Min blogg, Leaving Work Behind, hackades i april. Det är något du läser ganska ofta men aldrig förväntar dig att hända dig förrän det är för sent. För att vara ärlig såg jag inte mig själv som en främsta kandidat: jag har skrivit om WordPress-säkerhet tillräckligt ofta för att ha massor av förebyggande åtgärder. Dessa åtgärder var dock uppenbarligen inte tillräckligt omfattande.
Att bli hackad är något jag inte vill gå igenom igen. Det finns många anledningar till att nedtid på webbplatsen är dåligt för din blogg/verksamhet: även om förlust av trafik och potentiella intäkter är de två mest uppenbara, kan jag inte underskatta hur mycket tid jag slösat bort på att återställa webbplatsen. och mängden stress som kommer med det. jag orsakade.
I det här inlägget vill jag avslöja vad som hände på min sida och låta dig veta vad jag har gjort för att öka säkerheten på min sida sedan dess.
Att bli hackad: min historia
Jag vaknade torsdagen den 18 april och upptäckte att min sida låg nere och hade legat i några timmar. Jag kontaktade omedelbart min värdleverantör, Westhost, som informerade mig om att deras ModSecurity-brandvägg hade upptäckt ovanlig aktivitet på min sida och omedelbart hade stängt av den av stor försiktighet. När jag körde en första återställning på webbplatsen kunde jag direkt se att den hade blivit hackad. Även om förändringarna var relativt subtila, var det tydligt nog att några skrupelfria killar hade snokat runt.
Det visar sig att ett stort antal WordPress-sajter också har blivit hackade, och Westhost har fått ner sitt arbete för det. Lyckligtvis gör de dagliga säkerhetskopior av sajten, och nästa eftermiddag var jag tillbaka online med en version av min sida så nära den nuvarande som möjligt.
Här är effekten av hacket på min trafik:
För att sätta diagrammet ovan i perspektiv minskade trafiken den veckan med ~30 % jämfört med föregående vecka. Det innebar teoretiskt en minskning av intäkterna med 30 %.
Det är rimligt att säga att jag var angelägen om att säkerställa (efter bästa förmåga) att ett sådant trick inte kunde upprepas. Jag vidtog åtgärder direkt.
Mina omedelbara steg
Det första jag gjorde var att verifiera att du hade följt stegen som beskrivs i mitt senaste inlägg om hur du säkrar din WordPress-webbplats.
Det här var de absoluta grunderna: att uppdatera mina teman och plugins, se till att jag hade en ny säkerhetskopia, se till att min standardprofil inte hette “admin”, ändra mitt lösenord och leta efter säkerhetsplugins på min webbplats. Med de elementen på plats var det dags att gå vidare.
Jag har inga illusioner om att min sida nu är 100 % säker; Det finns trots allt inget som heter en 100% säker webbplats. Som sagt, jag vet att den är mycket säkrare än den var tidigare och jag kommer att fortsätta att undersöka sajtens säkerhetsåtgärder nu och i framtiden. Hittills är detta vad jag har gjort.
1. Jag installerade VaultPress
För er som inte vet är VaultPress en helautomatisk backup- och säkerhetslösning för WordPress. Det ägs av Automattic, de facto “ägarna” av WordPress.
Efter att ha använt VaultPress i några dagar nu kan jag inte fatta att det var så billigt att jag inte blev förvånad på förhand av tjänsten. Deras grundpaket börjar på $15 per månad. Jag betalar det för sinnesfrid vilken dag i veckan som helst.
Faktum är att jag valde att gå med deras Premium-paket ($40 per månad) som inkluderar:
- Säkerhetskopiering i realtid
- Automatisk webbplatsåterställning med ett klick
- Filer, statistik och aktivitetslogg
- Prioriterad katastrofåterställning
- Prioriterad “Concierge”-support
- Daglig säkerhetsskanning
- Säkerhetsmeddelanden
- Enklicksfixare för säkerhetshot
- Hjälp om webbplatsmigrering
I grund och botten har de dig täckt.
Även om VaultPress inte kan garantera säkerheten för din webbplats från hackare, kan det garantera att din webbplats kan återställas relativt enkelt. Det är något väldigt avslappnande med att se ögonblicksbilder varje timme av dina webbplatser lagrade på VaultPress-servrar:
Även om det finns många gratis säkerhetskopieringslösningar, tror jag inte att något slår den relativa sinnesro jag får från VaultPress. De har 90 ögonblicksbilder av min sida tillgängliga att återställa just nu, varav den senaste bara är tjugo minuter gammal. Jag vet att min sida är säker i dina händer.
2. Jag hanterade mina profiler
En hackare kan komma åt din webbplats från vilken som helst av administratörsprofilerna i din WordPress-backend, inte bara den du använder. När jag laddade upp mina profiler kunde jag se att jag hade tre andra profiler: en gästposterprofil och två andra profiler för (betrodda) personer som jag hade gett tillgång till min sida.
Jag började med att stänga de två profilerna och ändra rollen som gästposterprofilen till Author. Detta är något jag skulle rekommendera att du gör: skapa bara så många administratörsprofiler som du absolut behöver. Dessutom bör du se till att varje konto har ett lämpligt unikt och slumpmässigt lösenord och att sådana lösenord ändras regelbundet.
Det finns tillfällen då du kommer att behöva ge människor (som din webbdesigner) tillgång till din webbplats. I sådana situationer råder jag dig att skapa en profil för dem med ett nytt lösenord, och sedan ta bort den profilen så snart det behövs.
Tänk alltid på ingångspunkterna på din webbplats och om de är absolut nödvändiga.
3. Jag ändrade mina lösenord
Du kanske tycker att detta var ett uppenbart drag, men jag pratar faktiskt inte om mina WordPress-lösenord. Även om jag ändrade dem var jag också säker på att ändra alla lösenord till särskilt känsliga konton, det vill säga:
- Gmail
- Mitt värdkonto
- Amazon Associates
- Etc
Om du undrar varför jag gjorde det här, tänk bara på historien om Mat Honan, vars hela digitala liv förstördes av hackare som ursprungligen hackade sig in på hans Amazon-konto. Om du på något sätt stör dig på säkerheten på nätet är artikeln ovan ett måste att läsa.
Tänk på den här enkla strängen: En hacker får tillgång till ditt e-postkonto från vilket du nyligen mailade din webbdesigner med inloggningsuppgifterna för din WordPress-webbplats. Det är allt de behöver för att få tillgång till din webbplats och göra vad de vill. Hacking kan vara så elementärt.
4. Jag uppgraderade till SFTP
Här är något du kanske inte vet: data du överför via FTP (inklusive ditt användarnamn och lösenord) är inte krypterad. Därför kommer alla som framgångsrikt kan fånga upp FTP-överföringar att kunna samla in dina inloggningsuppgifter och komma åt ditt konto.
Detta gör inte bara att de kan lägga till och ta bort filer som de tycker är lämpliga, utan de kan också få tillgång till din WordPress-databas genom phpMyAdmin och slutligen logga in på din webbplats.
Enkelt uttryckt spelar det ingen roll hur säker direktåtkomst till din WordPress-sajt är om hackare kan ta sig in via FTP. Som sådan rekommenderar jag starkt att du inaktiverar FTP-åtkomst till din webbplats och överför filer med det alternativa SFTP-protokollet, som krypterar data. Alla bra värdleverantörer borde kunna hjälpa dig med detta.
På tal om värdleverantörer…
5. Överväg lämpligheten av din värdlösning
Jag är glad att jag är med Westhost. Det var deras ModSecurity-brandvägg som upptäckte hacket i första hand och stängde av min sida innan någon allvarlig skada kunde ske. De kör också automatiska dagliga säkerhetskopieringar (som användes för att återställa webbplatsen) och har utmärkt kundsupport att starta upp.
Kan du säga detsamma om din värdleverantör? Det finns så många bra alternativ där ute att det skulle vara galet att hålla sig till en leverantör du inte är nöjd med. Du kan överväga att byta till en av de hanterade värdlösningarna (som WPEngine) som WPExplorer nyligen gjorde.
Oavsett vad du väljer, se till att fråga om säkerhetsåtgärderna de vidtar. Överväg de åtgärder jag har vidtagit ovan och se till att de är kompatibla med din värdlösning.
Moralen i berättelsen är denna: kompromissa inte med säkerheten. I slutändan är det viktigare än något annat att hålla din webbplats säker. Det är ingen idé att ha bra innehåll eller en ny design om ingen kan se det eftersom din webbplats har vandaliserats av hänsynslösa hackare.
Otrevliga killar som inte har något bättre att göra med sina liv än att hacka folks webbplatser kommer inte att försvinna när som helst snart. Ju tidigare du accepterar detta och vidtar rimliga åtgärder för att skydda din webbplats från attacker, desto bättre för den långsiktiga säkerheten för dina onlinetillgångar.
Jag skulle gärna vilja veta vad du tycker om de steg jag har tagit. Finns det några ytterligare rekommendationer du skulle ge? Låt oss veta i kommentarsfältet!
