Włamanie na stronę rzadko zaczyna się od spektakularnego ataku. Częściej wystarczy stare hasło do panelu, nieaktualna wtyczka WordPressa albo skrzynka pocztowa przejęta po wycieku danych z innego serwisu. Najlepsze praktyki bezpieczeństwa hostingu nie polegają więc na kupowaniu najdroższej usługi. Polegają na kilku konkretnych decyzjach, które ograniczają ryzyko i pozwalają szybko wrócić do działania, gdy coś pójdzie nie tak.
Dla firmy usługowej oznacza to ochronę zapytań klientów. Dla sklepu - zamówień, płatności i reputacji. Dla freelancera zarządzającego stronami klientów - mniej nerwowych telefonów i mniej godzin pracy po awarii. Bezpieczeństwo nie powinno być dodatkiem ukrytym za dopłatą lub marketingowym hasłem bez pokrycia. Powinno być normalną częścią hostingu oraz codziennej administracji.
Najlepsze praktyki bezpieczeństwa hostingu zaczynają się od konta
Hosting może zapewniać certyfikat SSL, kopie zapasowe i ochronę infrastruktury, ale nie obroni strony, jeśli ktoś zaloguje się na konto poprawnym, wykradzionym hasłem. Pierwsza zasada jest prosta: nie używaj jednego hasła do panelu hostingu, WordPressa, poczty i prywatnych serwisów.
Hasło do panelu hostingowego powinno być długie, unikalne i przechowywane w menedżerze haseł. Nie musi być pamiętane. Ma być trudne do odgadnięcia i niewykorzystane nigdzie indziej. Warto również włączyć uwierzytelnianie dwuskładnikowe, jeśli panel je oferuje. Kod z aplikacji uwierzytelniającej nie zastąpi dobrego hasła, lecz skutecznie utrudnia przejęcie konta po samym wycieku danych logowania.
Tak samo traktuj konta osób współpracujących z firmą. Programista, agencja SEO i pracownik obsługujący pocztę nie zawsze potrzebują pełnego dostępu do całego hostingu. Nadawaj zakres uprawnień adekwatny do zadania, a po zakończeniu współpracy usuń konto lub zmień hasła. Dostęp „na wszelki wypadek” zwykle zostaje na lata - i właśnie wtedy staje się problemem.
Poczta firmowa wymaga własnej polityki
Przejęta skrzynka e-mail może być groźniejsza niż usunięta strona. Atakujący widzi korespondencję, może resetować hasła w innych usługach i wysyłać fałszywe faktury w imieniu firmy. Każda skrzynka powinna mieć osobne, silne hasło, a pracownicy muszą wiedzieć, że prośba o zmianę numeru rachunku lub pilna płatność wymagają dodatkowego potwierdzenia.
Nie twórz też wspólnego konta typu biuro@, z którego korzysta pięć osób, jeśli można zastosować osobne skrzynki i przekierowania. Łatwiej wtedy ustalić, kto ma dostęp, oraz odciąć go bez paraliżowania pracy całego zespołu.
Aktualizacje są tańsze niż sprzątanie po ataku
WordPress, Joomla, PrestaShop i ich dodatki są wygodne, ale każdy komponent to kolejny fragment kodu, który może zawierać podatność. Najczęstszy błąd to odkładanie aktualizacji, bo „strona przecież działa”. Działa do dnia, w którym automatyczny bot znajdzie znaną lukę w starej wtyczce.
Ustal prosty rytm: sprawdzaj aktualizacje co tydzień, a przed większą zmianą wykonaj kopię zapasową. Krytyczne poprawki bezpieczeństwa instaluj możliwie szybko. Jeśli sklep lub rozbudowany serwis ma wiele niestandardowych funkcji, najpierw przetestuj aktualizację na wersji testowej. To rozsądny kompromis między bezpieczeństwem a ryzykiem, że aktualizacja zaburzy działanie integracji.
Usuń wszystko, czego nie używasz: nieaktywne wtyczki, motywy demonstracyjne, stare instalacje CMS w podkatalogach i konta testowe. Wyłączona wtyczka nadal może zawierać podatny kod. Podobnie porzucona strona pod adresem /test lub /old może stać się wejściem do całego konta.
Nie instaluj dodatków tylko dlatego, że są darmowe
Bezpłatna wtyczka nie jest automatycznie zła, a płatna nie jest automatycznie bezpieczna. Liczy się, czy jest rozwijana, kiedy była ostatnio aktualizowana, ilu ma użytkowników i czy pochodzi z wiarygodnego źródła. Unikaj wersji „nulled”, czyli nielegalnie zmodyfikowanych płatnych motywów i rozszerzeń. Taki plik często zawiera ukryty kod do wysyłki spamu, przekierowań lub tworzenia dodatkowych kont administratora.
SSL chroni transmisję, ale nie rozwiązuje wszystkiego
Certyfikat SSL i adres zaczynający się od HTTPS to absolutne minimum. Szyfruje dane przesyłane między przeglądarką a stroną, co ma znaczenie przy formularzach kontaktowych, logowaniu i zakupach. Bez SSL przeglądarka może ostrzec odwiedzających, a firma traci wiarygodność zanim klient przeczyta ofertę.
Nie myl jednak certyfikatu z pełną ochroną witryny. SSL nie naprawi zainfekowanej wtyczki, nie zabezpieczy słabego hasła i nie zastąpi kopii zapasowej. To jeden element układanki, nie pieczęć gwarantująca bezpieczeństwo.
Po włączeniu certyfikatu sprawdź, czy cała strona wymusza HTTPS, także warianty z www i bez www. W przeciwnym razie część użytkowników może nadal trafiać na nieszyfrowaną wersję albo zobaczyć ostrzeżenia o mieszanej zawartości.
Kopia zapasowa ma sens tylko wtedy, gdy można ją odtworzyć
Backupy są nudne do momentu, gdy strona przestaje działać. Wtedy stają się najcenniejszą funkcją hostingu. Kopia powinna obejmować zarówno pliki strony, jak i bazę danych. W przypadku sklepu baza zawiera produkty, klientów i zamówienia, więc sama paczka plików niczego nie uratuje.
Codzienne kopie przechowywane przez 30 dni dają realne pole manewru: można wrócić do wersji sprzed infekcji, błędnej aktualizacji lub przypadkowego usunięcia danych. To bardzo praktyczny standard, który oferuje m.in. IQHost.pl. Mimo to warto zachować dodatkową kopię poza kontem hostingowym, zwłaszcza dla sklepu, strony z rezerwacjami albo serwisu będącego głównym źródłem przychodów.
Nie zakładaj, że backup istnieje tylko dlatego, że widzisz taką informację w ofercie. Raz na kilka miesięcy sprawdź proces przywracania na kopii testowej lub zapytaj obsługę, jak wygląda odtworzenie konkretnych plików i bazy. W kryzysie nie chcesz dopiero poznawać procedury.
Bezpieczny hosting to także porządek techniczny
Dostęp SSH jest bardzo przydatny dla osób technicznych, lecz wymaga dyscypliny. Jeśli go używasz, ogranicz liczbę kont, nie przekazuj danych logowania w komunikatorze i usuwaj nieaktualne klucze dostępowe. Z kolei uprawnienia do plików ustawiaj ostrożnie. Nadawanie wszystkim plikom pełnych praw zapisu może na chwilę rozwiązać problem z instalacją, ale otwiera drogę kolejnym problemom.
W środowisku współdzielonym liczy się także jakość konfiguracji po stronie usługodawcy: aktualne oprogramowanie serwera, izolacja kont, filtrowanie nadużyć i sprawne reagowanie na zgłoszenia. Tego nie widać w kreatorze strony, ale od tego zależy, czy pojedynczy incydent będzie drobną niedogodnością, czy kilkudniowym przestojem.
Przed wyborem hostingu zapytaj wprost o częstotliwość i retencję backupów, SSL, sposób odzyskiwania dostępu, ochronę poczty oraz koszty tych funkcji po odnowieniu. To rozsądniejsze niż kierowanie się wyłącznie ceną promocyjną. Tania pierwsza faktura nie pomaga, jeśli po roku rośnie opłata, a ważne zabezpieczenia okazują się płatnym dodatkiem.
Co zrobić, gdy podejrzewasz włamanie
Nie czekaj, aż problem „sam zniknie”. Zmień hasło do panelu hostingu, CMS-a, poczty i bazy danych, zaczynając od konta administracyjnego. Sprawdź listę użytkowników WordPressa lub innego systemu, aktywne wtyczki, przekierowania oraz ostatnio modyfikowane pliki. Jeśli strona wysyła spam, pokazuje obce reklamy albo przeglądarka ostrzega przed złośliwą zawartością, czas jest kluczowy.
Następnie zgłoś sprawę do wsparcia hostingu i ustal, z której kopii można bezpiecznie odtworzyć dane. Nie przywracaj strony w ciemno do najnowszego backupu - infekcja mogła już w nim być. Wybierz moment sprzed pierwszych objawów, a po odtworzeniu wykonaj aktualizacje i usuń źródło problemu. Sam powrót do starej wersji bez zmiany haseł i audytu dodatków często kończy się kolejnym włamaniem.
Bezpieczeństwo hostingu nie wymaga stałego życia w trybie alarmowym. Wymaga prostych nawyków: unikalnych haseł, aktualizacji, ograniczonych dostępów, działających kopii i uczciwie opisanej usługi. To niewielki koszt wobec ceny utraconych klientów, danych i spokoju - a najlepszy moment na jego wdrożenie jest zanim strona da powód do paniki.
