WordPress Sikkerhed & Hærdning

Webmaestro kan hjælpe dig med din WordPress sikkerhed, der generelt består af to emner: WordPress hærdning og WordPress rengøring (af et hack, når skaden er sket).

Enten er du landet her, fordi du har mistake til, at din WordPress webside er blevet hacked, eller også ønsker du at sørge for, at det ikke sker. Under alle omstændigheder vil jeg gøre mit bedste for at gøre det til en smertefri oplevelse at få styr over din sikkerhed, eller rengjort og hærdet dit site.

Webmaestro håndterer hele processen i 360 grader og følger op på arbejdet i ugerne efter, som en garanti for at websiden forbliver sikker.

Derfor skal du bekymre dig om sikkerhed på din WordPress webside

Der kunne skrives mange paragraffer herom, men jeg vil holde mig kortfattet til de punkter, der er relevant for de fleste. Husk, du er ansvarlig:

• GDPR: Som webside ejer er du ansvarlig for dine brugeres information. Om det er andre redaktører, medlemmer eller kunder i en webshop, eller blot besøgne. Går det galt har du pligt til at meddele datastyrelsen at du formodentlig har mistet dine brugers information, som følge af et hack.
• SEO: Opdagaes det af diverse webcrawlers, eller anmeldes din webside for hacks vil din webside/domæne blive blacklistet og fjernet fra den synlig del af internettet. Typen af hack afgør hvor alvorligt det er. Derfor er WordPress sikkerhed langt vigtigere end din SEO og marketing-strategi.
• Brugeropelvelse: Opevelsen af din webside, eller UX, kommer til at lide uanset typen af hack. Nogle hacks henter/sender blot information og gør din webside langsom som et biprodukt (ofte anvendt i DDoS angreb), mens andre indsætter indhold i form af spam indhold (viagra etc) og farlige links. I værste fald indsættes der synlige phishing webshops, der er designet til at stjæle dine besøgenes kreditkort information.
• Email kommunikation: Hvis typen af hack bruger dit domæne og WordPress webside til at udsende spam og phishing emails, kan du være sikker på, at dit domæne hurtigt blacklistes på alle mailservere. Det betyder, at dine mails fra hej@minwebside.dk i bedste fald lander i spam folderen hos din modtager.

WordPress sikkerhed gør sig gældende for alle. Om du driver en kæmpe webshop eller har en lille blog, du er ansvarlig for hvad der opleves på eller hvad din webside udfører af illegale handlinger.

WordPress hærding

Prevention af hack i WordPress verdenen hedder "WordPress hærding", der som navnet antyder, går ud på at hærde WordPress imod flere typer af hacking forsøg. WordPress hærding består af en række tekniske tiltag, samt best-practices i forhold til brugen af WordPress.

Sådan foregår WordPress hærdning

Groft sagt, foregår WordPress hærding i 4 niveauer:

• WordPress sanitering: Ganske simpelt et spørgsmål at om sikre sig at alt software (dvs. primært plugins og tema) i WordPress kan stoles på og samtidig har de seneste sikkerhedsopdateringer. Alle plugins og tema, der ikke har noget formål, har en usikker afsender eller ikke bliver vedligeholdt længere bør udskiftes og/eller slettes. WordPress er kun så sikker som summen af dens kode.
• Firewall: En firewall har til formål at blokere for udvedkomnes indtrænges og eksekvering af via kendte ruter. Også refereret til som en WAF (web application firewall).
• Webserver/host: Sikring i at webserver kører opdateret software og ikke har nogle sikkerhedshuller. Det kan I nogle tilfælde betale sig at skifte host. Sikre at der ikke eksisterer synlige brugeroplysninger eller tilgængelig konfigurationsfiler i "clear text" eller redigerbart format.
• Best-practices: Check om dine adgangs informationer ligger i tilgængelige databaser fra tidligere hacks (fra andre websider). Din browser bør også være opdateret. Brug stærkt, tilfældigt genereret kodeord. Evt. 2-faktor autentificering ved login.

Ovenstående er nok for de fleste websider, men hvis websiden er hacked, eller har været hacked tidligere, er det en god idé at træffe ekstra foranstaltninger. Hvis en webside først én gang er hacked, vil den være på en distribueret liste over "nemme mål", som andre hackere bruger til at udvælge mål. Her kan det være en afgjort fordel at udføre ekstra sikkerhedstiltag, såsom fail2ban og evt. bruge en CDN mm.

Diagnosticering af WordPress Hack

Hvis du er landet her, fordi du har mistanke til at dit WordPress site er blevet hacked er her en række symptomer du kan kigge efter:

• Er websidens langsom?
• linkes der til ukendte websider?
• Er der oprettet ukendte brugere?
• Er der fremmed, spammende indhold på flere sider (ofte viagra etc. spam)?
• Omderigeres der automatisk til andre domæner?
• Er der oprettet ukendte brugere på Google Search Console?
• Sendes der emails ud fra dit domæne, du ikke kender til?

Rengøring af hacked WordPress site

Er uheldet ude og det er klart, at din webside er blevet hacket, så drejer det sig om at handle hurtigt. For jo længere tid din webside er hacked, jo større er chancen for, at Google og andre organisationer kan finde på at blackliste dit domæne og derpå fjerne dig fra søgemaskiner og det "synlige internet". Du risikerer også dine besøgnes sikkerhed, samt til tider (afhængig af hack type) en virkelig uheldig brugeroplevelse, der skræmmer de fleste væk.

Herunder følger en kort opridsning af den strategi jeg anbefaler og følger, når jeg arbejder på at rengøre en webside. Der er nemlig betydelig mere til processen, end blot at rengøre/fjerne hackede filer og kode.

Process for rengøring af WordPress Hack

Processen afhænger fuldstændig af typen af hack, webside og dets alder (hvor gammel WP/softwaren er). Det kan være en grov eller ultra følsom process. Sofistikterede hacks bruger såkaldte "deadman's switch" teknikker, hvor man skal træde varsom for ikke at gøre en slem situation værre.

Ideelt set fjernes og rengøres inficerede filer, samtidig med, at alle sikkerhedshuller (samt det oprindelige indgangspunkt) lukkes. Dette gøres efter en forsigtig undersøgelse af roden af webserveren og en vurdering af det indledende angrebspunkt, der bør lukkes inden andet foretages.

Når hackeren er lukket ude og websiden er ren, vil websiden stadig figurere i distribuerede databaser, der deles mellem hackere. Formålet her er, udvælge de nemmeste mål til nye og aktive hacking kampagner (og hackere formoder åbenbart at tidligere hackede websider fremadrettet er nemme at hacke). Derfor er det nødvendigt at slutte en rengøring af med en ekstra grundig WordPress hærdning.

Slutteligt bøt websiden monitoreres for at sikre, at alt ondsindet kode og sikkerhedshuller er håndteret, så symptomerne på et hack ikke vender tilbage.

Reputation management, SEO & søgemaskine indhold

Hvis reputation mangement, organiske søgemaskine trafik og hvad der vises fra domænet på søgemaskiner er mission kritisk, er det nødvendigt at rydde op i den indekserede indhold på Google, Bing og evt. flere søgemaskiner.

Da indeksering af søgemaskinerne er det primære værktøj for pharma spam hacket, vil indholdet blive vist der, selvom det ikke altid er synligt på selve websiden. Det vil blive vist på søgemaskiner i lang tid efter, at hacked og det uheldige indhold er fjernet. Det har et par konsekvenser:

• Søgemaskine algoritmerne associerer stadig websiden med nøgleordene i det hackede indhold, der er med til at udvande de egentlige nøgleord, der er vigtige at blive vist frem på. Det betyder at landingssiderne placere lavere, end de egentlig burde. Konsenkvensen er, at organisk trafik falder.
• I de fleste typer af pharma spam hacks, er der et væld af udgående links til mange landingssider, eller mål-sider, for nøgleordene i spam indholdet. Disse kan af søgemaskiner anskues som spam og derpå aktivt være med til at reducere rank, synlighed og i sidste ende organisk trafik for den hackede webside.
• Det hackede indhold er stadig synligt på søgemaskine resultatsiderne for alle, der foretager søgninger, og virksomheden eller brandet taber ansigt udadtil.

Det kan nemt argumenteres, at forebyggelse imod hack er en af de vigtigste opgaver i forhold til både søgemaskineoptimering og reputation management.