"Kto miałby się włamywać akurat do mojej strony? To mała firma, nie mamy tam niczego ciekawego" - słyszę to zdanie od klientów regularnie, zwykle już po fakcie, kiedy strona zaczęła wysyłać spam albo Google oznaczył ją jako niebezpieczną. I za każdym razem tłumaczę to samo: nikt nie włamuje się do Twojej strony, bo interesuje go akurat Twoja firma. Włamuje się, bo Twoja strona działa na WordPressie.
Skala, która robi wrażenie
WordPress to darmowe oprogramowanie, na którym można zbudować stronę internetową - od prostej wizytówki firmowej po sklep internetowy. Napędza dziś ponad 40% wszystkich stron w internecie, co czyni go zdecydowanie najpopularniejszym systemem tego typu na świecie. Dla porównania - wszystkie pozostałe podobne systemy razem wzięte mają wyraźnie mniejszy udział.
Ta popularność nie wzięła się znikąd. WordPress jest darmowy, ma tysiące gotowych wtyczek (małych programów rozszerzających funkcje strony - o tym więcej w kolejnym wpisie) i motywów (gotowych szablonów wyglądu), więc stronę można zbudować szybciej i taniej niż pisząc wszystko od zera. To dobra wiadomość dla każdego, kto zleca budowę strony - większy wybór wykonawców, więcej gotowych rozwiązań, niższe koszty.
Ta sama popularność to cel
Problem w tym, że popularność działa w dwie strony. Jeśli jesteś przestępcą szukającym stron do zainfekowania, przejęcia albo wykorzystania do wysyłki spamu, gdzie szukasz najpierw? Tam, gdzie jest najwięcej potencjalnych celów zbudowanych w ten sam sposób. WordPress to dokładnie takie miejsce.
To nie są ludzie ręcznie sprawdzający strony jedna po drugiej. To zautomatyzowane programy (tzw. boty) non-stop przeczesujące internet i sprawdzające miliony stron w poszukiwaniu konkretnych, znanych słabości - na przykład nieaktualnej wersji jakiejś popularnej wtyczki, w której ktoś już wcześniej znalazł lukę. Bot nie wie, ani nie obchodzi go, że Twoja strona to firma rodzinna z trzema pracownikami. Wie tylko, że pasuje do wzorca, którego szuka.
To trochę jak z zamkami do drzwi - im popularniejszy model zamka, tym więcej osób zna sposoby na jego otwarcie, i tym częściej ktoś będzie próbował go otworzyć, po prostu dlatego że taki sam zamek stoi w tysiącach innych drzwi.
Atak na stronę WordPress rzadko jest wymierzony w konkretną firmę. Chodzi o skalę - jeśli automat sprawdza milion stron i choćby 1% ma nieaktualną wersję czegoś, to wciąż dziesięć tysięcy trafień. Twoja strona nie musi być "ciekawym celem". Wystarczy, że jest jedną z wielu pasujących do wzorca.
Co to oznacza w praktyce
Nie oznacza to, że WordPress jest zły albo że trzeba go unikać - wręcz przeciwnie, przy odpowiedniej opiece jest solidnym i sprawdzonym wyborem, na którym stoją strony dużych marek na całym świecie. Oznacza to natomiast, że strona na WordPressie nie jest czymś, co można "postawić i zapomnieć". To oprogramowanie, które - podobnie jak system w Twoim telefonie czy komputerze - trzeba regularnie aktualizować, kontrolować i pilnować, bo z definicji jest częstym celem automatycznych prób ataku.
Widziałem to wielokrotnie u klientów: strona działała bez zarzutu przez dwa, trzy lata, nikt się nią nie zajmował, bo "przecież działa", a potem nagle - dziwne przekierowania, ostrzeżenie w przeglądarce albo telefon od hostingu z informacją o zainfekowanych plikach. W żadnym z tych przypadków nie chodziło o wyjątkowego hakera, który akurat upatrzył sobie tę stronę. Chodziło o zaniedbaną, nieaktualną instalację WordPressa, którą prędzej czy później znalazł automat.
Czy mniej popularny system byłby bezpieczniejszy
To pytanie pada regularnie, zwłaszcza od klientów, którzy dopiero się przekonali o skali zagrożenia. Odpowiedź jest mniej oczywista, niż mogłoby się wydawać. Mniej popularny system rzeczywiście przyciąga mniej masowych, zautomatyzowanych ataków, z prostego powodu - automatom mniej się opłaca go skanować. Ale w zamian dostajesz mniejszy ekosystem wtyczek, mniej programistów, którzy się na nim znają, wyższe koszty rozwoju strony, a te mniej popularne systemy wcale nie są bezpieczniejsze z założenia. Po prostu rzadziej się o nich mówi, bo mniej osób ich w ogóle używa, a kiedy już zostaną zaatakowane, brakuje w internecie gotowej wiedzy, jak sobie z tym poradzić.
W praktyce różnica sprowadza się do tego samego wniosku: żaden system sam z siebie nie jest bezpieczny na zawsze. Bezpieczeństwo bierze się z tego, jak strona jest utrzymywana, a nie z samego wyboru oprogramowania, na którym stoi.
Po co ta seria
W tej serii przejdę po kolei przez konkretne rzeczy, które realnie decydują o bezpieczeństwie i stabilności strony na WordPressie: aktualizacje wtyczek, nadmiar zbędnych rozszerzeń, zapomniane konta dostępowe, spowolnienia, białe ekrany po nieudanej aktualizacji, sygnały włamania i to, kto właściwie za co odpowiada, kiedy coś nie działa. Każdy z tych tematów to coś, z czym regularnie spotykam się u klientów - często już po fakcie, kiedy naprawa kosztuje więcej niż profilaktyka by kosztowała.
Nie jest to seria pisana po to, żeby kogokolwiek nastraszyć - jest pisana po to, żeby zdjąć z WordPressa nutę tajemniczości. Znaczna część ryzyka, o którym będę pisał w kolejnych odcinkach, da się ograniczyć bez wiedzy technicznej większej niż ta, którą masz już teraz. Wystarczy wiedzieć, na co zwracać uwagę i kiedy poprosić o pomoc kogoś, kto zna się na rzeczy.
Punkt wyjścia jest jeden: WordPress sam w sobie nie jest zagrożeniem. Zagrożeniem jest WordPress, o który nikt się nie troszczy - a przy jego popularności to tylko kwestia czasu, aż automat go znajdzie.
Chcesz to wdrożyć u siebie?
Opisz swój projekt, a odpiszę w ciągu 24h z konkretną propozycją.