Keselamatan WordPress lanjutan ialah pelan operasi yang merangkumi pengguna, perisian, hosting dan pemulihan. Senarai pemalam atau tetapan firewall bukan program keselamatan yang lengkap. Mulakan dengan sistem dan data yang diperlukan oleh laman, kesan gangguan atau pencerobohan, serta pihak yang bertanggungjawab bagi setiap kawalan.
1. Petakan persekitaran dan risikonya
Inventorikan setiap laman, domain, pelayan, pangkalan data, pemalam, tema, integrasi dan akaun pentadbir. Rekod sistem yang menyimpan maklumat peribadi atau berkaitan pembayaran, aliran data dan pembekal yang boleh mengaksesnya. Kenal pasti komponen yang tidak lagi disokong, halaman pentadbir yang terdedah dan titik kegagalan tunggal. Utamakan kerja berdasarkan kesan kepada perniagaan dan tahap pendedahan, bukan dengan mengenakan semua kawalan di setiap tempat.
2. Kurangkan risiko akses dan perisian
Gunakan akaun berasingan, keupayaan berasaskan peranan dan pengesahan berbilang faktor untuk akses pentadbir serta hosting. Buang pengguna dan kelayakan lama. Pastikan WordPress core, tema, pemalam, PHP dan komponen pelayan masih disokong serta ditampal melalui proses keluaran yang didokumenkan. Buang sambungan yang terbiar, semak kebergantungan baharu dan uji kemas kini sebelum deployment jika kesan kepada perniagaan memerlukannya.
Simpan rahsia produksi di luar fail yang boleh dicapai umum. Hadkan akses kepada sandaran, repositori dan kelayakan deployment. Asingkan persekitaran jika praktikal. Semak kebenaran fail dan pangkalan data berdasarkan keperluan sebenar setiap perkhidmatan. Elakkan sekatan IP yang terlalu luas melainkan terdapat proses akses yang diselenggara untuk kakitangan, pembekal dan kecemasan.
3. Sediakan pengesanan dan tindak balas
Gunakan log hos dan aplikasi untuk memantau perubahan pengesahan, keistimewaan dan fail yang berkaitan. Tentukan amaran yang penting, penerimanya dan masa tindak balas yang diperlukan. Firewall aplikasi web boleh menapis sesetengah permintaan, tetapi tidak membaiki kod yang terdedah atau penyalahgunaan akaun. Pastikan petugas insiden masih boleh mengakses laman jika kawalan keselamatan menyekat trafik yang sah.
Dokumentasikan tindak balas awal: asingkan sistem terjejas jika selamat, simpan log, lindungi kelayakan, hubungi hosting dan sokongan pakar, nilai pendedahan data, dan ikut kewajipan pemberitahuan undang-undang atau kontrak dengan nasihat berkelayakan. Latih pelan menggunakan senario yang realistik.
4. Buktikan pemulihan berfungsi
Sandarkan fail dan pangkalan data ke lokasi terlindung. Asingkan akses daripada produksi dan tetapkan jadual berdasarkan kehilangan data yang boleh diterima. Pulihkan salinan di persekitaran selamat dan sahkan halaman, pesanan, borang serta integrasi. Persetujui keutamaan pemulihan, pihak bertanggungjawab dan tempoh gangguan maksimum yang boleh diterima.
Adakah ini senarai semak pematuhan?
Bukan. Kewajipan keselamatan dan privasi bergantung pada organisasi, data dan peraturan yang terpakai. Minta penasihat keselamatan serta undang-undang berkelayakan memadankan kawalan dengan kewajipan sebenar organisasi. Panduan ini tidak mengesahkan pematuhan atau menjamin laman tidak boleh diceroboh.