Så skyddar du WordPress efter ett intrång

1. Byt alla lösenord – på riktigt

Utgå från att alla lösenord som har funnits på eller kring sajten är kända av angriparen.

• Alla WordPress-konton med behörighet att redigera.
• Webbhotellets kontrollpanel, FTP/SFTP och SSH.
• Databasens lösenord (och uppdatera det i wp-config.php).
• E-postkonton som används för att återställa lösenord.
• WordPress säkerhetsnycklar (salts) i wp-config.php, så att alla som är inloggade loggas ut.

Använd en lösenordshanterare och ett unikt lösenord för varje tjänst.

2. Slå på tvåstegsverifiering

Tvåstegsverifiering för alla administratörer stoppar en stor del av intrången som bygger på läckta eller gissade lösenord. Det finns tillägg som lägger till det i WordPress, och många webbhotell erbjuder det för kontrollpanelen.

3. Uppdatera – och ta bort det du inte använder

De flesta intrång sker via kända sårbarheter i tillägg och teman som inte har uppdaterats.

• Uppdatera WordPress, alla teman och alla tillägg.
• Ta bort inaktiva tillägg och teman helt. Även inaktiverade ligger kvar som filer och kan utnyttjas.
• Byt ut tillägg som inte har uppdaterats på länge eller som inte längre underhålls.
• Installera aldrig ”gratisversioner” av betaltillägg från andra källor än utvecklaren. De innehåller ofta bakdörrar.

4. Minska behörigheterna

• Ha så få administratörer som möjligt. Ge övriga rollen Redaktör eller Författare.
• Ta bort konton för personer som inte längre arbetar med sajten.
• Stäng av redigering av filer direkt i WordPress-panelen genom att lägga till define('DISALLOW_FILE_EDIT', true); i wp-config.php.
• Kontrollera att filrättigheterna är rimliga, så att inte alla filer är skrivbara. Normalt 755 för mappar och 644 för filer, och gärna strängare för wp-config.php.

5. Ha en backup som fungerar

En backup är bara värd något om den går att återställa och om den är från före ett intrång.

• Ta automatiska backuper av både filer och databas, gärna dagligen.
• Spara dem utanför webbhotellkontot, så att en angripare inte kan radera dem.
• Spara flera versioner bakåt i tiden. Intrång upptäcks ofta först efter flera veckor.
• Testa att återställa en backup någon gång, så att du vet att det fungerar.

6. Bevaka sajten

Ju tidigare ett nytt intrång upptäcks, desto mindre skada gör det.

• Använd ett säkerhetstillägg som larmar vid ändrade filer och nya administratörer.
• Gå igenom användarlistan och listan över tillägg en gång i månaden.
• Läs mejl från webbhotellet. Det är ofta först med att märka att något är fel.
• Besök sajten ibland från mobilen och i ett privat fönster, inte bara inloggad.

7. Skydda inloggningen

Inloggningssidan är den del av sajten som angrips mest, ofta av automatiska program som provar tusentals lösenord.

• Använd inte användarnamnet admin eller sajtens namn. Skapa i så fall en ny administratör med ett namn som inte går att gissa och ta bort den gamla.
• Begränsa antalet misslyckade inloggningsförsök, antingen med ett säkerhetstillägg eller hos webbhotellet.
• Stäng av XML-RPC om du inte använder appar eller tjänster som behöver det. Det används ofta för att prova lösenord i stora mängder.
• Logga alltid in över https och aldrig från datorer eller nätverk du inte litar på.

Kort checklista

• Alla lösenord och säkerhetsnycklar bytta.
• Tvåstegsverifiering på för alla administratörer.
• WordPress, teman och tillägg uppdaterade – oanvända borttagna.
• Bara de administratörer som behövs.
• Automatisk backup som sparas utanför webbhotellet.
• Larm vid ändrade filer och nya användare.

Spara listan och gå igenom den igen om några månader. Säkerhet är inget man gör en gång.

Ingen sajt är helt säker

Inga åtgärder kan garantera att en sajt aldrig blir hackad igen. Men stegen ovan stänger de vanligaste vägarna in och gör att ett nytt intrång upptäcks snabbare. I vår nivå med härdning går vi igenom de här punkterna åt dig och bevakar sajten i 30 dagar efter saneringen.