Audyt bezpieczeństwa strony na WordPressie

WordPress napędza mniej więcej co trzecią stronę w internecie, więc opłaca się atakować go automatycznie. Zdecydowana większość włamań nie jest wymierzona w konkretną firmę: automat skanuje tysiące adresów, szuka wtyczki w podatnej wersji i wchodzi tam, gdzie ją znajdzie. Z perspektywy takiego automatu nie istnieją strony zbyt małe, żeby się nimi zainteresować.

Skutki bywają odroczone. Przejęta strona często działa dalej i przez tygodnie rozsyła spam, doklejone linki albo przekierowania widoczne tylko dla części odwiedzających. Właściciel dowiaduje się ostatni, zwykle od klienta albo wtedy, gdy domena trafia na listę stron niebezpiecznych i przeglądarki zaczynają ostrzegać przed wejściem.

Wszystko, co sprawdzamy, jest widoczne publicznie: kod strony, adresy zasobów, pliki readme wtyczek, nagłówki odpowiedzi serwera, rekordy DNS, certyfikat. Przygotowujący atak korzysta dokładnie z tych samych informacji, więc audyt od zewnątrz pokazuje stronę z jego perspektywy, tylko wnioski trafiają do Ciebie.

Jesteśmy przy tym ostrożni z wnioskami. Jeżeli wersji wtyczki nie da się wiarygodnie ustalić, raport pokazuje historię podatności zamiast twierdzić, że strona jest podatna. Wolimy napisać, że czegoś nie wiemy, niż postraszyć na wyrost, bo audyt, który wszędzie widzi zagrożenie, jest bezużyteczny.

To audyt pasywny. Sprawdzamy, czy zabezpieczenia są ustawione, a nie czy da się je złamać, dlatego można go uruchomić na działającej stronie bez ryzyka.

Część wyników zobaczysz od razu na ekranie, około minuty po podaniu adresu. Pełny raport, z wyjaśnieniem każdego znaleziska i krokami naprawy uporządkowanymi od najpilniejszych, wysyłamy w PDF na podany adres e-mail. Raport jest pisany dla właściciela firmy: przy każdej pozycji wyjaśniamy, czym problem grozi i co konkretnie przekazać wykonawcy albo hostingowi.