SIKKERHED · WORDPRESS

WordPress-indbruddene fortsætter: sådan hærder du din side mod hacking

WordPress er verdens mest brugte system til at bygge hjemmesider, og netop derfor er det også det mest angrebne. Nyhederne om hackede WordPress-sider stopper ikke, men bag overskrifterne er billedet mere nøgternt end skræmmende: langt de fleste indbrud kommer ikke fra selve WordPress, men fra plugins, temaer og svage adgangskoder. Det gode ved det er, at det stort set kan forebygges.

Hvorfor bliver WordPress-sider ved med at blive hacket?

Fordi WordPress er så udbredt. Når et enkelt system driver en meget stor del af verdens hjemmesider, bliver det automatisk det mest oplagte mål. Angriberne behøver ikke gå efter din side specifikt: de skriver bots, der scanner millioner af sider for en bestemt kendt svaghed, og prøver den samme nøgle i hver eneste lås. Er din side sårbar, finder de den, uanset hvor lille eller ukendt din virksomhed er.

Det vigtige at forstå er, hvor hullerne typisk sidder. Selve WordPress-kernen bliver vedligeholdt af et stort udviklerhold og lukket hurtigt, når der findes fejl. De fleste indbrud kommer ikke derfra. De kommer fra plugins og temaer, der er forældede eller dårligt vedligeholdte, og fra svage tunnusoplysninger, altså brugernavne og adgangskoder, der er nemme at gætte. En almindelig virksomhedsside samler hurtigt et tema, en sidebygger og et dusin plugins, og hver af dem er en dør, der skal holdes låst.

Den gode nyhed er, at du ikke behøver at være sikkerhedsekspert for at lukke de fleste huller. Vi lavede en liste over de fem vigtigste punkter, som er værd at gennemgå. Vi går ned i hvert af dem nedenfor, punkt for punkt:

1. Pluginets kvalitet, kilde og udgiver
2. Installér opdateringer ofte
3. Undgå overflødige plugins
4. Slå kommentar- og registreringsmuligheden fra, hvis du ikke bruger den
5. God brugernavn- og adgangskodehygiejne for alle brugere

Hvordan ved du, om et plugin er til at stole på?

Hvert plugin, du installerer, kører kode på din side og har adgang til din database. Et sårbart plugin er derfor ikke en lille ting: det er en åben bagdør ind til hele hjemmesiden. Netop plugins er den mest almindelige indbrudsvej i WordPress, så det første forsvar er at være kræsen med, hvad der overhovedet kommer ind.

Inden du installerer, så tjek et par konkrete ting. Kommer pluginet fra det officielle WordPress-katalog eller fra en kendt, seriøs udgiver? Hvornår blev det senest opdateret, og virker det med din version af WordPress? Hvor mange bruger det, og hvad siger anmeldelserne? Undgå plugins fundet på tvivlsomme sider eller såkaldte nulled-versioner af betalte plugins: de er en klassisk måde at få skjult malware ind på siden. Færre, men bedre plugins slår altid mange tilfældige.

Hvorfor er hyppige opdateringer så vigtige?

Når en sårbarhed offentliggøres, udgiver udvikleren typisk en rettelse kort efter. Men rettelsen hjælper kun, hvis den bliver installeret. I samme øjeblik hullet bliver kendt, begynder bots at lede efter sider, der endnu ikke har opdateret. Hver dag, en side står uden opdatering, er en dag, hvor den er sårbar over for et problem, der teknisk set allerede er løst.

I praksis betyder det: slå automatiske opdateringer til for i det mindste sikkerhedsudgivelser af kernen, og sæt en fast rutine for at gennemgå plugin- og temaopdateringer, gerne ugentligt. Tag en sikkerhedskopi før større opdateringer, så du kan rulle tilbage, hvis noget bryder designet. Ja, opdateringer kan af og til få dele af siden til at gå i stykker, men en gået-i-stykker-side er et mindre problem end en hacket side.

Bør du fjerne plugins, du ikke bruger?

Det er nemt at samle plugins op undervejs: et til en formular, et man prøvede en gang, et der fulgte med temaet. Med tiden hober de sig op, og mange er slået fra og glemt. Problemet er, at en deaktiveret plugin-fil stadig ligger på serveren. I flere kendte tilfælde er sårbarheder i inaktive plugins blevet udnyttet, netop fordi ejeren troede, at "slået fra" var det samme som "væk".

Gå derfor din liste igennem med jævne mellemrum og spørg om hvert plugin: bruger jeg det her? Hvis svaret er nej, så slet det helt, både pluginet og de temaer, du ikke anvender. Jo færre bevægelige dele, jo færre døre skal du holde låst. Det gør både siden sikrere og hurtigere.

Skal du slå kommentarer og registrering fra?

WordPress leveres som standard med både kommentarfunktion og mulighed for, at besøgende selv kan oprette en brugerkonto. For en blog med et aktivt community kan det give mening, men for en almindelig virksomhedsside er det oftest bare to åbne døre, ingen bruger. Kommentarfelter bliver oversvømmet af spambots, og åben registrering betyder, at ukendte personer kan skaffe sig en konto, som senere kan bruges til at prøve at eskalere rettigheder.

Gennemgå indstillingerne: slå kommentarer fra, hvis du ikke modererer og faktisk ønsker dem, og fjern muligheden for, at hvem som helst kan registrere sig, medmindre din side direkte kræver det. Det er to hurtige valg, der lukker to unødvendige angrebsveje uden at koste dig noget.

Hvordan sikrer du brugernavne og adgangskoder?

En stor del af angrebene mod WordPress er ikke sofistikerede: de er bots, der prøver almindelige brugernavne og en lang liste af typiske adgangskoder mod login-siden. Hedder din administrator "admin" og bruger en kort eller genbrugt adgangskode, er du et nemt mål. Det handler mindre om avanceret hacking og mere om, at nogen prøver tusindvis af gæt, indtil et virker.

Modtrækkene er enkle og virkningsfulde. Giv hver bruger en lang, unik adgangskode, og opbevar dem i en adgangskodemanager i stedet for i hovedet. Slå totrinsgodkendelse (2FA) til, så et gættet kodeord ikke er nok i sig selv. Brug ikke "admin" som brugernavn. Giv kun brugerne de rettigheder, de har brug for, og luk konti, når en medarbejder eller leverandør ikke længere skal have adgang. Hver aktiv konto er en potentiel indgang, så jo færre og jo bedre sikrede, jo bedre.

Hvad er den langsigtede plan for din hjemmeside?

Hærdning virker. Følger du punkterne ovenfor, lukker du de mest almindelige indbrudsveje, og risikoen falder markant. Men det er værd at være ærlig om, hvad hærdning er: løbende vedligeholdelsesarbejde, der ikke fjerner grundproblemet. Den store angrebsflade fra plugins og de konstante opdateringer forsvinder ikke. De skal bare passes uge efter uge, år efter år, og det svageste led afgør sikkerheden på hele siden.

Derfor giver det for mange virksomheder mening at lægge en langsigtet plan for at flytte væk fra WordPress og over på statiske sider, som for eksempel den slags Novavalo bygger. En statisk side har ingen database, intet login-panel og ingen plugins, som nogen kan bryde ind i. Der er ganske enkelt ikke den maskineri, angriberne leder efter. Angrebsfladen bliver en brøkdel af en typisk WordPress-installation, der er ingen ugentlige sikkerhedsopdateringer at holde styr på, og siderne leveres som færdige filer via et hurtigt CDN.

Overgangen behøver ikke være dramatisk. En let vej ser sådan ud:

1. Inventér indholdet. Lav en liste over de sider, tekster og billeder, du faktisk bruger. De fleste WordPress-sider har mindre reelt indhold, end man tror.
2. Byg det tilsvarende statisk. Genopbyg de samme sider som statiske sider. Det tunge grundarbejde, struktur, tekster og layout, kan en AI klare hurtigt.
3. Omdirigér de gamle URL'er. Sæt viderestillinger op fra de gamle adresser til de nye, så du bevarer din placering i søgning og ikke taber links.
4. Luk WordPress kontrolleret. Når den nye side er live og verificeret, tager du den gamle installation ned, så der ikke står et ubevogtet WordPress tilbage som et åbent mål.

Statiske sider er ikke svaret på alt: har du brug for kompleks, brugerspecifik funktionalitet, kan et system som WordPress stadig være det rigtige. Men for en helt almindelig virksomhedsside, en forside, ydelser, kontakt og måske en formular eller en blog, fjerner den statiske tilgang selve den kilde til problemet, som denne artikel handler om.

Ofte stillede spørgsmål