![\"\"](\"https:\/\/hosterion.ro\/blog\/wp-content\/uploads\/2023\/04\/protejeaza-wordpress-de-hackeri.png\")
<\/figure>\n\n\n\n\n\n\n\nSunt \u00een industria de web hosting de peste 19 ani \u0219i aproape fiecare incident de securitate pe care l-am v\u0103zut s-a datorat faptului c\u0103 nu au fost luate una sau mai multe m\u0103suri din cele enumerate mai jos.<\/p>\n\n\n\n
Furnizorul t\u0103u de g\u0103zduire web are un rol major \u00een securitatea contului t\u0103u de g\u0103zduire WordPress<\/a> \u0219i e normal s\u0103 te adresezi lui c\u00e2nd apar probleme. Pe baza experien\u021bei mele, cu sute de servere fizice pe care le administr\u0103m \u0219i zeci de mii de site-uri g\u0103zduite, vulnerabilit\u0103\u021bile sunt rare la nivel de furnizor de servicii de g\u0103zduire. \u00cen 19 ani, nu am avut niciun server fizic sau virtual compromis la nivel de „root” (pe un sistem Linux, contul de administrator care acces la totul pe server, inclusiv la fiecare cont de g\u0103zduire). O singur\u0103 dat\u0103 am avut de-a face cu o vulnerabilitate \u00een software-ul sistemului de operare, ce permitea accesul dintr-un cont de g\u0103zduire \u00een altul de pe acela\u0219i server (serverul Web Apache a avut o vulnerabilitate legat\u0103 de symlink-uri). Acest lucru nu \u00eenseamn\u0103 \u00eens\u0103 c\u0103 nu este posibil ca un server s\u0103 fie compromis la nivel de sistem de operare. Acesta este un alt motiv pentru care avem mai jos pasul 5 (backup).<\/p>\n\n\n\n Dac\u0103 website-ul t\u0103u nu este actualizat, \u00eentrebarea nu este „dac\u0103” va fi „spart”, ci „c\u00e2nd” va fi spart. Bi\u021bii chiar se „\u00eenvechesc”. Noi vulnerabilit\u0103\u021bi software sunt descoperite tot timpul \u0219i nu e nevoie de o persoan\u0103 foarte inteligent\u0103 pentru a compromite un site. E nevoie \u00eens\u0103 de un programator experimentat pentru a descoperi o vulnerabilitate \u0219i pentru a scrie un script care ilustreaz\u0103 exploatarea acelei vulnerabilit\u0103\u021bi. De obicei, un developer responsabil nu va publica detaliile vulnerabilit\u0103\u021bii pe care a descoperit-o, ci va informa WordPress \u00eentr-un mesaj privat. Dup\u0103 ce WordPress public\u0103 o nou\u0103 versiune cu vulnerabilitatea eliminat\u0103, utilizatorii vor avea ocazia s\u0103 \u00ee\u0219i actualizeze instal\u0103rile, iar publicarea detaliilor vulnerabilit\u0103\u021bii este \u00eent\u00e2rziat\u0103 inten\u021bionat. C\u00e2teodat\u0103 informa\u021bii despre noua vulnerabilitate ajung s\u0103 fie publice mai devreme. Dac\u0103 nu \u00ee\u021bi actualizezi site-ul niciodat\u0103 (sau nu suficient de frecvent) \u00eent\u00e2rzierea \u00een publicarea detaliilor oricum nu te va ajuta.<\/p>\n\n\n\n Este suficient un utilizator mediocru de calculator \u0219i r\u0103u inten\u021bionat pentru a rula scriptul pe o instalare vulnerabil\u0103 de WordPress \u0219i site-ul va fi spart. Astfel de indivizi se numesc „script kiddies<\/a>„. Nu trebuie s\u0103 fii o \u021bint\u0103 \u0219i nu e\u0219ti \u00een siguran\u021b\u0103 doar pentru c\u0103 tu crezi c\u0103 nu e\u0219ti o \u021bint\u0103. Ace\u0219ti „script kiddies” scaneaz\u0103 automat internetul \u00een c\u0103utare de instal\u0103ri WordPress care au versiuni vulnerabile.<\/p>\n\n\n\n Dac\u0103 e\u0219ti proprietarul unei afaceri, nu te opri din investi\u021bia \u00een site-ul t\u0103u odat\u0103 ce acesta este construit \u0219i online. Angajeaz\u0103 un dezvoltator WordPress experimentat \u0219i solicit\u0103-i s\u0103 actualizeze periodic software-ul \u0219i s\u0103 verifice securitatea. Cere-i s\u0103 raporteze \u00een c\u00e2teva propozi\u021bii ce a f\u0103cut.<\/p>\n<\/blockquote>\n\n\n\n La fel cum trebuie s\u0103 actualizezi frecvent WordPress, trebuie s\u0103 actualizezi plugin-urile (modulele) \u0219i tema WordPress.<\/p>\n\n\n\n Nu este surprinz\u0103tor faptul c\u0103 site-urile sunt de cele mai multe ori sparte prin intermediul modulelor, si nu prin exploatarea vulnerabilit\u0103\u021bilor \u00een nucleul WordPress. Dup\u0103 at\u00e2\u021bia ani, a\u0219 spune c\u0103 securitatea platformei WordPress este destul de solid\u0103. Este greu s\u0103 ob\u021bii acela\u0219i nivel de securitate atunci c\u00e2nd adaugi tot felul de plugin-uri WordPress.<\/p>\n\n\n\n Limiteaz\u0103 num\u0103rul de plugin-uri pe care le utilizezi.<\/strong> Fii foarte selectiv c\u00e2nd adaugi \u00eenc\u0103 un plugin site-ului t\u0103u. Nu pot s\u0103 subliniez acest lucru suficient. Mai multe module externe nu doar \u00eencetinesc site-ul t\u0103u, dar ofer\u0103 \u0219i o suprafa\u021b\u0103 mai larg\u0103 de atac pentru ace\u0219ti script kiddies.<\/p>\n\n\n\n Aceasta nu este o metod\u0103 100% sigur\u0103, dar iat\u0103 regulile mele de baz\u0103 atunci c\u00e2nd aleg un plugin WordPress:<\/p>\n\n\n\n Dac\u0103 unele plugin-uri sau unele teme WordPress nu le folose\u0219ti, dezinstaleaz\u0103-le. Acestea sunt poten\u021biali vectori de atac.<\/p>\n\n\n\n \u0218ti\u021bi aceste lucruri, dar ce reprezint\u0103 o parol\u0103 puternic\u0103 \u0219i cum pute\u021bi s\u0103 v\u0103 aminti\u021bi o parol\u0103 complex\u0103?<\/p>\n\n\n\n Parola este cu at\u00e2t mai sigur\u0103 cu c\u00e2t este mai lung\u0103 \u0219i cu c\u00e2t exist\u0103 o varietate mai mare de caractere. Dar nu vrei s\u0103 \u00eencerci s\u0103 \u00ee\u021bi aminte\u0219ti o parol\u0103 precum „xe*(#DKHD3kh3”. Aici intervin aplica\u021biile de stocare \u0219i gestionare a parolelor. Ave\u021bi grij\u0103 \u00eens\u0103 la incidente de securitate<\/a> ale acestora.<\/p>\n\n\n\n Iat\u0103 trei op\u021biuni pentru tine:<\/p>\n\n\n\n Parola ta poate fi dezv\u0103luit\u0103 prin intermediul unui eveniment nefericit. Poate fi vorba de un e-mail de phishing, un virus, un laptop furat sau alte evenimente similare. Caut\u0103 \u0219i instaleaz\u0103 un plugin WordPress care ofer\u0103 autentificare \u00een doi pa\u0219i („two-factor authentication” sau „second-factor authentication”, prescurtate uneori 2FA sau SFA).<\/p>\n\n\n\n Folose\u0219ti parola contului t\u0103u de e-mail atunci c\u00e2nd te \u00eenregistrezi pentru a comanda ceva de pe un site web oarecare? O idee proast\u0103. Acel site web ar putea fi configurat s\u0103 stocheze parola ta \u00een text simplu \u0219i s\u0103 o afi\u0219eze unui administrator al site-ului. El ar putea s\u0103 \u00ee\u021bi citeasc\u0103 e-mailul chiar acum. Nu este frumos, e \u00eempotriva celor mai bune practici, dar se poate \u00eent\u00e2mpla \u0219i nu po\u021bi controla acest lucru. Nu utiliza aceea\u0219i parol\u0103 pe diferite site-uri web. Folose\u0219te \u00eentotdeauna parole unice sau autentificare prin Single Sign-on<\/a>.<\/strong><\/p>\n\n\n\n Stai o secund\u0103, ce leg\u0103tur\u0103 are laptopul sau PC-ul meu cu securitatea site-ului meu? Ei bine, dac\u0103 a\u0219 fi primit un b\u0103nu\u021b pentru fiecare virus care a infectat un PC pe care era salvat\u0103 parola de email\/FTP\/cPanel … Aceasta este o metod\u0103 comun\u0103 de atac. Asigur\u0103-te c\u0103 ai un antivirus actualizat, fii atent pe ce link-uri dai click \u0219i ia m\u0103suri \u00eempotriva phishing<\/a>-ului.<\/p>\n\n\n\n Am v\u0103zut urm\u0103toarea poveste de c\u00e2teva ori. Pierderile pot fi \u00een zona zecilor de mii de euro \u0219i rar sunt recuperate.<\/p>\n\n\n\n Atacatorul afl\u0103 parola ta de email sau cPanel. Poate s\u0103 o g\u0103seasc\u0103 prin intermediul unui virus pe PC-ul t\u0103u, prin \u00een\u0219el\u0103ciune cu un email de tip phishing sau pur \u0219i simplu ghicind-o, dac\u0103 ai o parol\u0103 slab\u0103. Apoi, atacatorul se autentific\u0103 \u00een contul t\u0103u \u0219i configureaz\u0103 email-ul t\u0103u s\u0103 trimit\u0103 copii la toate mesajele c\u0103tre un alt cont de email de\u021binut de el. Acesta observ\u0103 c\u0103 vorbe\u0219ti cu o companie din Italia despre achizi\u021bionarea unei excavatoare (de fapt, aceasta este o poveste adev\u0103rat\u0103). C\u00e2nd negocierile s-au terminat \u0219i e\u0219ti preg\u0103tit s\u0103 pl\u0103te\u0219ti, prime\u0219ti factura \u0219i faci plata. Dar tocmai ai pl\u0103tit atacatorul, nu v\u00e2nz\u0103torul real. Atacatorul, cunosc\u00e2nd tot ce s-a discutat, \u00ee\u021bi trimite prin email o factur\u0103 aparent legitim\u0103 de la o adres\u0103 de email aparent legitim\u0103 (de exemplu, numecompanie.contabilitate@gmail\/outlook). Fii atent la c\u00e2mpul „From” din email-uri, la link-uri \u0219i la numele proprietarului contului bancar. Altfel neglijen\u021ba te poate costa foarte mult!<\/p>\n\n\n\n E\u0219ti doar un om \u0219i tocmai ai fost \u00een\u0219elat de 50.000 \u20ac. A\u0219a c\u0103 suni oamenii de la compania de g\u0103zduire web \u0219i le spui c\u0103 au o problem\u0103 de securitate! Noi cercet\u0103m prin jurnale\/log-uri \u0219i reu\u0219im s\u0103 identific\u0103m \u00eentreaga secven\u021b\u0103 de evenimente: autentificarea reu\u0219it\u0103 \u00een cPanel de la o adres\u0103 IP \u0219i \u021bar\u0103 neobi\u0219nuit\u0103, email-uri cu copii la un cont de email gratuit suspect. Am raportat totul poli\u021biei \u0219i clientul nostru era optimist pentru c\u0103 ho\u021bii au fost prin\u0219i (nu a fost prima lor lovitur\u0103) \u0219i urmau s\u0103 recupereze banii. Sper c\u0103 au f\u0103cut-o dar, din p\u0103cate, acest deznod\u0103m\u00e2nt este destul de rar.<\/p>\n\n\n\n Dac\u0103 cineva cunoa\u0219te parola ta de email, FTP sau cPanel, site-ul t\u0103u este evident \u00een pericol.<\/p>\n\n\n\n Scurt\u0103 list\u0103 cu pa\u0219ii pentru a evita acest tip de \u00een\u0219el\u0103torie:<\/p>\n\n\n\n Pas suplimentar: cripteaz\u0103 stocarea sta\u021biei tale de lucru. Aceast\u0103 func\u021bionalitate este, de obicei, oferit\u0103 de sistemul de operare \u0219i ar trebui s\u0103 o activezi. De ce? Dac\u0103 \u00ee\u021bi pierzi laptopul sau acesta este furat, cineva poate s\u0103 \u00eel desfac\u0103 cu o \u0219urubelni\u021b\u0103, s\u0103 scoat\u0103 SSD-ul, s\u0103 \u00eel conecteze la un alt sistem \u0219i s\u0103 citeasc\u0103 toate datele tale. Nu este nevoie de parola ta local\u0103 pentru asta.<\/p>\n\n\n\n Exist\u0103 dou\u0103 tipuri de oameni: cei care fac backup \u0219i cei care vor face backup.<\/p>\n<\/blockquote>\n\n\n\n Dac\u0103 ai o afacere de suficient de mult timp, vei ajunge la un punct c\u00e2nd vei avea nevoie disperat\u0103 de acea copie de siguran\u021b\u0103 (sau „backup”). Zicala „speran\u021ba nu este o strategie” se aplic\u0103 foarte bine aici.<\/p>\n\n\n\n S\u0103 vedem \u00een ce situa\u021bii ai nevoie de o copie de siguran\u021b\u0103:<\/p>\n\n\n\n Exist\u0103 dou\u0103 tipuri de backup: backup-ul firmei de g\u0103zduire web \u0219i propriul t\u0103u backup, complet independent de furnizorul t\u0103u de g\u0103zduire. Asigur\u0103-te c\u0103 le ai pe am\u00e2ndou\u0103.<\/p>\n\n\n\n \u00cen primul r\u00e2nd, asigur\u0103-te c\u0103 opera\u021biunile de backup \u0219i restaurare sunt incluse \u00een abonamentul t\u0103u de g\u0103zduire. Unele companii percep taxe suplimentare pentru backup, iar acesta poate s\u0103 nu fie inclus \u00een abonamentul t\u0103u. Pune-\u021bi c\u00e2teva \u00eentreb\u0103ri. Furnizorul face backup? C\u00e2t de des? C\u00e2t timp \u00eel stocheaz\u0103? C\u00e2t timp dureaz\u0103 recuperarea datelor din backup? Percepe taxe suplimentare pentru recuperarea datelor din backup? F\u0103 un test. \u00centreab\u0103-\u021bi furnizorul de g\u0103zduire dac\u0103 \u00ee\u021bi poate oferi o arhiv\u0103 cu baza de date \u0219i fi\u0219ierele site-ului t\u0103u, de exemplu, de acum o lun\u0103.<\/p>\n\n\n\n Chiar \u0219i cei mai buni furnizori de g\u0103zduire web pot gre\u0219i. Nu spera c\u0103 abonamentul t\u0103u lunar de 5\u20ac va acoperi o pierdere de 10.000\u20ac \u00een costurile de dezvoltare a site-ului sau v\u00e2nz\u0103ri. Abonamentul de g\u0103zduire web nu este o asigurare pentru afacerea ta.<\/strong> Ai nevoie de un proces suplimentar \u0219i independent de backup. Preg\u0103te\u0219te-\u021bi planul de recuperare dup\u0103 dezastru („disaster recovery plan”), care s\u0103 \u00ee\u021bi permit\u0103 s\u0103 fii online \u00eentr-un timp scurt chiar dac\u0103 furnizorul t\u0103u are un downtime extins.<\/p>\n\n\n\n Testeaz\u0103 backup-ul.<\/strong> Testeaz\u0103 periodic scenariile de „disaster recovery”. Procesul lunar automat de backup poate fi un proces automat care nu func\u021bioneaz\u0103 corect f\u0103r\u0103 ca tu s\u0103 \u0219tii. Din p\u0103cate, am fost martor la astfel de situa\u021bii.<\/p>\n\n\n\n Nicio pagin\u0103 web disponibil\u0103 public nu este 100% sigur\u0103, altfel, companiile gigant, cu buzunare ad\u00e2nci, nu ar fi afectate de scurgeri a milioane de carduri de credit ale clien\u021bilor<\/a>. Dar cu aceste m\u0103suri de securitate e\u0219ti acoperit \u00een propor\u021bie de 94% (num\u0103rul vine dintr-o statistic\u0103 elaborat\u0103 bazat\u0103 pe \u021binerea degetului meu umed \u00een v\u00e2nt, totu\u0219i, vei fi mult mai bine dec\u00e2t multe site-uri web).<\/p>\n\n\n\n Sunt c\u00e2\u021biva pa\u0219i simpli pe care \u00eei po\u021bi implementa singur, f\u0103r\u0103 cuno\u0219tin\u021be tehnice aprofundate. Pentru a merge mai departe, trebuie s\u0103 discu\u021bi cu o companie specializat\u0103 \u00een securitatea IT. Atacurile mai elaborate pot viza \u00een mod specific compania ta \u0219i implic\u0103 de obicei ingineria social\u0103<\/a>. Ar trebui s\u0103 fii \u00een liga celor cu buzunare ad\u00e2nci p\u00e2n\u0103 atunci.<\/p>\n","protected":false},"excerpt":{"rendered":" Securitatea online este o tem\u0103 incredibil de complex\u0103, cu toate acestea, vasta majoritate a site-urilor sunt compromise („sparte”) pentru c\u0103 le lipsesc m\u0103suri elementare de securitate pe care le poate lua oricine. Am scris acest articol g\u00e2ndindu-m\u0103 la WordPress, dar principiile se aplic\u0103 pentru orice fel de site web. AVERTISMENT Profesioni\u0219tii IT cu experien\u021b\u0103 s-ar […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[228,254],"tags":[83,232],"class_list":["post-5757","post","type-post","status-publish","format-standard","hentry","category-gazduire-web","category-wordpress","tag-securitate","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/posts\/5757","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/comments?post=5757"}],"version-history":[{"count":17,"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/posts\/5757\/revisions"}],"predecessor-version":[{"id":5789,"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/posts\/5757\/revisions\/5789"}],"wp:attachment":[{"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/media?parent=5757"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/categories?post=5757"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hosterion.ro\/blog\/wp-json\/wp\/v2\/tags?post=5757"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Actualizeaz\u0103 periodic WordPress<\/h2>\n\n\n\n
\n
Folose\u0219te plugin-uri de \u00eencredere \u0219i actualizate<\/h2>\n\n\n
![\"\"](\"https:\/\/hosterion.com\/blog\/wp-content\/uploads\/2023\/04\/image-1.png\")
<\/figure><\/div>\n\n\n\n
Folose\u0219te parole puternice \u0219i autentificare \u00een doi pa\u0219i<\/h2>\n\n\n\n
\n
\n
Indiferent de modul \u00een care gestionezi autentificarea cu parol\u0103, utilizeaz\u0103 \u00eentotdeauna autentificarea \u00een doi pa\u0219i.<\/p>\n<\/blockquote>\n\n\n\nProtejeaz\u0103-\u021bi calculatorul personal<\/h2>\n\n\n\n
\n
F\u0103 backup \u0219i testeaz\u0103-l<\/h2>\n\n\n\n
\n
\n
Asta e tot?<\/h2>\n\n\n\n