marketinq saytları üçün wordpress təhlükəsizlik

İcazəsiz istifadəçilər üçün ən çox rast gəlinən giriş nöqtəsi inzibati paneldir. Bir çox sayt sahibi hələ də standart ‘admin’ istifadəçi adından istifadə edir ki, bu da kobud güc hücumu (brute-force) üçün lazım olan etimadnamələrin yarısını təmin edir. Saytınızdakı hər bir hesabın ən az imtiyaz prinsipinə əməl etdiyinə əmin olmalısınız, yəni istifadəçilərin yalnız öz rolları üçün tələb olunan xüsusi funksiyalara girişi olmalıdır.

İstifadəçilər menyusunda istifadəçi siyahınızı yoxlamaqla başlayın. Artıq aktiv olmayan, məsələn, keçmiş podratçılar və ya agentlik tərəfdaşları kimi hesabları silin. Əgər kimsə yalnız bloq yazılarını redaktə etməlidirsə, onlara Administrator əvəzinə Müəllif və ya İştirakçı rolunu təyin edin. Bu sadə məhdudiyyət, ələ keçirilmiş iştirakçı hesabının sayt miqyaslı parametrləri dəyişdirməsinin və ya zərərli plaginlər quraşdırmasının qarşısını alır.

Plaginlər və mövzular WordPress marketinq saytlarının can damarıdır, lakin onlar həm də təhlükəsizlik çatışmazlıqlarının ən çox rast gəlinən mənbəyidir. Quraşdırdığınız hər bir üçüncü tərəf kodu potensial boşluqlar yaradır. Əgər tərtibatçı bir plaginə yeniləmə verməyi dayandırarsa, həmin proqram köhnəlmiş kod bazalarındakı məlum çatışmazlıqları axtaran hücumçular üçün açıq qapıya çevrilir.

Plagin idarəetməsi üçün strategiyalar

• Saytınızda hazırda heç bir məqsədə xidmət etməyən istənilən aktiv olmayan plaginləri və ya mövzuları silin.
• Bütün aktiv plaginlərin son altı ay ərzində yeniləndiyinə əmin olmaq üçün plagin deposunu mütəmadi olaraq yoxlayın.
• Pirate edilmiş və ya sındırılmış mövzular istifadə etməkdən çəkinin, çünki bunlar tez-tez serverinizə kənar girişi təmin edən gizli arxa qapıları ehtiva edir.
• Yüksək sayda aktiv quraşdırması və aktiv dəstək forumları olan plaginlərə üstünlük verin.
• Plagin yeniləmələrini canlı marketinq saytınıza tətbiq etməzdən əvvəl sınaqdan keçirmək üçün hazırlıq mühiti qurun.

Avtomatlaşdırılmış botlar internetdə daim wp-login.php səhifələrini axtarır. Bu səhifələri tapdıqdan sonra onlar şifrələri təxmin etmək üçün avtomatlaşdırılmış skriptlər işə salırlar. Siz güclü şifrə siyasətləri tətbiq etməklə və ya bütün inzibati hesablar üçün iki faktorlu autentifikasiya (2FA) tələb etməklə bunu azalda bilərsiniz. Mobil cihazdan ikinci bir kod tələb etdikdə, giriş əldə etmək üçün yalnız şifrə kifayət etmir.

Məruz qalmanı məhdudlaşdırmaq üçün başqa bir üsul, giriş səhifəsinə girişi IP ünvanı ilə məhdudlaşdırmaqdır. Əgər marketinq komandanız statik ofis IP-si və ya xüsusi VPN vasitəsilə işləyirsə, serverinizi bu parametrlərdən kənardan gələn bütün giriş sorğularını bloklayacaq şəkildə konfiqurasiya edə bilərsiniz. Bu, uzaqdan işləyən komandalar üçün məhdudlaşdırıcı ola bilsə də, xarici bot şəbəkələrinə qarşı çox yüksək səviyyədə qorunma təmin edir.

Server tərəfi konfiqurasiyaları tez-tez məzmun çatdırılmasına fokuslanmış marketinq komandaları tərəfindən nəzərdən qaçırılır. WordPress quraşdırmanız düzgün işləmək üçün xüsusi fayl icazələrinə əsaslanır. Məsələn, wp-config.php faylınız icazəsiz skriptlərin verilənlər bazası etimadnamələrinizi oxumasının qarşısını almaq üçün məhdud icazələrə malik olmalıdır. Əgər hostinqiniz icazə verirsə, faylın yalnız sahibi tərəfindən oxuna biləcəyinə əmin olmaq üçün fayl icazələrini 440 və ya 400-ə dəyişin.

Bundan əlavə, verilənlər bazası prefiksi ümumi hədəfdir. Standart olaraq, WordPress bütün verilənlər bazası cədvəlləri üçün prefiks kimi ‘wp_’-dən istifadə edir. Bu standart olduğu üçün, avtomatlaşdırılmış SQL injection hücumlarının cədvəllərinizi hədəf almasını asanlaşdırır. Yeni quraşdırma zamanı, hücumçuların cədvəl strukturunuzu təxmin etməsini çətinləşdirmək üçün bunu həmişə xüsusi, təsadüfi bir sətirlə əvəz edin.

Secure Sockets Layer (SSL) sertifikatı hər hansı müasir veb sayt üçün məcburidir. O, ziyarətçinizin brauzeri ilə serveriniz arasında ötürülən məlumatları şifrələyir. SSL olmadan, əlaqə formalarınıza daxil edilən adlar və ya e-poçt ünvanları kimi hər hansı həssas məlumat tranzit zamanı ələ keçirilə bilər. Əksər hostinq provayderləri artıq avtomatik yenilənən pulsuz SSL sertifikatları təklif edir.

Təhlükəsizlikdən əlavə, SSL axtarış motorunun indeksləşdirilməsi üçün standart tələbdir. Əgər saytınız brauzer ünvan zolaqlarında ‘Təhlükəsiz deyil’ kimi işarələnibsə, bu, istifadəçi etimadına və konversiya dərəcələrinə mənfi təsir göstərəcək. WordPress parametrlərinizin bütün səhifələrdə HTTPS-i məcbur etmək üçün konfiqurasiya olunduğundan əmin olun, bu, şifrələnməmiş trafikin saytınıza daxil olmasının qarşısını alır.

Əgər saytınızın təhlükəsizliyinin pozulduğundan şübhələnirsinizsə, təşvişə düşməyin. İlk addım saytı texniki xidmət rejiminə keçirməklə onu izolyasiya etməkdir. Son fəaliyyət jurnallarınızı hər hansı tanınmayan administrator hesabı və ya qəribə fayl dəyişiklikləri üçün yoxlayın. Əgər təmiz ehtiyat nüsxəniz varsa, orijinal boşluğu müəyyən etdiyiniz təqdirdə, saytı əvvəlki vəziyyətinə qaytarmaq çox vaxt bərpa üçün ən sürətli yoldur.

Bərpa etdikdən sonra FTP, verilənlər bazası və WordPress admin etimadnamələri daxil olmaqla bütün şifrələri dəyişməlisiniz. Əgər bu addımı nəzərə almasanız, hücumçu hələ də saytınıza yenidən daxil olmaq üçün açarlara sahib ola bilər. Alien Road tövsiyə edir ki, əgər texniki bərpanı idarə etməkdə özünüzü rahat hiss etmirsinizsə, dərhal hostinq dəstək komandanızla məsləhətləşin, çünki onların çox vaxt arxa qapıları skan etmək üçün xüsusi alətləri olur.