WordPressi koduleht ei vaja ainult ilusat kujundust ja head sisu. Sama oluline on see, et veebileht oleks turvaline ja töötaks korralikult ka siis, kui mõni plugin vajab uuendamist või keegi proovib sinu kontole sisse logida. Turvalisus ei tähenda aga seda, et peaksid iga päev oma kodulehte kontrollima või keeruliste tehniliste seadistustega tegelema. Suur osa probleemidest on võimalik ära hoida üsna lihtsate ja regulaarsete tegevustega.
Vaatame üle kõige olulisemad asjad, millele WordPressi kodulehe omanik võiks tähelepanu pöörata.
Hoia WordPress ja pluginad uuendatud
Üks kõige olulisemaid turvalisuse samme on regulaarne uuendamine. WordPressi, pluginaid ja teemasid arendatakse pidevalt ning uuendustega ei lisata ainult uusi funktsioone, vaid parandatakse ka vigu ja turvaprobleeme. Kui jätad mõne plugina kuudeks või isegi aastateks uuendamata, võib selle vanas versioonis olla teadaolev turvaviga, mida saab veebilehele ligipääsemiseks ära kasutada.
See ei tähenda siiski, et kõik uuendused peaksid alati kohe ja kontrollimata peale panema. Enne suuremaid uuendusi tasub teha varukoopia ning pärast uuendamist kontrollida, kas veebileht töötab endiselt korralikult. Nii saad vajadusel varasema versiooni taastada, kui uus versioon mõne teise plugina või teemaga kokku ei sobi.
Kasuta tugevaid ja unikaalseid paroole
Parool 123456 või ettevõtte nimi koos aastaarvuga võib küll lihtsasti meelde jääda, kuid turvaline see ei ole. WordPressi administraatori konto parool peaks olema pikk, raskesti äraarvatav ja selline, mida sa mõnes teises teenuses ei kasuta. Kui sama parool on kasutusel näiteks e-posti, sotsiaalmeedia ja WordPressi jaoks, võib ühe konto andmete lekkimine panna ohtu ka teised kontod.
Kõige mugavam on kasutada paroolihaldurit, mis aitab luua ja salvestada pikki ning unikaalseid paroole. Nii ei pea kõiki keerulisi paroole ise meeles pidama ning väheneb kiusatus kasutada mitmes kohas ühte ja sama salasõna.
Lülita sisse kaheastmeline autentimine
Kaheastmeline autentimine ehk 2FA lisab WordPressi sisselogimisele ühe turvakihi juurde. Ainult kasutajanimest ja paroolist ei piisa, vaid sisselogimine tuleb kinnitada näiteks autentimisrakenduses kuvatava koodiga. Kui keegi peaks sinu parooli teada saama, ei pruugi tal ilma selle teise kinnitusetapita siiski olla võimalik kontole sisse logida.
Eriti kasulik on 2FA administraatori kasutajakontode puhul, sest nende kaudu saab muuta peaaegu kogu veebilehte. Selle seadistamine võtab tavaliselt vähe aega, kuid võib oluliselt vähendada võõrale kontole ligipääsemise riski.
Ära jaga ühe administraatori kontot kõigiga
Kui veebilehte haldab mitu inimest, ei ole hea mõte anda kõigile sama kasutajanime ja parooli. WordPressis saab igale inimesele luua eraldi kasutajakonto ning määrata talle just need õigused, mida tal oma töö tegemiseks vaja on.
Näiteks inimene, kes kirjutab ja avaldab blogipostitusi, ei pea tingimata saama pluginaid paigaldada või veebilehe tehnilisi seadistusi muuta. Eraldi kasutajakontod muudavad ka hiljem lihtsamaks arusaamise, kes milliseid muudatusi tegi. Kui mõni inimene enam veebilehega ei tegele, saab tema konto lihtsalt eemaldada.
Tee regulaarselt varukoopiaid
Varukoopia ei takista veebilehele suunatud rünnakut, kuid see võib päästa olukorra siis, kui midagi on juba valesti läinud. Probleem ei pea alati tekkima pahatahtliku tegevuse tõttu. Veebileht võib katki minna ka ebõnnestunud uuenduse, pluginate konflikti või kogemata tehtud muudatuse tõttu.
Korralik varukoopia peaks sisaldama nii veebilehe faile kui ka andmebaasi. Hea oleks ka see, kui vähemalt üks varukoopia asuks mujal kui samas serveris, kus paikneb veebileht ise. Kui serveriga tekib suurem probleem, on sul sellisel juhul siiski alles koopia, mille põhjal veebileht taastada.
Oluline on meeles pidada, et varukoopia olemasolust üksi ei piisa. Sellest peab olema võimalik ka koduleht päriselt taastada. Kui ei soovi seda ise jälgida, on see täpselt see, mida meie kodulehe hoolduse teenus igakuiselt sinu eest teeb.
Kasuta ainult vajalikke pluginaid
WordPressi üks suurimaid eeliseid on väga lai pluginavalik. Mõne klikiga saab lisada kontaktivormi, SEO tööriista, küpsiste lahenduse, e-poe või palju muid funktsioone. See ei tähenda aga, et veebilehele tasuks paigaldada iga plugin, mis tundub huvitav.
Iga plugin lisab veebilehele uut koodi ja vajab omakorda hooldamist. Kui plugin on halvasti hooldatud või arendaja seda enam ei uuenda, võib sellest saada turvarisk. Enne uue plugina paigaldamist tasub vaadata, millal seda viimati uuendati ja kas selle arendus tundub endiselt aktiivne.
Kui mõnda pluginat enam vaja ei ole, on parem see veebilehelt eemaldada, mitte lihtsalt välja lülitada. Mida vähem on ebavajalikke lisasid, seda lihtsam on ka kogu kodulehte korras hoida.
Ära kasuta tundmatust kohast pärit teemasid ja pluginaid
Tasulise plugina või teema tasuta koopia võib esmapilgul tunduda hea võimalus raha säästa. Tundmatust allikast alla laaditud failidega tasub aga olla väga ettevaatlik, sest sa ei tea, kas nende koodi on muudetud või midagi juurde lisatud.
Turvalisem on laadida tasuta pluginad WordPressi ametlikust pluginahoidlast ning osta tasulised lahendused arendaja enda veebilehelt või usaldusväärsest müügikeskkonnast. Mõne euro kokkuhoid ei ole tavaliselt väärt olukorda, kus hiljem tuleb nakatunud veebilehte puhastada või isegi uuesti üles ehitada.
Vali korralik veebimajutus
Kõik kodulehe turvalisusega seotud tegevused ei toimu WordPressi halduspaneelis. Oluline roll on ka veebimajutusel, sest just serveris paiknevad sinu veebilehe failid ja andmed. Hea teenusepakkuja hoolitseb oma serverite turvalisuse eest ning võib pakkuda näiteks automaatseid varukoopiaid ja muid kaitsemeetmeid.
Majutuse kaudu on tavaliselt võimalik kasutada ka SSL-sertifikaati, tänu millele avaneb koduleht https ühendusega. See aitab kaitsta veebilehe ja külastaja vahel liikuvat infot. Tänapäeval peaks HTTPS olema iga ettevõtte veebilehe tavapärane osa, mitte eraldi lisavõimalus.
Kontrolli aeg-ajalt kasutajakontosid
WordPressi kasutajate nimekirja tasub aeg-ajalt üle vaadata. Sinna võib aastate jooksul jääda kontosid, mida enam tegelikult vaja ei ole – näiteks endise töötaja, veebiarendaja või mõne ajutiselt projektiga tegelenud inimese konto.
Eriti tähelepanelik tasub olla administraatori õigustega kasutajate puhul. Kui inimene enam kodulehte ei halda, ei ole tal põhjust ka täielikku ligipääsu säilitada. Üldiselt tasub administraatori õigusi anda ainult neile, kellel neid päriselt vaja läheb.
Kas turvapluginast piisab?
WordPressile on olemas mitmeid turvapluginaid, mis võivad jälgida kahtlaseid sisselogimiskatseid, blokeerida pahatahtlikke päringuid ja anda teada võimalikest probleemidest. Selline plugin võib olla väga kasulik lisakaitse, kuid ainult selle paigaldamine ei muuda kodulehte automaatselt turvaliseks.
Turvaplugin ei asenda WordPressi ja pluginate uuendamist, tugevaid paroole, 2FA-d ega varukoopiaid. Turvalisust tasub vaadata tervikuna – mitu väikest kaitsekihti töötavad koos paremini kui üksainus lahendus.
WordPressi turvalisus ei pea olema keeruline
Kodulehe turvalisus võib esmapilgul tunduda väga tehnilise teemana, kuid paljud kõige olulisemad tegevused on üsna lihtsad. Hoia WordPress, teemad ja pluginad ajakohased, kasuta tugevaid paroole, lülita sisse 2FA ning tee regulaarselt varukoopiaid. Samuti tasub eemaldada veebilehelt kõik kasutajad ja pluginad, mida enam vaja ei ole.
Kõige suurem probleem tekib sageli siis, kui valmis saanud koduleht jäetakse pikaks ajaks täiesti hoolduseta. WordPressi veebileht vajab natuke regulaarset tähelepanu ka pärast avaldamist. Nii on suurem võimalus, et leht töötab rahulikult edasi ja probleemidele ei pea reageerima alles siis, kui midagi on juba juhtunud.
Kui soovid, et keegi jälgiks neid asju sinu eest, vaata lähemalt meie kodulehe hoolduse teenust või võta ühendust.