Indledning:
Det er ikke ualmindeligt, at en WordPress-hjemmeside bliver hacket. Det er et populært publiceringsværktøj, der bruges af mere end 1/3 af alle hjemmesider, du finder i dag. Populariteten gør det desværre til et mål for illesindede individer, der forsøger at få fat i dine loginoplysninger for at trænge ind og forårsage skade - på den ene eller anden måde.
Det er vigtigt, at du træffer flere foranstaltninger for at minimere risikoen for hacking og indbrud. Nedenfor vil jeg vise dig, hvad du skal overveje, hvis du vil beskytte din hjemmeside.
Derfor blev din hjemmeside hacket
Jeg vil starte med klart og tydeligt at sige at det ikke kun er WordPress, der bliver hacket. Alle hjemmesider på nettet - uanset platform - er sårbare over for indtrængningsforsøg.
Årsagen til, at WordPress-hjemmesider bliver målsat, er dens enorme popularitet. 1/3 af alle hjemmesider bruger WordPress som CMS.
Der er mange grunde til, at din hjemmeside bliver hacket - men de mest almindelige er, at det enten handler om hackere, der forsøger at lære om hjemmesiders sikkerhed. Eller det handler om hackere med onde hensigter, der forsøger at få adgang til din hjemmeside for at sprede malware og spam ved at inficere dine rotfiler med forskellig skadelig kode.
Når det er sagt, lad os se på de mest almindelige årsager til, at din hjemmeside bliver hacket.
Usikker webhosting
Alle hjemmesider skal ligge på en server - som leveres af et webhotel. Der er mange webhoteller, og nogle af disse har desværre ikke tilstrækkelig beskyttelse mod hackere. Dette gør igen din hjemmeside sårbar over for hacking.
Dette undgår du nemmest ved at finde ud af, hvilken beskyttelse dit webhotel har installeret mod denne type risici.
Svag adgangskode
Du skal sørge for at have et stærkt kodeord, ikke kun til din WordPress-side, men også til dit webhosting-abonnement og andre dele af din hjemmeside.
Opret en stærk adgangskode til:
- WordPress-login
- FTP
- Database
- E-mail-konti
Eksempel: 3TTbr4L#öZENORD!
En stærk adgangskode skal derfor bestå af en kombination af store bogstaver, små bogstaver, tal og tegn.
Uændret login-adresse
WordPress har normalt en login-adresse, der er: dindomän.se/wp-admin/ hvilket sættes som standard ved installation.
Det er vigtigt, at du er opmærksom på, at det ofte ikke er et menneske, der står bag disse indbrudsforsøg, men robotter, som disse hackere sender ud for automatisk at foretage loginforsøg.
De afprøver en lang række forskellige kombinationer af adgangskoder i håb om at finde den rigtige - og de sender disse robotter ud til netop de hjemmesider og adresser, der ender på /wp-admin/.
Derfor Du skal ændre din standard-login-adresse fra: /wp-admin/ til noget andet!
Du bruger ’admin’ som login
Ved installation af WordPress får du ’admin’ som bruger (hvis du ikke har ændret det fra start). Ligesom i eksemplet ovenfor, hvor disse robotter foretager indbrudsforsøg på den almindelige login-adresse, gør de det samme med brugernavnet ’admin’.
Det er derfor afgørende, at du ikke bruger »admin« som brugernavn til din hjemmeside!
Forkerte filrettigheder
Filrettighederne fastsættes af dit webhostingfirma. Disse filrettigheder bestemmer, hvilken type adgang du har til din hjemmesides FTP (hvor alle dine WordPress-filer ligger).
Forkerte rettigheder kan give hackere adgang til at åbne og ændre dine filer - og dermed forårsage systemnedbrud.
Kontakt derfor dit webhostingfirma og bed dem om at indstille dine filrettigheder til:
- 644 for filer
- 755 til mapper
Med disse tiltag er du på vej i den rigtige retning mod en mere sikker hjemmeside!
Du opdaterer ikke WordPress
WordPress opdaterer sit system regelmæssigt. Mindre opdateringer udføres automatisk i baggrunden, mens større opdateringer skal udføres af dig.
Det er vigtigt, at du udfører disse opdateringer, da de ofte indebærer forbedringer af både funktionalitet OG sikkerhed. WordPress (og alle andre systemer) arbejder løbende på blandt andet at lukke sikkerhedshuller, som de selv opdager, men også dem, der opdages af hackere.
Du opdaterer ikke temaer og plugins
Af samme grund som ovenfor bør du opdatere dit tema og dine plugins. Det er meget almindeligt, at der opdages sikkerhedshuller i temaer og plugins, og en opdatering betyder, at disse er blevet rettet.
”Forældet” tema og plugins
Det sker af og til - et tema eller et plugin, som du bruger på din hjemmeside, bliver ikke længere opdateret eller supporteret. Hvis du fortsætter med at bruge dem i længere tid, kan det give hackere en indgangsvinkel.
I et sådant tilfælde må du finde andre løsninger - for ellers vil der med stor sandsynlighed ske et indgreb på din hjemmeside.
Løsninger til en hacket WordPress-hjemmeside
Så hvad skal du gøre, hvis din WordPress-hjemmeside bliver hacket? Ud over at afhjælpe årsagerne til, at din hjemmeside er blevet hacket, som beskrevet i eksemplet ovenfor, bør du straks gøre følgende:
Umiddelbare foranstaltninger
- Kontakt dit webbhotel og bed dem om at sende en liste over filer, der er blevet inficeret med skadelig kode
- Find en webudvikler (gerne en der er god til WordPress) og bed dem kigge på listen fra dit webhotel
- Installer beskyttelse på din hjemmeside
Dit webbhotel vil med stor sandsynlighed lukke din side ned, mens webudvikleren udbedrer alle problemer. Når alt er løst, vil webbhotellet åbne din side igen, og du kan gå videre til næste del.
Fremtidige tiltag
For at forhindre, at dette sker (igen), skal du installere beskyttelse. Du kan installere firewalls og spamfilter med mange forskellige indstillinger for at beskytte din hjemmeside.
Når du leder efter plugins, skal du sørge for, at de bl.a. har følgende funktioner:
- Ændre WP standard login-adresse
- Indstil maksimalt antal loginforsøg
- Bloker IP-adresser
- Multifaktorautentisering (2FA)
- Opret en serviceaftale
Ved at aktivere disse indstillinger har du større muligheder for at beskytte din side og dermed minimere risikoen for, at hackere angriber din hjemmeside!
Opsummering
Det er naturligvis ærgerligt, hvis din hjemmeside er blevet hacket. Du bør straks kontakte dit webhotel for at få en liste, som en webudvikler kan udbedre. Sørg desuden for, at dine filer og mapper på serveren har de rette filrettigheder.
Så må du ikke glemme at installere diverse beskyttelse på din side i form af plugins. Disse plugins skal bl.a. give dig muligheden for at ændre loginadressen og at oprette firewalls og maks antal loginforsøg.
Er det for meget for dig at tænke på?
Så kontakt da en dygtig udvikler og undersøg dine muligheder for at indgå en serviceaftale.
