Hva skjer om siden din går ned for telling?
Har du opplevd å åpne websiden din og se noe helt annet enn din egen side?
Du er ikke alene om du oppdager at noen har hacket seg inn på siden din...dessverre!
Jeg gikk i baret så det sang for en del år siden. Jeg trodde at ingen brydde seg om å hacke mine ubetydlige sider.
SÅ feil kan man ta!
Alle websider hacket på en gang
Alle sidene lå på ett webhotell hos Hostgator. Jeg fikk klar beskjed om at de ikke var forpliktet til å hjelpe meg, og henviste til at jeg ikke hadde de anbefalte plugins for backup og sikkerhet installert.
Den gangen visste jeg ikke at det var nødvendig engang!
Mente de virkelig at en amatør som meg skulle ha greie på sånt?
Jepp, det gjorde de! Jeg skjønte etterhvert at det var jeg som ikke hadde gjort hjemmeleksa mi.
Hvis man har webhotell hos en lavprisleverandør(dvs. mellom 300 og 1000,- pr år) så må man regne med å ta ansvar for sikkerheten selv!
Her er noen enkle tips for WordPress sikkerhet. Det første tipset alene er nok til å bedre sikkerheten på siden din betraktelig.
ALDRI ADMIN SOM BRUKERNAVN
Velg brukernavn som ikke ligner på ditt navn, din bedrift, eller din webside. Og bruk for all del ikke admin eller administrator.
Har du allerede en admin bruker, så opprett en ny og slett den gamle.
STERKE PASSORD
Bruk sterke passord, spesielt på kontoer med administrator rettigheter. Minst 15 tegn med en kombinasjon av bokstaver, tall og andre tegn.
IKKE BRUK ADMINISTRATOR KONTOEN TIL DAGLIG BRUK
Administrator kontoen bør kun brukes når det er nødvendig.
Bruk en redaktør eller forfatter konto til daglig, når du skal blogge, laste opp bilder, redigere tekster etc. Spesielt viktig om du logger inn på WordPress siden din via offentlige nettverk.
OPPDATERINGER
Hold WordPress, temaer og utvidelser oppdatert til enhver tid.
Veldig mange oppdateringer kommer nettopp for å tette sikkerhetshull.
BEGRENSE PÅLOGGINGSFORSØK
De aller fleste vil oppleve at uvedkommende forsøker å logge inn på siden sin med admin eller administrator som brukernavn. Det er grunnen til at du ikke bør bruke de. Her anbefaler jeg at du bruker iThemes Security som er en gratis plugin du kan installere.
Under Settings velger du "Brute Force Protection". Her setter du en hake for "Enable brute force protection".
Her kan du velge hvor mange påloggingsforsøk du vil tillate før en bruker blir utestengt for en viss periode. Her kan du også velge å utestenge permanent de som prøver å logge på med "admin" som brukernavn.
Jeg har opplevd at kunder sletter sikkerhetsplugins etter å ha fått varsler om påloggingsforsøk. De fikk ikke jo ikke sånne varsler før...., så disse påloggingsforsøkene må jo ha startet etter at sikkerhetsplugins ble installert. Jepp, sånn må det være....vi sletter disse ekle sikkerhetsgreiene! DEN logikken er ikke særlig smart. Påloggingsforsøkene var der hele tiden, de visste bare ikke om dem. Det er riktignok noe som heter å være lykkelig uvitende, men....det er fortsatt lov å bruke hodet! 🙂
SKJUL BRUKERNAVNET DITT FRA FORFATTERARKIVET
Sjekk brukerprofilen din i WordPress og sørg for at "Vis navn offentlig som" er noe annet enn brukernavnet du logger inn med. Hvis brukernavn og "offentlig" navn er det samme, så gir du bort halve påloggingsinfoen din til en hacker.
Hvis du er i tvil, sjekk http://domenetditt.no/author/brukernavn
SLETT TEMAER OG UTVIDELSER DU IKKE BRUKER
Jo flere temaer og utvidelser du har installert, jo flere potensielle innganger gir du en hacker. Det hjelper ingenting å bare deaktivere utvidelser. Slett alt du ikke bruker, og som sagt, hold alt du bruker oppdatert.
SIKKERHETSPLUGINS
Jeg har allerede nevnt iThemes Security, det er en plugin jeg bruker på alle sider jeg bygger. Den tetter de aller fleste av vanlige sikkerhetshullene, inkludert noen av de jeg allerede har nevnt, som brute force(begrense påloggingsforsøk) og slette admin bruker.
Den kan også endre database prefix, kjøre malware scanning, beskytte login siden, tvinge deg til å bruke strenge passord, melder fra om filendringer m.m.
Andre kjente sikkerhetsplugins er WordFence, Sucuri og All in One Security.
BRUK KJENTE VERKTØY
Theme Foundry beskriver det bra: Hvis du vil unngå å bli overfalt, ville du da ha valgt et mørkt smug eller en bred belyst gate?
Poenget: Bruk theme og plugins fra kjente leverandører. Hvis du kommer over plugins i WordPress registeret som ikke har blitt oppdatert på flere måneder, så er det en viss sjanse for at utvikleren ikke lenger er på banen og vil gi support om du trenger det.
(Det behøver ikke være noe problem, men vær litt våken. Sjekk f.eks supportfanen og se om det er spørsmål der som ikke er besvart på en stund.)
BACKUP, BACKUP, BACKUP!!!
Om du har snev av respekt for ditt eget arbeid, så må du ta sikkerhetskopi av siden din. Hvis du tror at ingen bryr seg om å hacke din "ubetydlige" side, så tar du feil! De fleste brute force angrep blir gjort av robots. De ser ikke på om du er liten eller stor, eller hva du heter.
Hvis du nå har installert iThemes Security, så har du kanskje oppdaget at den også kan brukes til å kjøre backup av databasen. Alt tekst innhold ligger i databasen, alle bloggposter, statiske sider, kommentarer etc. Så databasen er ofte det viktigste å ta backup av.
Men du bør ta backup av filene som ligger på serveren også. Bilder, themes, plugins bl.a. ligger der.
Her finnes det flere plugins du kan bruke, men jeg anbefaler BackupBuddy. Den koster noen kroner, men gjør jobben på en enkel og lettforståelig måte.
Hvor ofte du bør ta backup kommer an på hvor ofte du oppdaterer siden din. For noen vil en gang i uka være nok, for andre bør det gjøres daglig. Velg det som passer for deg.
