Securitatea unui site mic: actualizări, parole, backup

Un site mic rar e atacat de cineva care te vizează pe tine. De cele mai multe ori, programe automate caută pe tot internetul site-uri cu o versiune veche de WordPress, un modul nereparat sau o parolă slabă. Te ferești de cele mai multe cu trei obiceiuri: actualizări la zi, parole lungi cu autentificare în doi pași și un backup pe care l-ai încercat măcar o dată.

Actualizările: cea mai simplă apărare

Fiecare versiune nouă de WordPress, de modul (plugin) sau de temă repară, des, și găuri de securitate. Documentația WordPress e directă: versiunile vechi nu mai primesc actualizări de securitate, deci trebuie să rămâi pe ultima. Actualizările automate pentru nucleu există din versiunea 3.7.

Ce faci concret:

• Lasă activate actualizările automate pentru nucleu și, unde se poate, pentru module.
• Șterge modulele și temele pe care nu le folosești. Un modul dezactivat, dar rămas pe server, e tot cod vechi care poate fi exploatat. WordPress recomandă explicit să-l ștergi.
• Ia module doar din surse de încredere. Un modul „premium” descărcat gratuit de pe un site oarecare e cel mai scurt drum spre un site spart.
• Verifică lunar dacă a rămas ceva neactualizat. Unele module cu licență plătită nu se actualizează dacă licența a expirat.

Dacă site-ul nu e pe WordPress, regula e aceeași: întreabă cine ți-l întreține cum și cât de des se actualizează programele de pe server.

Parolele: lungi, unice și cu doi pași

Ghidul NIST pentru autentificare, în versiunea finală publicată în iulie 2025, a schimbat câteva obiceiuri vechi:

• o parolă folosită singură trebuie să aibă cel puțin 15 caractere; dacă e însoțită de un al doilea pas (cod pe telefon, cheie fizică), minimul e de 8;
• sistemele ar trebui să accepte parole de cel puțin 64 de caractere;
• nu se mai impun reguli de tipul „o majusculă, o cifră, un simbol”;
• nu se mai cere schimbarea periodică a parolei, ci doar când există semne că a fost compromisă;
• parolele noi se verifică într-o listă de parole cunoscute, comune sau scurse;
• trebuie permise managerele de parole și lipirea parolei în câmp.

Pentru tine, asta înseamnă o frază lungă sau o parolă generată de un manager de parole, alta pentru fiecare cont. Activează autentificarea în doi pași pentru contul de administrator, pentru găzduire și pentru domeniu. Documentația WordPress o recomandă ca strat suplimentar peste parola puternică.

Dacă vrei să vezi dacă o parolă a apărut în scurgeri de date, serviciul Pwned Passwords o verifică fără să afle parola: pe internet pleacă doar primele 5 caractere ale unui cod calculat din ea.

Conturile: fiecare om cu contul lui

Contul de admin împărțit de trei oameni, cu aceeași parolă, e o problemă care apare des la firmele mici. Fă câte un cont pentru fiecare om, cu drepturile de care are nevoie: cine scrie articole nu are nevoie de drept de administrator. Când cineva pleacă din firmă sau o colaborare se termină, contul lui se șterge în aceeași zi. La fel pentru accesul la găzduire și la contul de domeniu.

Backupul: regula 3-2-1, plus un test

Un ghid scris pentru US-CERT, echipa guvernului american pentru incidente informatice, rezumă regula 3-2-1:

1. 3 copii ale datelor importante: originalul și două copii de rezervă;
2. pe 2 tipuri diferite de suport;
3. 1 copie ținută în alt loc decât restul.

Pentru un site, asta înseamnă de obicei: copia făcută de firma de găzduire, o copie automată trimisă într-un spațiu de stocare separat și, din când în când, o copie descărcată la tine. Documentația WordPress cere copii regulate atât ale fișierelor, cât și ale bazei de date.

Partea pe care o sare aproape toată lumea: testul. O dată la câteva luni, restaurează copia pe un site de test. Un backup care nu se poate restaura nu te ajută în ziua în care chiar ai nevoie de el. Am pus pașii lunari într-o listă în articolul despre mentenanța unui site.

Dacă site-ul a fost totuși spart

1. Schimbă parolele: administrator, găzduire, baza de date, domeniu.
2. Restaurează ultima copie curată, dinainte de atac.
3. Actualizează tot și caută modulul care a lăsat ușa deschisă.
4. Verifică în Search Console dacă Google a semnalat probleme de securitate.

Site-urile pe care le facem pleacă cu aceste setări. Vezi ce include fiecare pachet pe pagina de servicii web.