rendszeres frissítéseket a WordPress és használt eszközökön

A WordPress rendszeres frissítéseket kap, hogy a CMS további funkciókkal bővüljön, ugyanakkor a frissítések fontos biztonsági javításokat és hibajavításokat (bugfixeket) is tartalmaznak. A WordPress mellett a sablonok és a bővítmények is rendszeresen frissülnek, mindezek frissítését legalább havi 1–2 alkalommal el kell végezni, ha naprakészen szeretnénk tartani a weboldalunk háttérrendszerét.

FONTOS! A frissítések elvégzése előtt viszont készíts mindenképp biztonsági mentést is. Sajnos előfordulhat, hogy egy frissítés következtében problémák jelennek meg a weboldalon, akár frontend, akár backend téren. Emiatt kell egy aktuális biztonsági mentés, amivel esetlegesen visszaállítható a weboldal, amíg megszületik a megoldás a problémára.

Azokat az eszközöket viszont, amelyeket a fejlesztőjük már nem frissít rendszeresen, vagy nagyon régen (pl. 1-2 éve) kaptak utoljára frissítést, nem ajánlott alkalmazni – ezek biztonsági kockázatot jelentenek.

Tipp: nagyobb vagy üzletileg kritikus oldalaknál érdemes a frissítéseket először egy különálló teszt- (staging) környezetben kipróbálni, és csak akkor átvezetni az éles oldalra, ha minden rendben működik. Sok tárhely egy kattintással létrehoz ilyen másolatot. Ez különösen ott fizetődik ki, ahol egy hibás frissítés akár pár perces leállása is bevételkiesést jelent (pl. webshopok).

Limitáld a bővítmények használatát

Amennyire csak lehet, érdemes korlátozni a bővítmények mennyiségét a weboldalon.

Minél többet alkalmazunk, annál nagyobb a kockázata annak, hogy olyan is bekerül, amelynek nem megbízható a fejlesztője. A nagy mennyiségű bővítmény ráadásul nemcsak biztonsági téren, hanem a weboldal mindennapi működésében is gondot okozhat.

  • Pl. két hasonló funkcióval rendelkező plugin könnyen összeakadhat működésben. (Sebességoptimalizáló, cache pluginok esetében ez gyakori)
  • Betöltési sebességet is lassítja minden fölöslegesen lefutó kód.

A nem biztonságos bővítményeket úgy szűrheted ki, hogy utánanézel az értékeléseiknek, az aktív telepítéseik számának, annak, hogy mikor frissítették őket utoljára, továbbá a róluk megjelent cikkeknek. A rossz értékelések egyértelmű választ adnak: az adott bővítményt nem érdemes alkalmazni. Emellett minél kevesebb információ található egy bővítményről, annál kevésbé ajánlott a használata.

Amennyire szakmai ismereteid vagy büdzséd engedi, érdemes saját vagy megbízható fejlesztő által írt egyedi kódokat alkalmazni az egyszerűbb funkciók hozzáadása esetén (pl. slider készítése, egyedi galéria létrehozása), új plugin telepítés helyett.

Fontos tudni azt is, hogy a csak kikapcsolt (deaktivált) bővítmények és sablonok fájljai továbbra is ott vannak a tárhelyen, így biztonsági rést jelenthetnek. Amit tartósan nem használsz, azt ne csak kapcsold ki, hanem töröld is.

Extra biztonsági beállítások

Az eddig felsoroltak mind szükségesek a naprakész, biztonságos WordPress weboldal üzemeltetéséhez, viszont nagyobb forgalmú weboldalak esetén gyakran több, mélyebb megoldásra van szükség.

A Marketing21 az alábbi biztonsági bővítményeket használja és ajánlja: AIOS (All-in-One WP Security), WordFence, valamint ASE (Admin and Site Enhancements).

Ezek a bővítmények sok átfedéssel rendelkeznek, tehát ugyanaz a funkció akár kettőben vagy mindegyikben is megtalálható. A tapasztalatunk azonban az, hogy megfelelő beállítás mellett egymással párhuzamosan is jól működnek. (Természetesen az ugyanazt a célt szolgáló funkciókat kizárólag az egyikben érdemes bekapcsolni.) Projekttől függően tehát alkalmazható akár csak az egyik közülük, akár mindegyik egyszerre, anélkül, hogy a weboldalon gond jelentkezne, vagy az oldal belassulna.

Az ASE (Admin and Site Enhancements) nem klasszikus biztonsági bővítmény, hanem egy sokoldalú kiegészítő, amely a kényelmi funkciók mellett több biztonsági beállítást is tartalmaz: többek között a bejelentkezési oldal átnevezését, a bejelentkezési kísérletek korlátozását és az XML-RPC letiltását. Kisebb oldalakon akár több egyfunkciós bővítményt is kiválthat.

AIOS

Az All-in-One WP Security, ahogy a neve is sugallja, több fontos biztonsági beállítást kombinál. Pontozási rendszere segít átlátni, mennyire biztonságos a weboldal: mi az, ami már be van állítva, és mi az, ami még nem. Ugyanakkor nem a maximális pontszámra kell törekedni, hanem arra, hogy a lehető legerősebb biztonsági beállításokat adjuk meg úgy, hogy közben a weboldal ne veszítsen a funkcióiból.

Kiemelt biztonsági opciók

  • Admin Username: Ellenőrzi, hogy megfelelően állítottad-e be a rendszergazda felhasználót.
  • Login Lockout: Segít a brute force támadások megállításában – bizonyos számú próbálkozás felett (pl. 5) egy időre kitilthatjuk a próbálkozót. Ez a botok ellen nagyon hasznos.
  • File Permission: Ellenőrzi a tárhelyen a mappa- és fájl jogosultságokat, és segít a megfelelő beállítások megadásában, hogy illetéktelenek ne férjenek hozzá a tárhelyen lévő mappák tartalmához. A szokásos ajánlás: a mappák jogosultsága 755, a fájloké 644, a wp-config.php pedig 600 vagy 640 legyen.
  • Basic Firewall: Tűzfal, amely segít kiszűrni a weboldal elleni támadásokat.
  • PHP File Editing: Letiltja a WordPress vezérlőpultjába épített kód-szerkesztőt, így egy esetlegesen feltört adminfiókból sem lehet közvetlenül módosítani a téma- és bővítményfájlokat. Ugyanezt a wp-config.php fájlban a define('DISALLOW_FILE_EDIT', true); sorral is beállíthatod.
  • Renamed Login Page: Beállíthatod, hogy más legyen a WP bejelentkezési hivatkozás az oldaladon, az alapvető /wp-login.php helyett. Ez nagyon hasznos, ha el akarod rejteni a botok elől a bejelentkezési oldalt és kizárólag weboldal szerkesztőknek biztosítasz hozzáférést. (Pl. webshop esetén viszont szükséges a felhasználói felület használata, így ott nincs különösebb haszna elrejteni a bejelentkezési hivatkozást)
  • Hidden WP meta info: Elrejtheted a WordPress rendszerrel kapcsolatos publikus információkat a weboldaladról, amik elsősorban a forráskódban jelennek meg. Így kevesebb információt adsz a botoknak.

WordFence

A WordFence plugint gyakran azért használjuk és ajánljuk az AIOS mellett, mert olyan biztonsági eszközökkel rendelkezik, ami rendkívül jól kiegészíti az AIOS beállításait.

WordPress vírusirtás a WordFence segítségével

A WordFence nemcsak megelőzésre szolgál: gyakran a víruskeresésben is rendkívül hasznos. Beépített fájlszkennerrel rendelkezik, amely ellenőrzi a WordPress és a weboldalon használt eszközök forráskódját, és összeveti a hivatalosan kiadott verziókkal. Így kiszűrhetők a módosított vagy esetlegesen fertőzött fájlok, amelyeket ezután törölhetünk vagy javíthatunk (pl. a WordPress alapfájlok újratelepítésével).

A víruskeresés és -irtás azonban nem egyszerű terület: bizonyos vírusokat a WordFence segítségével egyszerű eltávolítani, másokat viszont mélyebb szakértelemmel is rendkívül nehéz – például amikor a fertőzés a weboldal összes kódfájlját és az adatbázist is érinti. Tehát a WordFence víruskeresése sem jelent minden esetben biztos megoldást; többek között ezért is érdemes rendszeres biztonsági mentést készíteni.

A fájlszkennelést rendszeresre is beállíthatjuk (pl. heti gyakorisággal), és e-mail értesítést is kérhetünk az eredményéről. Amennyiben ez az opció be van állítva, időben értesülünk a gondról, és a probléma még csírájában megoldható. Mindezt az ingyenes verzióban is meg tudjuk tenni, nem szükséges hozzá előfizetés.

További hasznos WordFence biztonsági funkciók

Email notification: Értesítés a fontos eseményekről a szkennelés eredménye mellett, pl. admin bejelentkezésről.

Így időben tudomást szerezhetünk arról, ha olyasvalaki fért hozzá a weboldalhoz, akinek nem adtunk hozzáférést, továbbá arról is, hogy mikor és milyen IP-címről történt a belépés.

Tűzfal: AIOS-hez hasonlóan a WordFence is rendelkezik tűzfallal. A kettő nem üti egymást, mindkettő működhet egyszerre, de ha csak az egyik be van állítva, már az megfelelő védelem.

Rate limiting: Ezzel limitálhatjuk, hogy egy felhasználó hány tevékenységet, pl. oldallekérést végezhet bizonyos idősávban. Ez elsősorban a botok kiszűrésére lehet alkalmas. Az alapvető beállítások is megfelelőek lehetnek itt. Túl szigorú beállítás viszont akadályozhatja a felhasználókat vagy a pozitív botokat, pl. Google Crawler, ami a Google keresőben való megjelenéshez térképezi fel a weboldalt.

Allowlisted URLs: Ezzel kizárhatjuk azokat a hivatkozásokat a tűzfal vizsgálata alól, amik a működéshez szükségesek, pl. login page.

Tipp: Vírusos weboldal esetében előfordul, hogy ezt az opciót használják ki és engedélyezett oldalra raknak egy olyan titkos aloldalt, amit backdoorként hoztak létre. Fertőzés esetén ezért a szkenner futtatása mellett ezt a listát is érdemes ellenőrizni: nincs-e itt olyan URL megadva, amelyet nem mi vettünk fel.

Kétfaktoros hitelesítés beállítása a WordFence segítségével

Abban, hogy az admin fiókok maximálisan biztonságosak legyenek, vagyis a weboldal akkor se legyen feltörhető, ha valahogy kikerülnek a bejelentkezési adatok: a kétfaktoros hitelesítés segíthet.

Mi a kétfaktoros hitelesítés? (2FA)

A kétfaktoros hitelesítés egy extra biztonsági réteg, amely a jelszó mellett egy második azonosítási módszert is kér. Ez lehet például egy egyszer használatos kód, amit mobilalkalmazás, pl. a Google Authenticator generál. Így, még ha valaki megszerzi a jelszavadat, a fiókodhoz való hozzáféréshez a második kódra is szüksége lesz.

A WordFence-ben szerepkörtől függően beállítható a kötelező kétfaktoros hitelesítés. Ahhoz, hogy a rendszer ne zárja ki azonnal az érintett felhasználókat, türelmi időt adhatunk meg, amelyen belül el kell végezniük a beállítást.

A kétfaktoros hitelesítés beállításához szükséges lesz egy hitelesítő alkalmazás a telefonodon, mi a Google Authenticator-t javasoljuk erre a célra.

Fontos, hogy ha nem a Google megoldását alkalmazzuk, akkor is megbízható alternatívát keressünk (pl. Microsoft Authenticator)! Kevésbé megbízható szolgáltatók esetén ugyanis nagyobb az esély az adatszivárgásra.

Amennyiben már telepítve van ilyen alkalmazás a mobilodon, a WordFence-ben elindíthatod a kétfaktoros hitelesítés kötelezővé tételét.

Ezt a WordFence > Login Security > Settings beállításban találod.

Itt módosítható, hogy mely szerepköröknek legyen kötelező a hitelesítés, és mennyi türelmi idővel (grace period). Amint kötelezővé tetted, végezd el a beállítást a saját fiókodban is: a hitelesítő alkalmazásban válaszd az új fiók hozzáadását, majd a QR-kód beolvasásával tudod párosítani. Ha ez megtörtént, az alkalmazásban kapott kód megadásával tudod véglegesíteni a hitelesítés beállítását.

Spamszűrés az űrlapokban

A spamkitöltések ugyan nem tartoznak szorosan a klasszikus biztonsági problémák közé, mégis érdemes foglalkozni velük. Egyrészt bosszantóak a botok által küldött álajánlatok és üzenetek, másrészt veszélyt is jelenthetnek az azokat olvasó kollégákra: gyakran kártékony hivatkozásokat tartalmaznak, amelyekre nem szabad rákattintani.

Ezek kiszűrésében segítenek a honeypot és a CAPTCHA megoldások.

Ezek a védelmek az űrlapok készítésekor vagy utólagos szerkesztéssel is hozzáadhatók: a legtöbb űrlapkészítő eszköz (pl. Contact Form 7, WPForms, Forminator) rendelkezik beépített honeypot és CAPTCHA funkcióval, ezeket azonban aktiválni kell a működéshez.

Mi a honeypot?

A honeypot egy láthatatlan, emberek számára kitöltésre nem szánt mező az űrlapban. A valódi felhasználók nem látják, de a spamrobotok gyakran automatikusan kitöltik, így a rendszer könnyen felismeri és kiszűri a nem kívánt beküldéseket.

Mi az a CAPTCHA?

A CAPTCHA egy biztonsági teszt, amely megkülönbözteti az embereket a robotoktól, például képfelismerés, betűk/ számok beírása vagy egyszerű feladatok segítségével. Célja, hogy a spamrobotok ne tudják automatikusan beküldeni az űrlapokat.

Népszerű CAPTCHA megoldások:

Adatvédelmi szempont: a Google reCAPTCHA adatokat továbbít a Google szervereire, ezért EU-s (magyar) oldalaknál érdemes a süti-/adatkezelési tájékoztatóban feltüntetni, vagy egy adatvédelmi szempontból barátságosabb alternatívát (pl. hCaptcha, Friendly Captcha) választani. Sok esetben már a honeypot önmagában is jelentősen csökkenti a spamet, külső szolgáltató bevonása nélkül.

Tiltsd le a felesleges belépési pontokat

A WordPress alapból több olyan belépési pontot is kínál, amelyre a legtöbb weboldalnak nincs szüksége. Ilyen például az XML-RPC (a /xmlrpc.php fájl): ez egy régebbi távoli elérési felület, amelyet ma már főként botok használnak brute force támadásokhoz és a szerver terhelésére. Ha nem használsz olyan szolgáltatást, amelynek szüksége van rá (pl. a Jetpack egyes funkciói vagy régebbi mobilalkalmazások), érdemes letiltani: ezt a legtöbb biztonsági bővítmény (pl. AIOS, ASE) egyetlen kapcsolóval elintézi.

Tipp haladóknak: a védelmi szintet tovább emelheted a biztonsági HTTP-fejlécek beállításával (pl. X-Frame-Options, Content-Security-Policy), a könyvtárlistázás (directory listing) kikapcsolásával, valamint új telepítésnél, az alapértelmezett wp_ adatbázis-táblaelőtag megváltoztatásával. Ezek nem kötelező lépések, de tovább szűkítik a támadási felületet.

Készíts rendszeres biztonsági mentéseket!

Még ha úgy tűnik is, hogy mindent tökéletesen csinálunk, idővel akkor is felmerülhetnek problémák. A WordPress használatakor egy kész rendszert kapunk, amelynek – még ha rengeteg egyedi kódot írunk is hozzá – nem látjuk át minden szegletét. Az, hogy a weboldal jelenleg megfelelően működik, nem garantálja, hogy 1 hét, 1 hónap vagy 1 év múlva is így lesz. Van, amikor egy frissítés okoz gondot, van, amikor egy újonnan telepített eszköz, és van, amikor gondatlanság miatt vírusos lesz vagy feltörik az oldalt. Ilyen esetekben előfordul, hogy kisebb utánajárással, befektetett munkával gyorsan meg tudjuk oldani a problémát. Extrém esetben viszont sajnos helyrehozhatatlan a helyzet, ilyenkor elengedhetetlen a biztonsági mentés.

Biztonsági mentést a tárhelyünkön is beállíthatunk az egész tárhelyre vonatkozóan, pl. cPanelben a beépített Backup eszközzel, JetBackuppal, vagy a tárhelyszolgáltató saját mentési megoldásával.

Ezen felül magáról a WordPress rendszerről, eszközökről, feltöltött fájlokról is készíthetünk egy tömörített biztonsági mentést, az alábbi pluginok segítségével:

  • Duplicator: Ingyenes és prémium verzióval is rendelkező plugin. Manuális mentésre, visszaállításra az ingyenes verzió is elegendő. Rendszeres automatizált mentésre viszont prémium előfizetésre van szükség, továbbá a mentések tárolásához egy választott tárhelyre, amit hozzáköthetünk. (Pl. Drive, Dropbox, FTP)
  • All-In-One-WP-Migration: Az ingyenes verzió max. 512 MB-ig használható visszaállításra.
  • UpdraftPlus: Az egyik legnépszerűbb mentési bővítmény. Már az ingyenes verzióban is beállítható ütemezett, automatikus mentés és a mentések feltöltése külső tárhelyre (pl. Google Drive, Dropbox).

Biztonsági mentés automatizálása

A biztonsági mentések elvégzése rengeteg időt vehet igénybe, ha manuálisan végezzük el. Főleg, ha több weboldalt is kezelünk egyszerre.

Ezért ajánlott a biztonsági mentéseket automatizálni. Így biztosra mehetünk: bármilyen felmerülő probléma esetén lesz egy közelmúltban, automatikusan elmentett, működő verziónk.

Ez megtehető mind tárhely szinten, mind WordPress rendszerén belül kiegészítő eszközökkel.

Két fontos alapelv a mentéseknél:

  1. A mentést mindig tárold az éles oldaltól elkülönítve is, egy külső helyen (pl. felhő, FTP). Ha ugyanazon a szerveren van, ahol a weboldal, egy feltörés vagy szerverhiba a mentést is magával viheti.
  2. Időnként ellenőrizd, hogy a mentés valóban visszaállítható-e. A leggyakoribb hiba, hogy a mentés évekig fut, de épp baj esetén derül ki, hogy sérült vagy hiányos. Egy soha ki nem próbált mentés csak reménykedés, nem védelem.

Rendszeres karbantartás a biztonságon túl

A cikk fókusza a biztonság, de a karbantartás ennél tágabb fogalom: a rendszeresen gondozott weboldal nemcsak biztonságosabb, hanem gyorsabb és megbízhatóbb is. 

Havi rutinként érdemes elvégezni az alábbiakat is:

  • Frissítések futtatása: A WordPress, a sablon és a bővítmények frissítése havi 1–2 alkalommal, ahogy fentebb részleteztük, minden esetben friss biztonsági mentéssel indítva.
  • Adatbázis-karbantartás: A bejegyzésrevíziók, a lejárt tranziensek és a spam hozzászólások idővel felduzzasztják az adatbázist. Egy erre szolgáló eszközzel (pl. WP-Optimize) rendszeresen karcsún tartható.
  • Nem használt bővítmények és sablonok törlése: Ahogy fentebb említettük, a csak kikapcsolt eszközök is biztonsági rést jelenthetnek, és feleslegesen foglalják a helyet.
  • Törött hivatkozások és 404-es oldalak ellenőrzése: A hibás linkek rontják a felhasználói élményt és a SEO-t is.
  • Biztonsági szkennelés eredményeinek átnézése: Ha beállítottad a WordFence rendszeres fájlszkennelését és az e-mail értesítést, havonta szánj pár percet a riportok átnézésére. Így egy esetleges fertőzés még csírájában kiderül, amikor a megoldása is jóval egyszerűbb.
  • Rendelkezésre állás figyelése: Egy ingyenes uptime monitoring szolgáltatással (pl. UptimeRobot) azonnal értesítést kapsz, ha a weboldal elérhetetlenné válik – így nem a látogatóktól vagy az ügyfelektől értesülsz a leállásról.

Összefoglalás

A WordPress biztonsága nem egyetlen beállításon múlik, hanem rétegekből épül fel. A stabil alapot a megbízható tárhely és az érvényes SSL tanúsítvány (HTTPS) adja. Erre épül a naprakészen tartott rendszer: a megfelelő PHP verzió, valamint a WordPress, a sablonok és a bővítmények rendszeres frissítése – mindig előzetes biztonsági mentéssel. A következő réteg a hozzáférés védelme: egyedi felhasználónév, erős jelszó, kétfaktoros hitelesítés és a legkisebb szükséges jogosultság elve. Végül a biztonsági bővítmények (pl. AIOS, WordFence) és az űrlapok spamszűrése zárja a sort, kiegészülve a rendszeres karbantartási rutinnal.

A jó hír, hogy ezek nagy része egyszer beállítható, és onnantól lényegében magától dolgozik. A kulcs a rendszeresség és a tudatosság. A legfontosabb védőháló pedig minden körülmény között a működő, rendszeresen tesztelt biztonsági mentés: ez az, ami a legrosszabb esetben is visszahozza a weboldaladat. Ha ezek közül bármelyik lépés bizonytalanságot okoz, vagy nincs rá kapacitásod, érdemes szakértői támogatást igénybe venni. Egy megelőzött probléma mindig olcsóbb, mint egy feltört oldal helyreállítása.

Nincs időd a rendszeres karbantartásra?

A cikkben bemutatott beállításokat, frissítéseket és mentéseket el is végezzük helyetted. Ismerd meg a Marketing21 WordPress karbantartás szolgáltatását, és tartsd biztonságban a weboldalad úgy, hogy neked egy percet sem kell foglalkoznod vele!

Szerző: Fucsku Dávid, design team lead