Аудит безпеки WordPress — OWASP Top 10 та перевірка коду

Аудит безпеки WordPress

WordPress зламують частіше за інші системи — не через гіршу якість, а через поширеність: сканери щодня перебирають відомі вразливості плагінів на мільйонах сайтів. Аудит показує, наскільки ваш сайт готовий до цього фонового тиску.

Що перевіряю

• Плагіни й теми: версії, наявність відомих вразливостей, занедбані розширення. Вимкнені теж небезпечні — код лишається на сервері.
• Піратські збірки. Найчастіше саме вони несуть закладки.
• Доступи: адміністратори, стійкість паролів, захист від перебору, двофакторна автентифікація.
• Файли: права доступу, виконання PHP у теці завантажень, доступність службових файлів ззовні.
• База: приховані адміністратори, підозрілі заплановані завдання, сторонній код у налаштуваннях.
• Сервер: версія PHP, налаштування, ізоляція від сусідніх сайтів на спільному хостингу.
• Сліди присутності: змінені файли ядра, невідомі файли в системних теках.

Що на виході

Звіт із поділом на критичне, важливе й бажане. Кожен пункт — з поясненням, чим це загрожує саме вашому сайту, і що конкретно робити. Виправлення можу взяти на себе або передати вашому розробнику.

Коли аудиту недостатньо

Якщо сайт уже поводиться дивно — редиректи, невідомі сторінки в пошуку, скарги відвідувачів — потрібен не аудит, а лікування: відновлення після злому. Аудит показує ризики, а не прибирає наслідки вже наявного зараження.

Про типові сценарії проникнення — стаття про пошук бекдорів. Суміжне: захист від типових атак, бекапи.