Czy wtyczka zabezpieczająca WordPress wystarczy? Wtyczka kontra opieka hostingu

Wtyczka zabezpieczająca WordPress pomaga, ale sama nie wystarczy, bo działa dopiero wewnątrz WordPressa, nie załata dziury w nieaktualnej wtyczce ani nie zabezpieczy serwera i nikt jej za Ciebie nie skonfiguruje ani nie zareaguje na alert w nocy. Realną ochronę daje dopiero połączenie kilku warstw: aktualizacji na czas, hardeningu serwera, zapory przed aplikacją (WAF) i kopii, z których faktycznie da się odtworzyć stronę. Poniżej tłumaczymy, co wtyczka robi dobrze, a gdzie kończy się jej zasięg.

Co realnie robi wtyczka bezpieczeństwa

Popularne wtyczki bezpieczeństwa robią kilka pożytecznych rzeczy i sami z takich korzystamy jako jednej z warstw. Skanują pliki i bazę w poszukiwaniu znanych sygnatur złośliwego kodu, ograniczają liczbę prób logowania, wymuszają silniejsze hasła, dokładają uwierzytelnianie dwuskładnikowe, pokazują dziennik zdarzeń i potrafią wysłać alert, gdy coś się zmieni. To wartościowe funkcje, które podnoszą poprzeczkę atakującemu i wyłapują część prób.

Kluczowe słowo to jednak wewnątrz. Wtyczka jest częścią WordPressa, więc uruchamia się dopiero wtedy, gdy żądanie już do WordPressa dotarło. Broni domu od środka, kiedy napastnik stoi już w przedpokoju.

Czego wtyczka nie zrobi, choćby najlepsza

Tu zaczyna się granica, której żadna wtyczka nie przekroczy, bo wynika z tego, gdzie i kiedy działa. Wtyczka bezpieczeństwa nie załata luki w nieaktualnej wtyczce sklepowej, jeśli nikt tej wtyczki nie zaktualizuje. Nie zabezpieczy serwera: uprawnień plików, wykonywania PHP w katalogu uploadów, konfiguracji poza samym WordPressem. Nie odfiltruje masowego ataku, zanim dotrze on do aplikacji, bo sama jest częścią tej aplikacji. Nie zrobi kopii, z której faktycznie da się odtworzyć stronę, i nie sprawdzi, czy ta kopia w ogóle się odtwarza. I, co najważniejsze, nie kliknie za Ciebie aktualizacji ani nie zareaguje na własny alert o trzeciej w nocy: wyśle powiadomienie i będzie czekać, aż ktoś je zobaczy.

Innymi słowy: wtyczka to czujnik i zamek w drzwiach, ale nie ochroniarz, nie serwisant i nie system tworzenia kopii. Te role ktoś musi obsadzić osobno.

Wtyczka kontra warstwy poza WordPressem

Najczęstsze włamania, które usuwamy, nie omijają wtyczki dlatego, że jest słaba, tylko dlatego, że atak w ogóle jej nie dotyczy. Bot znajduje znaną lukę w nieaktualnej wtyczce i wykorzystuje ją, zanim mechanizmy obronne w środku zdążą cokolwiek zrobić. Dlatego ochrona przed aplikacją, czyli WAF filtrujący ruch, zanim dotrze do WordPressa, oraz dyscyplina aktualizacji łapią więcej niż sam skaner uruchamiany po fakcie. Do tego dochodzi hardening serwera, który wtyczce jest po prostu niedostępny, bo działa poziom niżej, tam gdzie wtyczka nie sięga.

To nie znaczy, że wtyczkę trzeba wyrzucić. Znaczy, że ma sens jako jedna z warstw, a nie jako cała strategia. Pełny zestaw warstw, aktualizacje, hardening, WAF, monitoring i kopie, opisaliśmy na stronie zabezpieczenie strony WordPress.

Kiedy sama wtyczka naprawdę wystarczy

Uczciwie: są sytuacje, w których dobrze skonfigurowana wtyczka plus dyscyplina wystarczą. Jeśli prowadzisz prostą stronę bez danych osobowych, sam regularnie i szybko aktualizujesz rdzeń oraz wtyczki, masz silne hasła z dwuskładnikowym logowaniem, robisz i testujesz kopie zapasowe, a przestój strony nie kosztuje Cię realnych pieniędzy, wtyczka jako dodatkowa warstwa spokojnie się broni. Warunkiem jest to, że tę całą resztę faktycznie robisz Ty, na czas, a nie zamierzasz zrobić.

Problem w tym, że u większości firm ta reszta nie dzieje się sama. Aktualizacje czekają, bo nie ma czasu, kopia nigdy nie była testowana, a hardening serwera nie jest niczyim zadaniem. Wtedy wtyczka zostaje jedyną obroną, a to za mało.

Kiedy potrzebujesz opieki, nie tylko wtyczki

Opieka nad stroną, zamiast samej wtyczki, zaczyna się opłacać, gdy przestój albo wyciek danych kosztują konkretne pieniądze lub reputację. Dotyczy to sklepów WooCommerce, gdzie każda godzina niedziałającego koszyka to utracone zamówienia, stron zbierających dane osobowe, gdzie włamanie to potencjalny incydent RODO ze zgłoszeniem do UODO, firm bez działu IT, które nie mają kogo poprosić o reakcję, oraz agencji i freelancerów utrzymujących kilka stron klientów naraz. W tych przypadkach potrzebujesz kogoś, kto pilnuje aktualizacji, trzyma warstwy poza WordPressem i faktycznie reaguje, a nie tylko dostaje alert. Tak wygląda stała opieka nad stroną internetową: aktualizacje robi ktoś inny, w ustalonym oknie i po wcześniejszej kopii.

Jeśli dajesz dostęp do strony zewnętrznej agencji albo freelancerowi, warto przy okazji ustalić zakres i odpowiedzialność na piśmie. Umowę na obsługę czy powierzenie dostępu można dziś podpisać online podpisem elektronicznym, bez drukowania i skanowania, co porządkuje, kto za co odpowiada, gdy coś pójdzie nie tak.

Jak poskładać sensowną ochronę

Jeśli chcesz zrobić to dobrze, ułóż ochronę warstwami, od najważniejszej. Najpierw aktualizacje na czas, bo to one łatają luki, przez które wchodzi większość ataków. Potem kopie zapasowe, które faktycznie się odtwarzają, bo to Twoja siatka bezpieczeństwa, gdy wszystko inne zawiedzie. Dalej hardening serwera i WAF przed aplikacją, żeby odciąć ruch, zanim dotrze do WordPressa. Na końcu wtyczka bezpieczeństwa i monitoring jako czujniki wewnątrz. W takim układzie każda warstwa łapie to, co przepuści poprzednia, i żadna nie udaje, że sama załatwia całość.

Możesz zbudować te warstwy samodzielnie albo wziąć je w pakiecie razem z hostingiem. Jak wygląda to drugie podejście w praktyce, dla różnych typów firm, pokazujemy na stronie zastosowania, a zakres w każdym planie w cenniku hostingu dla firm.

Co to oznacza dla Twojej firmy

Wtyczka zabezpieczająca to dobry element, ale mylenie jej z pełną ochroną kończy się fałszywym poczuciem bezpieczeństwa: masz zainstalowany skaner i uznajesz temat za zamknięty, a atak i tak wchodzi luką, której skaner nie dotyczy. Jeśli strona zarabia albo przetwarza cudze dane, potraktuj bezpieczeństwo jak warstwy, nie jak jedną wtyczkę, i rozważ zarządzany hosting WordPress, w którym te warstwy pilnuje za Ciebie realny człowiek. Zainfekowaną już stronę doprowadzimy do porządku w ramach zabezpieczenia strony WordPress, razem z zamknięciem luki, przez którą doszło do włamania.