רוב האתרים של עסקים קטנים לא נפרצים בגלל מתקפה ממוקדת, אלא בגלל סריקות אוטומטיות שמחפשות תוספים לא מעודכנים, סיסמאות חלשות והרשאות פתוחות. ההגנה הבסיסית פשוטה: עדכונים קבועים, מעט תוספים, סיסמאות חזקות עם אימות דו-שלבי, גיבויים מחוץ לשרת ותעודת SSL. אתר פרוץ פוגע בלקוחות, במוניטין ובדירוג בגוגל.
עיקרי הדברים
- רוב הפריצות אוטומטיות ומנצלות חולשות ידועות
- עדכונים וגיבויים הם הבסיס
- אימות דו-שלבי לממשק הניהול
- אתר פרוץ יכול להיות מסומן כמסוכן בגוגל
למה דווקא האתר שלי?
פורצים לא מחפשים את העסק שלכם ספציפית. הם מריצים סריקות על מיליוני אתרים ומחפשים גרסאות ישנות של תוספים עם חולשה ידועה, ממשקי ניהול עם סיסמה פשוטה ושרתים לא מעודכנים. אתר קטן הוא מטרה נוחה בדיוק כי פחות אנשים שומרים עליו.
צ'קליסט אבטחה בסיסי
- עדכון גרסת המערכת, התבנית והתוספים באופן קבוע
- הסרת תוספים ותבניות שלא בשימוש
- סיסמאות ייחודיות וחזקות ואימות דו-שלבי לכל המנהלים
- הרשאות מינימליות: לא לתת לכולם הרשאת מנהל
- גיבוי אוטומטי שנשמר מחוץ לשרת, ובדיקת שחזור
- תעודת SSL פעילה וכל האתר ב-https
- הגבלת ניסיונות התחברות וחומת אש לאתר
איך אבטחה קשורה לגוגל
גוגל מסמן אתרים שזוהו כמפיצים תוכנה זדונית או כדפי פישינג, ולפעמים מציג אזהרה לפני הכניסה. במקרים כאלה התנועה צונחת מיד. בנוסף, פורצים נוהגים להוסיף לאתרים עמודי ספאם וקישורים נסתרים, שפוגעים בדירוג גם אחרי שהאתר 'נראה' תקין.
מה עושים אם האתר נפרץ
- לא למחוק כלום בבהלה, ולהחליף מיד את כל הסיסמאות
- לשחזר מגיבוי נקי מלפני הפריצה
- לעדכן הכל ולסגור את החולשה שדרכה נכנסו
- לבדוק ב-Search Console אזהרות אבטחה ועמודים לא מוכרים
- אם האתר סומן כמסוכן, לבקש בדיקה חוזרת אחרי הניקוי
שאלות נפוצות
לא. SSL מצפין את החיבור בין הגולש לאתר, אבל לא מגן על האתר עצמו מפני חולשות בתוספים או מסיסמאות חלשות.
לאתר שמתעדכן לעיתים רחוקות, גיבוי שבועי. לחנות או לאתר עם הרבה פניות, גיבוי יומי. תמיד לשמור כמה גרסאות אחורה.
תוסף אבטחה עוזר, אבל לא מחליף עדכונים, סיסמאות חזקות וגיבויים. הוא שכבה נוספת, לא תחליף.