Smart forkortelse, ikke? Jeg har også selv fundet på den. Det handler om sikkerhed:
- Harden your perimiter and system: Styrk forsvarsværkerne
- Early Awareness: Hold øje med unormal aktivitet og indhold
- Rapid Recovery: Hav en sikkerhedskopi klar til hurtig installation
Denne artikel handler om sikkerhed på hjemmesider, særligt hjemmesider, der er lavet med WordPress. Hvor meget, I skal gøre ud af sikkerheden, afhænger af, hvor meget i er i farezonen: En side for et politisk parti med masser af trafik er meget mere udsat end sjældent besøgt side med et personligt visitkort. Har du fjender / konkurrenter og meget trafik, så er du mere i risikozonen. Kriminelle hackere er dygtige, men de prioriterer også deres aktiviteter.
Harden Your Perimeter: En hacker har principielt forskellige muligheder for at bryde ind på din hjemmeside: Gennem sidens backend (administrations-modul), gennem fundne svagheder i sidens software, gennem FTP- eller SSH-adgang til webhotellet og gennem databaseangreb på hjemmesidens database. Din hjemmeside kan også blive blokeret ved et DoS-angreb, men det er noget helt andet. Du har selv ansvaret for sikkerheden i form af gode passwords til backend og FTP adgang og det er enkelt at vælge et godt (langt) password og det giver en kæmpe forstærkning i forhold til korte og enkle passwords. Læs vores vejledning om det her: Nye anbefalinger til password.
Alle hackere ved, hvor WordPress login skærmbilledet ligger (altså URL adressen) og at standard brugernavnet for administratoren er Administrator. Så det er nok en rigtig billig og god idé at ændre det. I hvert fald administratornavnet – det er lige så enkelt som alt andet i WordPress (Opret ny bruger med administratorrettigheder, log ind med denne bruger og slet Administrator). Nogle installationsprocedurer beder dig faktisk om at vælge et administrator brugernavn allerede under installationen.
Hvis du har en hjemmeside, som kun administreres fra nogle få lokationer, kan du også forbyde adgang fra alle andre ip-adresser, end den du selv og andre administratorer sidder på. Det kan du gøre med en .htaccess fil, som du kan lægge på siden ved hjælp af ftp.
Ekstra sikkerhedssystemer, fx WordPress plugins, kan på forskellig måde også styrke dit forsvar. Søg fx efter plugin Defender, WordFence eller alle der har noget at gøre med security. Vi bruger WPMU dev’s iThemes Security, som låser en ip-adresse i nogle minutter, når der er blevet tastet forkert password nogle gange. Og sender os en besked om det. Det er næsten “sjovt” at se, hvordan disse loginforsøg kommer fra hele verden – typisk for et indbrudsforsøg, der udføres via et botnet. Bemærk at det ikke er nok at installere de forskellige sikkerhed-plugins: De holder øje med hvad der sker på din hjemmeside og fortæller dig det i diverse rapporter – det er op til dig selv at læse disse rapporter og advarsler.
Opdater, opdater, opdater: Hackere leder hele tiden efter sårbarheder i systemernes software: Steder i programkoden, hvor de ved at indlæse noget totalt uventet, kan få programmet til at reagere på en ikke-tilsigtet måde. Hackerne leder efter dem, men det gør udviklerne også. Så når der findes en ny version, af diverse plugins, temaer og WordPress selv, så opdater. Det er langt fra alle opdateringer, der har med sikkerhed at gøre, men opdater nu alligevel, når muligheden er til stede. Det er som regel kun nogle få klik i WordPress backend.
Early Awareness: Hvis din side bliver hacket kan det have stor betydning, at du opdager det i en fart. Selvfølgelig fordi du gerne vil have at dine besøgende ser, det de skal se og ikke et billede af et dødningehoved, men også – og især – hvis der er tale om farlig software, der enten kan smitte dine besøgende eller aflure dem private informationer. Hvis din hjemmeside indeholder personlige information for medlemmer eller lignende, skal du også straks informere disse om problemet og eventuelt mulige konsekvenser (GDPR).
Du kan selvfølgelig holde øje med din egen hjemmeside og se, hvordan den ser ud, men det er ikke helt nok. Du bør holde øje med, at der ikke sker ikke-forventede filændringer på siden. Du kan få hjælp til dette af forskellige programmer og plugins, fx WordFence, men det kræver, at du selv holder øje med de rapporter, som disse plugins tilbyder dig. Og i visse tilfælde (fx Defender) at du selv beder programmet om at scanne din hjemmeside. Nogle af disse scanninger kigger blot efter alle ændringer, mens andre har kendskab til ændringer, der er relateret til kriminel aktivitet og kan identificere dem. WPMU dev’s iThemes Security er for de lidt mere dovne: Den sender os en mail med en oversigt over ændrede filer.
Rapid Recovery: Hvis din hjemmeside bliver hacket skal den hurtigst muligt bringes tilbage til normalt indhold – både fordi du gerne vil have, at den ser normal ud, men også fordi der kan være tale om “farlige ændringer”. Nogle hackerbesøg kan gennemskues ved detektivarbejde og situationen rettes tilbage ved håndarbejde. Men det tager tid. Det er bedst, at du har en opdateret sikkerhedskopi og en enkel og gennemprøvet procedure for geninstallation af den. Der findes en del plugins til WordPress, der kan tage kopi af hele hjemmesiden (filer og database), men vær opmærksom på, at en sikkerhedskopi, der lægges på samme webhotel som hjemmesiden selv er udsat for nogle af de samme farer som selve hjemmesiden: Er hackeren først kommet ind, så kan han måske også slette dine sikkerhedskopier.
Der er andre plugins som i kombination med et abonnement kan overføre sikkerhedskopien til et andet site og så er der også mulighed for at man manuelt efter (større) opdateringer kan tage en sikkerhedskopi og overføre den til sin egen computer. Det er det InfoShare gør automatisk med vores WebSecurity program, som også holder øje med om der er sket filændringer siden sidste sikkerhedskopi.